Glosario
pcap
pcap es el formato clásico de captura de paquetes: una cabecera de 24 bytes y registros con marca de tiempo, con un tipo de enlace y un snaplen por archivo.
pcap (packet capture) es el formato de archivo clásico para tráfico de red grabado, que escriben tcpdump y otras herramientas basadas en libpcap. Un archivo empieza con una cabecera de 24 bytes que contiene un número mágico, una versión, el snaplen y el tipo de capa de enlace, seguida, para cada paquete, de una cabecera de registro de 16 bytes y los bytes capturados.
El número mágico indica a la vez el orden de bytes de quien escribió el archivo y la resolución de las marcas de tiempo: microsegundos (0xA1B2C3D4) o nanosegundos (0xA1B23C4D). Como el tipo de enlace y el snaplen son globales, un archivo pcap no puede mezclar interfaces de distinto tipo; su sucesor, pcapng, sí puede. El IETF está documentando el formato en el borrador PCAP Capture File Format. Consulta pcap vs pcapng para una comparación completa.