tcpdump PCAP 文件格式有效负载字节

Question

最近我决定仔细研究 tcpdump 文件格式（即 pcap）的有效负载字节，我意识到它们没有意义。这些是在 OS/X 上收集的。

它们绝对总是以 00 00 开头。

有效负载长度通常在 39 字节、310 字节、1500 字节左右。

查看字节，它们通常以 00 00 19 00 6f 08 00 00 或 00 00 24 00 0b 00 0c 00 开头。

它们似乎不是以以太网帧、IP 前导码、UDP 标头、TCP 标头或任何其他预期数据开头。当我在数据中搜索我的 IPv4 MAC 地址时，我经常会找到它，但并非总是如此。与 IPv6 地址相同。当我在数据中搜索我的 IP 地址时，同样的处理。

许多数据包似乎涉及搜索或获取有关其他 Wifi 网络的信息。

其中大部分似乎是识别我周围（许多）Wifi路由器的操作，但我不知道该数据的格式。

谁能指出有效载荷字节的技术解释？谢谢。

我还应该补充一点，tcpdump 本身无法读取这些 pcap 文件，这些文件是在 OS/X 上生成的。生成它们的命令是

 /usr/sbin/tcpdump -s 0 -w output.pcap -vv -In -i en1

其他人推荐的以下命令无法正确转储它们：

 tcpdump -qns 0 -X -r output.pcap | less

实际上它会生成提及“tsft 1.0 Mb/s 2452 MHz 11g -78dB 信号 -91dB 噪声天线 0 Beacon”的行。

Answer 1

实际上它会生成提及“tsft 1.0 Mb/s 2452 MHz 11g -78dB 信号 -91dB 噪声天线 0 Beacon”的行。

这有什么问题？它以应有的方式剖析 radiotap 标头。

您使用-I 标志捕获，这意味着您在监控模式下捕获。默认情况下，在 OS X 上（大多数情况下在 Linux 和 *BSD 上），它使用 radiotap 标头进行捕获，提供无线电层元数据。

pcap 文件在文件头中有一个“linktype”值；对于捕获流量的每个网络接口，pcap-ng 文件的每个接口描述块中都有一个“linktype”值。这些值在 tcpdump.org 网站的link-layer header types 页面上进行了描述。您的捕获可能具有 127 的链路层标头类型值，即 LINKTYPE_IEEE802_11_RADIOTAP，并且数据包以 radiotap 标头开头，然后是 802.11 帧。

它们绝对总是以 00 00 开头。

这是radiotap头的it_version字段，后面是it_pad字段；当前存在的唯一版本的 radiotap 标头是版本 0，并且填充字段几乎总是如果不总是设置为 0（其值无关紧要）。

查看字节，它们通常以 00 00 19 00 6f 08 00 00 或 00 00 24 00 0b 00 0c 00 开头。

19 00 和24 00 是两个字节的it_len 字段；它是 little-endian，所以19 00 是 0x0019，或 25，24 00 是 0x0024，或 36。（19 00 有点可疑，因为它不是 4 的倍数。）这就是radiotap 标头。