Glossar
pcap
pcap ist das klassische Paketmitschnitt-Format: ein 24-Byte-Header, gefolgt von Paketeinträgen mit Zeitstempel, mit einem Link-Typ und einer Snaplen pro Datei.
pcap (Packet Capture) ist das klassische Dateiformat für aufgezeichneten Netzwerkverkehr, geschrieben von tcpdump und anderen libpcap-basierten Tools. Eine Datei beginnt mit einem 24 Byte langen Header mit Magic Number, Version, Snaplen und Link-Layer-Typ; danach folgen für jedes Paket ein 16 Byte langer Eintrags-Header und die aufgezeichneten Bytes.
Die Magic Number verrät sowohl die Bytereihenfolge des schreibenden Systems als auch die Zeitstempelauflösung: Mikrosekunden (0xA1B2C3D4) oder Nanosekunden (0xA1B23C4D). Da Link-Typ und Snaplen global gelten, kann eine pcap-Datei keine Interfaces unterschiedlichen Typs mischen; ihr Nachfolger pcapng kann das. Die IETF dokumentiert das Format im Draft PCAP Capture File Format. Einen vollständigen Vergleich bietet PCAP vs. PCAPNG.