libpcap - 使用 Radiotap header MAC 时间戳的两个数据包之间的时间差

Question

我正在尝试解析在监控模式下捕获的 802.11 数据包的 radiotap header 的 MAC 时间戳字段。

radiotap header 的 TSFT 字段是 64 位值，以微秒为单位。原始十六进制值在下面突出显示。

MAC时间戳值由Wireshark以十进制表示

此十进制值为 2b1c20cb00000000 的十进制值。

我想做的是使用 radiotap header MAC 时间戳字段中的十六进制值获取两个帧之间的时间差。

例如:

第 2 帧的十进制值为 3106049021945315329 (2b1ae72100000001) 和

第 3 帧有 3106066889009266689 (2b1af76100000001)。

减去这个值得到 1AC47FFFFF5C1。假设以微秒为单位，该值等于 470900214.330817 秒。

通过使用radiotap 头的MAC 时间戳字段中的值，按照此步骤获得0.000071 秒的时间差的过程是什么

谢谢

Answer 1

radiotap header 中的“MAC 时间戳”字段是the value in microseconds of the MAC's 64-bit 802.11 Time Synchronization Function timer when the first bit of the MPDU arrived at the MAC .这是通过您拥有的特定 WiFi 卡的设备驱动程序直接从 MAC 获取的，并且可能准确或不正确，具体取决于驱动程序的实现。

“时间”列显示自接收到第一帧以来耗时。这是由 libpcap 使用主机上的系统时钟计算的，是 libpcap 首次看到该帧的时间。

这两个时间值都是使用不同的时钟计算的，因此无法直接比较。如果 MAC 时间戳字段正确且准确(您的似乎不是 - 可能是驱动程序问题)，则应将其用作引用时间，而 libpcap 时间应仅用作粗略指南。