有人有 *.pcap 操作库的经验吗？

Question

我正在使用 SharpPcap + PacketDotNet 库来处理一些 .pcap 文件，并在计算时间戳的方式中遇到了错误。

采用这个 Timeval 属性，它是这样的：

PosixTimeval Timeval
{
    DateTime Date;
    ulong Seconds;
    ulong MicroSeconds;
}

问题如下：假设您在 Wireshark 中打开了一个跟踪，其中一个数据包的时间戳为“0.002”。一旦您在某个程序中打开它，它就会检索数据包并设置其 Timeval，以便 Seconds = 0 和 MicroSeconds = 002 = 2。这是在幕后完成的，所以据我所知，没有办法避免它。

我的问题是，这个问题对于其他操作 pcap 文件格式的库（也许是所有库？）来说是否是常见的，我认为这些文件格式是围绕相同的 c/c++ 函数集合构建的，或者如果这只是与我正在使用的。

Answer 1

我是 Sharppcap/packet.net 的作者。

您在时间戳值中看到的错误是什么？您提到的转换似乎是正确的。 0.002 秒是 2 毫秒。

时间戳值应该是捕获数据包时的完整 unix timeval。当然，0.002 的 timeval 作为绝对时间没有意义，而只是相对时间。

如果还没有，我将向 Sharppcap 添加一个单元测试来验证数据包时间。