pacp文件格式

参考文档链接：https://blog.csdn.net/u013793399/article/details/51474831
https://www.freesion.com/article/86761331601/
https://aandds.com/blog/network-tls.html#org0000007
https://www.cnblogs.com/LittleHann/p/3733469.html

Global Header （共 24 Byte）

整个数据流文件，只会有一个 Global Header，它定义了本文件的读取规则、最大储存长度限制等内容；

Magic：4Byte：标记文件开始，并用来识别文件自己和字节顺序。0xa1b2c3d4用来表示按照原来的顺序读取，0xd4c3b2a1表示下面的字节都要交换顺序读取。考虑到计算机内存的存储结构，一般会采用0xd4c3b2a1，即所有字节都需要交换顺序读取。
Major：2Byte： 当前文件主要的版本号，一般为 0x0200【实际上因为需要交换读取顺序，所以计算机看到的应该是 0x0002】
Minor：2Byte： 当前文件次要的版本号，一般为 0x0400【计算机看到的应该是 0x0004】
ThisZone：4Byte：当地的标准时间，如果用的是GMT则全零，一般都直接写 0000 0000
SigFigs：4Byte：时间戳的精度，设置为 全零 即可
SnapLen：4Byte：最大的存储长度，如果想把整个包抓下来，设置为 ffff 0000，但一般来说 ff7f 0000就足够了【计算机看到的应该是 0000 ff7f 】
LinkType：4Byte：链路类型，常用类型有以下几种，其他的，需要用的时候再查就行了。
常用链路类型
0 BSD loopback devices, except for later OpenBSD
1 Ethernet, and Linux loopback devices
6 802.5 Token Ring
7 ARCnet
8 SLIP
9 PPP
10 FDDI
100 LLC/SNAP-encapsulated ATM
101 “raw IP”, with no link
102 BSD/OS SLIP
103 BSD/OS PPP
104 Cisco HDLC
105 802.11
108 later OpenBSD loopback devices (with the AF_value in network byte order)
113 special Linux “cooked” capture
114 LocalTalk
Packet Header（共 16 Byte）

Packet Header可以有多个，每个Packet Header后面会跟着一串Packet Data，Packet Header定义了Packet Data的长度、时间戳等信息。

• Timestamp：被捕获时间的高位，单位是seconds
• Timestamp：被捕获时间的低位，单位是microseconds
• Caplen：当前数据区的长度，即抓取到的数据帧长度，不包括Packet Header本身的长度，单位是 Byte ，由此可以得到下一个数据帧的位置。
• Len：离线数据长度：网络中实际数据帧的长度，一般不大于caplen，多数情况下和Caplen数值相等。

Packet Data（共 Caplen Byte）

在包头之后，就是数据包的数据了，数据长度就是Caplen个Byte，在这之后就是一个新的Packet Header，定义一个新的Packet Data属性，再接一个新的Packet Data，如此循环。

原文地址：http://www.cnblogs.com/mengjianning/p/16835595.html