请问用Wireshark捕获保存的*.cap文件的格式是什么？

组成pcap格式文件，首先按照这个结构写入一个24字节包头：

typedef struct pcap_hdr_s {

guint32 magic_number /* magic number */

guint16 version_major /* major version number */

guint16 version_minor /* minor version number */

gint32 thiszone /* GMT to local correction */

guint32 sigfigs /* accuracy of timestamps */

guint32 snaplen /* max length of captured packets, in octets */

guint32 network /* data link type */

} pcap_hdr_t

然后是16字节的包描述（注意后面的说明）：

typedef struct pcaprec_hdr_s {

guint32 ts_sec/* timestamp seconds */ 抓包的时间，可以填0

guint32 ts_usec /* timestamp microseconds */ 毫秒数，直接以0填充

guint32 incl_len /* number of octets of packet saved in file */文件中的包长，就是(Etherne+udp+snmp)的总长度了

guint32 orig_len /* actual length of packet */ 原始包长，和上面长度相同

} pcaprec_hdr_t

构造好的就是这个然后加入碰猜数据包的信碧吵宏息，如此循环...

填充的结果类似这种：

00000000 D4 C3 B2 A1 02 00 04 00 00 00 00 00 00 00 00 00

00000010 60 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00

00000020 3E 00 00 00 3E 00 00 00 <你的数据包悔册内容，长度62(0x3E)字节>

然后用Wireshark打开就可以看到数据包了

ewsa常用的导入包是*.cap文件，大小一般在几K到几百K之间，

可由Wnidows平台下的AirCrake生成

也可以由bt4平冲竖耐台下的纤吵wepspoon2生成。

另外的导入包是*.wkp文件，ewsa工程文件，可由带reaver功能（俗称打气筒，散春pin码破解）的wepspoon2生成。

不论是cap文件或是wkp文件，只要正常的都能用。

---