cap文件格式解析

简介

　　cap包为通过抓包软件保存下来的数据包文件，不同的抓包软件保存下来的cap包格式也有很大差异，从最开始的4个字节便可以看出，如下列出不同抓包软件的cap包文件前4字节的差异

#define CAP_SNIFFER_WINDOWS_200X        "\x58\x43\x50\x00"  //sniffer抓包的cap文件
#define PCAP_WIRESHARK_TCPDUMP          "\xd4\xc3\xb2\xa1   //wireshark抓包的pcap文件

 　　以下以sniffer抓包的cap文件为示例，但也会介绍下其他cap文件的基本格式。

　　如下是sniffer cap文件头4个字节：

　　如下为其他cap文件头4个字节：

cap文件格式

　　cap文件开始有128字节的文件头部分，接下来是抓获到的数据包部分，包括40字节的数据头和数据内容部分，具体的数据内容的长度需要根据数据头部分确定。cap文件大概结构如下：