如何分析由Winpcap存入文件的数据包

[dingyongqiang117]

如何分析由Winpcap存入文件的数据包，列如数据包属于哪一协议的。

[oyljerry]

IP包中有个字段描述协议

[nntg]

对于这个问题，要好好学习tcp/ip原理了。
winpcap抓到的一般都是原始的以太网帧，帧头结构大致入下定义：
typedef struct eth_header
{
mac_address eh_dst;
mac_address eh_src;
u_short eh_type;
}eth_header;
其中eh_type就指明了这个帧的类型，最常见的0x0800为IP，0x0806为arp
但判断该帧类型为0x0800后，可以进一步分析这个IP数据包的类型
紧跟着以太网帧头后面是IP包头，其中IP包头有个协议字段，分析该字段可以进一步判断IP数据包的类型，如tcp、udp、icmp等