cap文件格式分析

1、分别使用Sniffer软件和Utraedit软件打开一个cap文件注意：这里分析的network.cap文件不是sniffer软件抓包产生的cap文件，是其他软件抓包的文件，sniffer抓包的cap文件与此相差很大，从最开始的4个字节便可以看出。提供的文件格式分析如下。对比发现：开始的24个字节是文件头部分，接下来是抓获到的数据包部分，包括16个字节的数据头和68个字节的数据内容，数据部分重复出现。PacKmlHeaded|Datai|PacketHead已r2|PacKelD日数据内容从DLC(数据链路控制层)头开始，然后Ip报头，传输层报头(TCPUDPICMPIGMP),最后是传输层数

2、据部分这里每个数据包长度是68个字节。24个字节的文件头部分：netToi-k.ca.pXOOOOOOOOh.：D4C3B2Al02OQ040000000000000000000Q0Q0Q1Q11；ii00QQ00QIQOQ：|J00000020h:EEoaDO0002JJJJDLjj5z_FFFFAID_3;00000033b:D23：E3FS3OE00iSXS2S616SEX00CC二二:000000E1二；_，B5OAQDZGZBFFF7FA丁6G丁tGCLY2；1、标识位magic：32位的，这个标识位的值是16进制的0 xa1b2c3d4。2、主版本号version_major:16

3、位，默认值为0 x2。返回写入被打开文件所使用的pcap函数的主版本号。、副版本号version_minor:16位，默认值为0 x04。、区域时间thiszone:32位，实际上该值并未使用，因此可以将该位设置为0。、精确时间戳sigfigs：32位，实际上该值并未使用，因此可以将该值设置为0。、数据包最大长度snaplen：32位，该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535；例如：想获取数据包的前64字节，可将该值设置为64。这里是0 x44,表示数据包的前68字节。、链路层类型linktype：32位，数据包的链路层包头决定了链路层的类型。这里是0

4、x01，表示链路层是以太网类型。以下是数据值与链路层类型的对应表0BSDloopbackdevices,exceptforlaterOpenBSD1Ethernet,andLinuxloopbackdevices以太网类型，大多数的数据包为这种类型。6802.5TokenRing7ARCnetSLIPPPPFDDILLC/SNAP-encapsulatedATMrawIP,withnolinkBSD/OSSLIPBSD/OSPPPCiscoHDLC802.11108laterOpenBSDloopbackdevices(withtheAF_valueinnetworkbyteorder)spe

5、cialLinuxcookedcaptureLocalTalk下面只对第一个数据包分析，后面的数据包格式类似。16字节的数据包头结构数据包头内容依次是时间戳、当前数据包的长度和实际数据包的长度。(1)时间戳，包括：秒计时：2位，一个UNIX格式的精确到秒时间值，用来记录数据包抓获的时间，记录方式是记录从格林尼治时间的1970年1月1日00:00:00到抓包时经过的秒数。这里是0X51B2F9EE，经粗略计算可以得到当前年份是2013年，对应的月日分秒没有去详细计算。毫秒计时：32位，抓取数据包时的毫秒值。这里是0 x00028149。数据包长度：32位，标识所抓获的数据包保存在pcap文件中的

6、实际长度，以字节为单位。这里是0 x44，即有68个字节，与文件头中规定的一致。数据包实际长度：所抓获的数据包的真实长度，如果文件中保存不是完整的数据包，那么这个值可能要比前面的数据包长度的值大。这里是0 x0214,表示有532个字节。可以肯定，每个数据包的数据包头内容都不会相同，有些部分内容是相近的。数据包内容通常就是链路层的数据帧，长度就是Caplen，这个长度的后面，就是当前PCAP文件中存放的下一个Packet数据包，也就是说：PCAP文件里面并没有规定捕获的Packet数据包之间有什么间隔字符串，下一组数据在文件中的起始位置，我们需要靠第一个Packet包确定。最后，Packet数

7、据部分的格式其实就是标准的网路协议格式了可以任何网络教材上找得到。network.eapX|9?4?早V9a00000000b:r-二三E2AL022DC-20000001011：0000aaCCaaQQQQ79E25L32=L2200000020?：:000000C-20000|oiaa5E7FFFFA107S00000030b:D29S匚F5308aa4Sa026165Eoaao0100000040b:7B57oa.OD2C2EEFFFFFFA.076C07C01F2OOOQOQSQh:773今EIF吒石59202A2085502F00000060b:312E31DOk186F73743A

