Wireshark包开始识别

Question

我有一个“.pcapng”二进制文件，由Wireshark创建。

如何检测其中每个新软件包的开始？

是否有任何特定的字节序列？

或者，如何检测包裹的结束？

Answer 1

（我见过其母语不是英语的人说“包装”而不是“包装” - 两个单词来自同一个单词“pack”，并且同一个单词可以用于两个概念其他语言 - 所以我假设您指的是网络数据包;“包”通常不用于英语的那种意义上。）

pcap-NG文件格式在PCAP Next Generation Dump File Format文档中描述。 pcap-NG文件是一系列块;每个块在开始处具有长度字段（并且在结尾处简化通过文件扫描）。并非所有块都包含数据包;这些块是分组块，扩展分组块和简单分组块。

请注意，libpcap 1.1和更高版本可以读取pcap-NG文件，因此，如果libpcap动态地使用libpcap并在libpcap共享库为1.1或更高版本的系统上运行，则使用libpcap读取捕获文件的任何程序都可以静态链接到libpcap 1.1或更高版本，可以使用用于读取pcap文件的相同API读取一些pcap-NG文件，而不会对程序进行任何更改。 （包含多个接口的pcap-NG文件不能全部具有相同的链接层标题类型或快照长度，因为当前的libpcap API不支持该功能）。没有基于libpcap 1.1的WinPcap版本或更高版本，所以WinPcap目前不能用于读取pcap-NG文件。

另一个可以读取pcap-NG文件的库是NTAR库。但是，它只能读取pcap-NG文件，而不能读取pcap文件。