endianness - 魔数(Magic Number)为 "0x4d3cb2a1"和 "0xd4c3b2a1"的 PCAP 文件有什么区别？

Question

我有两个 PCAP 文件，A和 B .
A在 d4 c3 b2 a1 的标题中有一个“魔数(Magic Number)” , B在 4d 3c b2 a1 的标题中有一个“魔数(Magic Number)” .根据wireshark 文档( http://wiki.wireshark.org/Development/LibpcapFileFormat )，只有 0xd4c3b2a1和 0xa1b2c3d4是有效的魔数(Magic Number)，这让我认为 B 不是有效的魔数(Magic Number)。

运行 file在 linux 上支持这一点，输出 file A存在:

tcpdump capture file (little-endian) - version 2.4 (Ethernet, capture length 65535)

file B简单地给出:

data

看起来是这样写的 B以“交换”(小端)格式编写它，但以错误的方式用半字节写入了前 twp 个字节。鉴于我希望大端系统以相反的方式写入整个 int32 而不是单个字节，给出一个魔数(Magic Number) 1a 2b 3c 4d .

是 B一个有效的文件？如果是这样，为什么？不同的系统能否以任意顺序在一个字节中同时写入 32 位整数和单个半字节？

Answer 1

What's the difference between a PCAP file with a magic number of “0x4d3cb2a1” and “0xd4c3b2a1”?

魔数(Magic Number)为 0xa1b23c4d 或 0x4d3cb2a1 的 pcap 文件是一个 pcap 文件，其中数据包时间戳以秒和纳秒为单位。

魔数(Magic Number)为 0xa1b2c3d4 或 0xd4c3b2a1 的 pcap 文件是“常规”pcap 文件，其中数据包时间戳以秒和微秒为单位。

你从哪里得到文件B？以“纳秒分辨率”格式写入文件的唯一标准 libpcap 版本是 libpcap Git 树干上的版本，并且只有在使用 libpcap 的程序正在读取另一种“纳秒分辨率”格式或明确请求时才会发生这种情况来自网络适配器的纳秒分辨率时间戳(目前仅在 Linux 上支持，并且可能需要足够新的内核)。这也是唯一可以阅读它们的版本。 Wireshark 默认不会生成它们，尽管最近版本的 Wireshark 可以读取它们。