wireshark的pcapng的文件格式

在linux平台下，用wireshark-1.12.2进行抓包并保存，文件格式是.pcapng格式。由于项目需求，需要搞清楚其文件格式。通过将保存的.pcapng文件用UltraEdit打开，观察其二进制形式。如下图：

在wireshark下，其数据包如下所示

经过对比，在第一个数据包之前应该是文件的头信息和第一个数据包的管理信息。从UE中可以看出，0d0h是第一个数据包的具体信息，而这前面有文件头和各个子块的头。这里首先要区分这两个头的格式。

而windows下的UE显示是

wireshark显示是

可以看出从0100h开始才是第一个数据包，之前是文件头和第一个数据包的管理信息。

可以看出不同的系统文件头是不一样的。文件头里面也包括着操作系统，抓包工具，内核版本等一系列相关的信息，之后是数据包管理信息。