Wireshark的Pcap文件格式分析和解析源码.docVIP

 HYPERLINK javascript:; Wireshark的Pcap文件格式分析及解析源码 下面主要介绍下Ethereal默认的*.pcap文件保存格式。　 Pcap文件头24B各字段说明： Magic：4B：0x1A 2B 3C 4D:用来标示文件的开始 Major：2B，0x02 00:当前文件主要的版本号 Minor：2B，0x04 00当前文件次要的版本号 ThisZone：4B当地的标准时间；全零 SigFigs：4B时间戳的精度；全零 SnapLen：4B最大的存储长度 LinkType：4B链路类型 常用类型： 　0 BSD loopback devices, except for later OpenBSD1 Ethernet, and Linux loopback devices6 802.5 Token Ring7 ARCnet8 SLIP9 PPP10 FDDI100 LLC/SNAP-encapsulated ATM101 raw IP, with no link102 BSD/OS SLIP103 BSD/OS PPP104 Cisco HDLC105 802.11108 later OpenBSD loopback devices (with the AF_value in network byte order)113 special Linux cooked capture114 LocalTalk Packet 包头和Packet数据组成 字段说明： Timestamp：时间戳高位，精确到seconds Timestamp：时间戳低位，精确到microseconds Caplen：当前数据区的长度，即抓取到的数据帧长度，由此可以得到下一个数据帧的位置。 Len：离线数据长度：网络中实际数据帧的长度，一般不大于caplen，多数情况下和Caplen数值相等。 Packet 数据：即 Packet（通常就是链路层的数据帧）具体内容，长度就是Caplen，这个长度的后面，就是当前PCAP文件中存放的下一个Packet数据包，也就是说：PCAP文件里面并没有规定捕获的Packet数据包之间有什么间隔字符串，下一组数据在文件中的起始位置。我们需要靠第一个Packet包确定。最后，Packet数据部分的格式其实就是标准的网路协议格式了可以任何网络教材上找得到。 以下是我的实现，针对自定义的UDP的抓包文件进行解析typedef struct tagIpHead{int version;//版本int headLength; //头长度int diffsever; int totallength; //总长度int identification; int flag;int fragment;int ttl;int protocoltype; //协议类型int checksum;unsigned long srcip;//源ipunsigned long dstip;//目的ip}IP_HEAD;typedef struct tagUdpHead{ unsigned short srcport; //源端口unsigned short dstport; //目的端口int length; //udp包长度}UDP_HEAD;unsigned long FileParse::Parse( const char* FileName,bool bThreadRun)//,HWND hwnd ){if (_wass_session){delete _wass_session;_wass_session = NULL;}_wass_session = new WassSessions();//////////////////////////////////////////////////////////////////////////unsigned long lRes =0;FILE* pFile=NULL;int nReadSize = 0;char buff[FILE_READ_LEN];char acip[30];char portalip[30];char radiusip[30];unsigned long timestamp1;unsigned long timestamp2;CConfigure* config=new CConfigure();if (config){//读取ip地址，添加到iplist中unsigned long ipTmp=0;