幻数为“0x4d3cb2a1”和“0xd4c3b2a1”的 PCAP 文件有什么区别？

Question

我有两个 PCAP 文件，A 和 B。

A 在d4 c3 b2 a1 的标头中有一个“幻数”，B 在4d 3c b2 a1 的标头中有一个“幻数”。根据wireshark文档（http://wiki.wireshark.org/Development/LibpcapFileFormat），只有0xd4c3b2a1和0xa1b2c3d4是有效的幻数，这让我认为B不是有效的幻数。

在 linux 上运行 file 支持这一点，file A 的输出为：

tcpdump capture file (little-endian) - version 2.4 (Ethernet, capture length 65535)

file B 简单地给出：

data

看起来无论写什么B 都是以“交换”（小端）格式写的，但是用半字节写错了forst twp字节。鉴于我希望大端系统以相反的方式写入整个 int32 而不是单个字节，因此给出了 1a 2b 3c 4d 的幻数。

B 是有效文件吗？如果是这样，为什么？不同的系统能否以任意顺序在一个字节中同时写入 32 位整数和单个半字节？

Answer 1

幻数为“0x4d3cb2a1”和“0xd4c3b2a1”的PCAP文件有什么区别？

幻数为 0xa1b23c4d 或 0x4d3cb2a1 的 pcap 文件是一个 pcap 文件，其中数据包时间戳以秒和 纳秒为单位。

幻数为 0xa1b2c3d4 或 0xd4c3b2a1 的 pcap 文件是“常规”pcap 文件，其中数据包时间戳以秒和 微秒 为单位。

你从哪里得到文件 B？以“纳秒分辨率”格式写入文件的唯一标准 libpcap 版本是 libpcap Git 树的主干上的版本，并且只有在使用 libpcap 的程序正在读取另一种“纳秒分辨率”格式或明确请求时才会发生这种情况来自网络适配器的纳秒分辨率时间戳（目前仅在 Linux 上受支持，并且可能需要足够新的内核）。这也是唯一可以读取它们的版本。默认情况下，Wireshark 不会生成它们，尽管最新版本的 Wireshark 可以读取它们。