Wireshark包開始識別

Question

我有一個「.pcapng」二進制文件，由Wireshark創建。

如何檢測其中每個新軟件包的開始？

是否有任何特定的字節序列？

或者，如何檢測包裹的結束？

Answer 1

（我見過其母語不是英語的人說「包裝」而不是「包裝」 - 兩個單詞來自同一個單詞「pack」，並且同一個單詞可以用於兩個概念其他語言 - 所以我假設您指的是網絡數據包;「包」通常不用於英語的那種意義上。）

pcap-NG文件格式在PCAP Next Generation Dump File Format文檔中描述。 pcap-NG文件是一系列塊;每個塊在開始處具有長度字段（並且在結尾處簡化通過文件掃描）。並非所有塊都包含數據包;這些塊是分組塊，擴展分組塊和簡單分組塊。

請注意，libpcap 1.1和更高版本可以讀取pcap-NG文件，因此，如果libpcap動態地使用libpcap並在libpcap共享庫爲1.1或更高版本的系統上運行，則使用libpcap讀取捕獲文件的任何程序都可以靜態鏈接到libpcap 1.1或更高版本，可以使用用於讀取pcap文件的相同API讀取一些pcap-NG文件，而不會對程序進行任何更改。 （包含多個接口的pcap-NG文件不能全部具有相同的鏈接層標題類型或快照長度，因爲當前的libpcap API不支持該功能）。沒有基於libpcap 1.1的WinPcap版本或更高版本，所以WinPcap目前不能用於讀取pcap-NG文件。

另一個可以讀取pcap-NG文件的庫是NTAR庫。但是，它只能讀取pcap-NG文件，而不能讀取pcap文件。