cap文件格式解析

简介

　　cap包为通过抓包软件保存下来的数据包文件，不同的抓包软件保存下来的cap包格式也有很大差异，从最开始的4个字节便可以看出，如下列出不同抓包软件的cap包文件前4字节的差异

#define CAP_SNIFFER_WINDOWS_200X        "\x58\x43\x50\x00"  //sniffer抓包的cap文件
#define PCAP_WIRESHARK_TCPDUMP          "\xd4\xc3\xb2\xa1   //wireshark抓包的pcap文件

 　　以下以sniffer抓包的cap文件为示例，但也会介绍下其他cap文件的基本格式。

　　如下是sniffer cap文件头4个字节：

　　如下为其他cap文件头4个字节：

cap文件格式

　　cap文件开始有128字节的文件头部分，接下来是抓获到的数据包部分，包括40字节的数据头和数据内容部分，具体的数据内容的长度需要根据数据头部分确定。cap文件大概结构如下：

　　在此说明下，除了sniffer抓的文件，其他cap文件的格式区别如下，cap文件开始是24字节的文件头部分，接下来同样是数据包部分，包括16字节的数据头和数据内容部分，具体的数据内容的长度同样需要数据头部分确定。

　　以上结构中数据内容部分包括从数据链路控制层头开始，然后IP报头，传输层报头，最后到传输层以及后续的应用层数据。

数据头格式

　　sniffer的128字节或其他类型cap文件的前16字节的文件头部分在此只是取出前4个字节作为区分cap文件类型，其他数据没有用到。所以现在直接开始介绍数据头部分。sniffer的数据头部分为40字节，具体的结构类型如下：

 

　　其他类型cap文件的数据头部分格式如下，长度为16字节：

struct tcpdump_record_head {
	unsigned int time_seconds;  //精确到秒的时间戳
	unsigned int time_microsecondes; //精确到毫秒的时间戳
	unsigned int len;   //数包长度：标识所抓获的数据包保存在cap文件中的实际长度，以字节为单位。
	unsigned int len_copy; //数据包实际长度：所抓获的数据包真实的长度，如果文件中保存不是完整的数据包，那么这个值可能要比前面的数据包长度的值大
};

 

数据内容解析

　　根据以上读取出头部信息中的数据长度，截取相应长度的数据内容进行解析，以下根据协议层数只解析每层协议头部的个别字段，通过此方式对数据内容进行逐层解析。

1、首先解析数据链路层协议

　　对数据内容跳转12个字节，过滤MAC信息，获取2字节的协议类型字段，此字段标志着数据链路层的下一层是什么协议，对获取出的2字节数据需要进行网络字节序到主机字节序的转换，然后与如下数据进行比较确定下层协议类型：

0x86DD /*ipv6*/ 
0x0800 /* ipv4 */
0x8847 /* MPLS unicast */
0x8848 /* MPLS multicast */
0x0806 /* arp */
0x8035 /* rarp */
0x8863 /* PPPoE protocol */

 2、网络层

　　通过以上方式获取下层协议的类型后，下边我们以ipv4作为示例，假设数据内容的网络层是IPV4，ipv4网络层的数据内容第1个字节就包含了ip协议的版本号和ip层的头长度，具体内容如下：

　　上图中的45,4表示为IPV4，5*4（ip头部长度计算方式需要乘以4）表示ip头部长度，因为这次只获取出1字节内容，所以没必要对数据进行字节序转换。

　　下边是IP的数据包格式：

　　

　　各字段的含义如下：

3、传输层

　　通过以上方式知道了网络层头部长度，可以直接跳过网络层头部部分，下边开始解析传输层。传输层分为TCP和UDP，下边以TCP作为示例，如下是TCP报文格式：

　　根据以上TCP报文格式可知如果想获取TCP头部长度，需要跳过12个字节，获取4位首部长度，为了方便获取，我们会直接获取两个字节（16位）数据，并对获取的数据进行字节序转换，然后获取4位首部长度。如下为实现的代码示例：

short tcpHeaderLenAndFlag = 0;
int tcpHeaderLen = ((ntohs(tcpHeaderLenAndFlag)&0xF000)>>12) * 4; //TCP头部的长度同样需要乘以4

 4、应用层

　　通过上诉方式可以获取TCP的首部长度，直接跳过TCP层来到应用层，因为没有对TCP层进行详细解析，目前无法获取应用层协议的具体协议信息。

通过以上方式解析完数据头和数据内容后，按照cap文件的格式，下边又会是数据头和数据内容，直到把cap文件全部解析完。

总结

　　本次简单介绍了cap文件的格式，以及协议的基本解析，因为会涉及到非常多的协议，在此不对数据包的具体内容进行解析。