tcpdump输出的时间格式(21:14:07.276319)是怎么取出来的

yjh777

如题，有没有范例代码？

caijimin

pcap文件的格式为：
  文件头    24字节
  数据包头 + 数据包  数据包头为16字节，后面紧跟数据包
  数据包头 + 数据包  ......

pcap.h里定义了文件头的格式
struct pcap_file_header {
        bpf_u_int32 magic;
        u_short version_major;
        u_short version_minor;
        bpf_int32 thiszone;     /* gmt to local correction */
        bpf_u_int32 sigfigs;    /* accuracy of timestamps */
        bpf_u_int32 snaplen;    /* max length saved portion of each pkt */
        bpf_u_int32 linktype;   /* data link type (LINKTYPE_*) */
};
看一下各字段的含义：
magic：    4字节 pcap文件标识 目前为“d4 c3 b2 a1”
major：    2字节 主版本号     #define PCAP_VERSION_MAJOR 2
minor：    2字节 次版本号     #define PCAP_VERSION_MINOR 4
thiszone：4字节 时区修正     并未使用，目前全为0
sigfigs：   4字节 精确时间戳   并未使用，目前全为0
snaplen： 4字节 抓包最大长度 如果要抓全，设为0x0000ffff（65535），
               tcpdump -s 0就是设置这个参数，缺省为68字节
linktype：4字节 链路类型    一般都是1：ethernet

|    magic      |major   | minor |   thiszone    |   sigfigs      |   snaplen   |  linktype   |
| d4 c3 b2 a1 | 02 00 | 04 00 | 00 00 00 00 | 00 00 00 00 | ff ff 00 00 | 01 00 00 00 |

数据包头的格式
struct pcap_pkthdr {
        struct timeval ts;        /* time stamp */
        bpf_u_int32 caplen;     /* length of portion present */
        bpf_u_int32 len;         /* length this packet (off wire) */
};
struct timeval {
        long            tv_sec;             /* seconds (XXX should be time_t) */
        suseconds_t     tv_usec;        /* and microseconds */
};
ts：      8字节 抓包时间 4字节表示秒数，4字节表示微秒数
caplen：4字节 保存下来的包长度（最多是snaplen，比如68字节）
len：     4字节 数据包的真实长度，如果文件中保存的不是完整数据包，可能比caplen大

yjh777

找到了，自问自答吧:
        struct timeval tp;
        struct tm *timep = NULL;
        if (gettimeofday(&tp, NULL)) {
            perror("gettimeofday() failed");
        }
        timep = localtime(&(tp.tv_sec));
        if (NULL != timep) {
            fprintf(fp, "{%s}[%d:%d:%d.%lu]\n", str,
                    timep->tm_hour, timep->tm_min, timep->tm_sec, tp.tv_usec);
        }

ziggler

晚了一步。

yjh777

原帖由 ziggler 于 2009-7-17 09:53 发表
晚了一步。

那再加一个问题: tcpdump -w file 写文件的格式是什么样的？ 除了报文内容还有哪些信息？
(我想把模块里收到的报文DEBUG时按tcpdump标准格式记录到文件里，然后用tcpdump -r解析读出来，省得自己写解析了)

urapple

真逗

yjh777

我按格式写入数据

可是tcpdump -r mydumpfile看的时候，报错说我伪造文件头

tcpdump: pcap_loop: bogus savefile header

怎么回事啊？

yjh777

明白了，
偶自作聪明把报文头里的时间长度等信息转成网络字节序了(因为我觉得这样就跨平台了)，去掉蛇足就好了。