C++解析PCAP文件：如何识别UDP与非UDP数据包？

核心逻辑：逐层判断，不能依赖固定字节位置 #

PCAP里的协议标识是分层的，你得从链路层到网络层逐层解析，步骤如下：

1. 先跳过PCAP全局头和数据包头
   PCAP文件开头是24字节的全局文件头，之后每个数据包前是16字节的数据包头（记录时间戳、捕获长度），这两部分都不包含协议类型信息，直接跳过，去读后面的链路层原始帧数据。

2. 判断链路层帧类型（以太网卡场景）
   链路层帧的前14字节是以太网帧头，其中第13-14字节（大端序）是以太网类型字段：

   • 若值为0x0800：属于IPv4数据包，继续解析IP头
   • 若值为0x0806：是ARP数据包，直接跳过
   • 若值为0x8100：是带VLAN标签的帧，需跳过4字节VLAN头后，再读取新的以太网类型字段
   • 其他值（比如STP的0x0026）：直接忽略

3. 解析IPv4头识别UDP
   确认是IPv4数据包后，IP头的第10字节是协议标识字段：

   • 该字段值为17时，就是UDP数据包
   • 其他值对应不同协议（如6是TCP，1是ICMP）

关键注意点 #

• 所有多字节字段（以太网类型、IP头长度等）都是网络大端序，C++解析时要转成本地字节序（可以用ntohs()/ntohl()，或者自己实现位运算转换）
• IP头长度不固定，要看IP头第0字节的高4位（计算方式：(ip_header[0] >> 4) * 4），跳过对应长度后才是UDP头

内容的提问来源于stack exchange，提问作者gil_mo