访问pcap文件标题

Question

是否有任何检索pcap文件标题的功能，还是手动完成（类型转换）？

Answer 1

你想从文件头中检索什么信息？

您可以使用pcap_major_version()和pcap_minor_version()，快照长度为pcap_snapshot()，链接层类型为pcap_datalink()获取主版本和次版本。不能保证时区偏移和时间戳准确性是有效的（libpcap将两者都设置为0）。另请注意，libpcap 1.1.0和更高版本可以读取pcap-ng文件，其中不具有 pcap文件头。

Libpcap库不提供程序直接交给你的文件头，并且不提供任何你可以类型转换是文件头，所以你无法做到这一点，和libpcap。如果你想读取文件头，你必须编写自己的代码替换 libpcap，并且该代码将无法处理，例如，pcap-ng文件（这将是默认的文件类型不同于使用libpcap的代码（只要pcap-ng文件中的所有网络接口具有相同的链接层标题类型和快照长度，它们可以读取pcap-ng文件libpcap 1.1.0或更高版本）。

Answer 2

pcap文件头由libpcap内部处理。你不应该手动操作它。

您可以使用pcap_dump_open打开pcap文件进行书写。

您可以使用pcap_open_offline打开一个pcap文件供阅读。