8、3233|79525100000070n:kCzL0200E0000003202三三三三说明：这里每个数据包的长度是68个字节，包括14字节的DLC，20字节的IP报头，以及后面的34字节IP数据部分。每个数据包的前14字节是以太帧头，即链路层的数据帧头，后面才是ip首部等内容。对图中选中部分简要分析：1、14字节的以太帧头：分别是6字节的目的端MAC地址，6字节的源端MAC地址，2字节的协议类型字段。协议类型字段标注了跟随数据的类型，最常见的有0 x0800IP数据报、0 x0806ARP数据报、0 x0835RARP数据报，如果该字段的取值为0 x0000-0 x05c十进制的0-1500

9、)，则该帧就不是Ethernetll类型了，而是IEEE802.3帧类型之一。这里协议类型是0 x0800,表示后面的数据内容是IP数据报。Q:-:二W-EILD2eCF530500OOOOOOOOh:D4C332AlQ:-:二W-EILD2eCF530500OOOOOOOOh:D4C332Al02000吐000000000000000000jjjjjOlDh:匚匚0000000100CIO00ELF9B2=LQ9=122000000020h:4400000014020000mXQU_E5_QAOD2G2B三于FFFFAC6G二一6G二匚F22222205Dt:G_c2F5辽5?202AZ2W

10、三55532F2、20字节的IP报头netvorlk.capX1q?4$7?q耳OOOOOOOOh:D4C332Al020004000000000000000000fOOOOOOlOh:4400000001000000EEF9325149SI0200f00000020h:二0000S3ItG20000cc00SEFFFA13_EfO00OO03Oh:D2SzCF533S00I45002O165E000001111f00000040h:7E570A0D2C2BEFFFFFfa|j-6:G-6Ccc72fooaoooson：7_34E4FSt4?46592D2A23我卫卫SD2Ffoooaooeo

11、h：S二2ESL3D3A45FS3A32S3EEF9B2SLfrBaElQIFQIPVersion=4.he-s.derlength=20bytesUipDiffServField=OzOOQipODDODO.=DCP-D.BestEffortIPUU=ECT一TransportprotccolwillnotparticipateinECHQipTotalLength=518bytesIPIdentifi匸:且ti匚口=5726耳IPFlags=OzOQip=mayfragmentIP.0=lastfragmentQIFFragmentoffset-0bytesIPTimeto1ive=1se

12、conds/hopsUipProtocol=17(UDP)QipHeaderche匚ksum=Dz7B57(corre匚t)QipSourceaddress=10.13.44.43QIFDestinationaddress=239.255.255.250IPNo口匚比i匚in；m血舐木*检空算整厦u竝JK#类堂Gw)t魁算识注Kr荷邯蛇蛰处也耳的挤顶有)竝充检寸检版4：谊口|*讫的版本号41.映1艸的TPWSJfiK*TOS董wWLM寸足，草K帝吐*Kf*t4l*小牌用四败”当尺全为o董朮剜务沖僅血洛算中岐和祝禅啸饥桶躍粧H：Ar中忡JH啟栽膽抠益绘博一的农用出J*朋描啣：为m农歩比诒辻培料商

13、出时堵uni忑盘的:大他鶴字节希出吋诫詮搀撷町戯童为脱啦港當冋搐静羽；1_襄朋匡酸樺挪十可分阳.DKrSo.-为i丢曲航血还莉分hi*JSmnt弧幵M號斟Ki占曲先;整*Et廐宙中踰址的检亶H忖悚作时阿HliftM叶fibWSt)KJHWlMftf1|ZlMaEtEjMl.宜刊砌“匸Mf(KWJz*r,fFSG.iX娜停说的舟偿必改Jt!f虫rm1nii.iniixotFoxziiM也目邮起与科輪訐銅孜nc理中谀啊拥比.st曲表术昶骸itt*.商则轎m氏甘亠诜顾耐JM1的事条业卷IK护加窕琲槿唆,4H8中咖埠单龙牲对誌据搭41茫静丼为血也的松铁倍ftK蝕捽卜無的佔1星大涉齐if)3、后面的34字节是IP报的数据部分，从IP报头可以看出，数据部分是UDP数据，也细分为UDP报头和UDP数据部分。D.etwork.capXQ1OOOOOOOOh:DECcE2A.L0200Z000000000000000000OOOOOOlOti!匚匚000000CL000000三T