在仍在寫入時讀取.pcap 文件

Question

我正在編寫一個 windows C++ 應用程序，該應用程序正在讀取.pcap 文件並根據USBPcap結構表示數據包頭（和數據）。

A.pcap 文件由USBPcap或Wireshark創建，包含我的鼠標移動數據。

當我有 normal.pcap 文件時一切正常，但我想知道是否有辦法打開那個 .pcap 文件並從中讀取數據，同時它仍然被寫入（雖然它仍在跟蹤我的鼠標移動） . 我嘗試使用pcap_open_offline()打開它，但這給了我一個 NULL 指針。

有沒有辦法做到這一點？ 感謝您的任何意見。

Answer 1

有沒有辦法做到這一點？

第 1 步是確保 USBPcap 以“deny none”打開文件，以便其他程序可以打開並從中讀取。 如果它不這樣做，請請求添加一個選項以允許它這樣做。

然后請記住，libpcap（WinPcap 和 Npcap 所基於的）不希望從正在寫入的文件中讀取，因此它會在到達當前結束時報告文件結尾或錯誤文件，沒有任何規定可以繼續從文件中讀取，因此使用 libpcap/WinPcap/Npcap 將不起作用。

這意味着您必須編寫自己的代碼才能從文件中讀取。 請參閱此規范草案以了解 pcap 文件格式。

（理想情況下，USBPcap 將提供一個庫，而不僅僅是一個程序，從捕獲設備讀取；這將允許 libpcap 直接捕獲 Windows 上的 USB 流量，在這種情況下，您可以使用它。）