Glossaire
pcap
Le pcap est le format classique de capture de paquets : un en-tête de 24 octets suivi d'enregistrements horodatés, un type de lien et un snaplen par fichier.
Le pcap (packet capture) est le format de fichier classique du trafic réseau enregistré, écrit par tcpdump et les autres outils basés sur libpcap. Un fichier commence par un en-tête de 24 octets contenant un nombre magique, une version, le snaplen et le type de couche liaison, suivi pour chaque paquet d'un en-tête d'enregistrement de 16 octets et des octets capturés.
Le nombre magique donne à la fois l'ordre des octets de la machine d'origine et la résolution des horodatages : microsecondes (0xA1B2C3D4) ou nanosecondes (0xA1B23C4D). Comme le type de lien et le snaplen sont globaux, un fichier pcap ne peut pas mélanger des interfaces de types différents ; son successeur, le pcapng, le peut. Le format est en cours de documentation à l'IETF dans le brouillon PCAP Capture File Format. Voir pcap vs pcapng pour une comparaison complète.