libpcap中的pcap_t * pcap_open_offline（const char * fname，char * errbuf）是否将整个pcap文件读入内存？

Question

是否

pcap_t *pcap_open_offline(const char *fname, char *errbuf) 

从libpcap读取整个pcap文件到内存？ 如果不是这样，我必须使用tcpslice或类似工具将pcap文件拆分吗？

谢谢。

Answer 1

用一种奇怪的方式来表达您的问题，但我会尽力回答。

pcap_open_offline()将.dump文件（或tcpdump，tcpslice或libpcap的pcap_dump_open() + pcap_dump()函数的类似名称的输出）作为输入。

该文件的格式和功能与网络设备IE的实时跟踪完全相同，您可以在pcap_next，pcap_loop等中使用此pcap_t对象。

以任何方式更改转储文件（IE，剥离信息或仅使用tcpslice或Wireshark解析所需的文件）将使pcap_open_offline()无法读取转储文件，因为它不会以实时数据包跟踪的方式进行格式化。

但是，它不会一次将整个文件加载到内存中。 就像您从实时跟踪流式传输数据包一样，它流式传输文件。

总结一下： pcap_open_live()打开未更改的tcpdump / tcpslice转储，并像实时流一样读取它。 它不会将整个文件加载到其内存中，因为转储会变得很大！ 相反，它只是遍历文件，一次仅加载一个数据包的文件价值。