如何获取pcapng文件的Section、Interface Header及Interface ID？

问题背景 #

需要解析pcapng文件并提取所有数据（包括含interface_id的Header sections），但发现getNextPacket()默认跳过Section Header Block(SHB)和Interface Description Block(IDB)，直接返回首个Enhanced或Simple Packet Block，与自定义字节流解析器输出不一致。需要获取SHB、IDB信息，以及每个数据包对应的Interface ID。

解决方案 #

PcapPlusPlus针对pcapng格式提供了PcapNgFileReaderDevice类（而非通用的IFileReaderDevice基类），该类支持读取SHB、IDB等非数据包块：

• 读取Section Header Block：调用getNextSectionHeader()方法
• 读取Interface Description Block：调用getNextInterfaceDescription()方法
• 获取数据包的Interface ID：每个RawPacket对象可通过getInterfaceId()方法直接获取所属的接口ID

代码示例 #

#include <pcapng/PcapNgFileReaderDevice.h>
#include <RawPacket.h>
#include <Packet.h>
#include <iostream>

int main() {
    std::string inputFileName = "your_file.pcapng";
    pcpp::PcapNgFileReaderDevice reader(inputFileName);

    if (!reader.open()) {
        std::cerr << "无法打开pcapng文件" << std::endl;
        return 1;
    }

    // 读取所有Section Header Blocks
    pcpp::PcapNgSectionHeader shb;
    while (reader.getNextSectionHeader(shb)) {
        std::cout << "读取到Section Header Block:" << std::endl;
        std::cout << "  字节序: " << (shb.isBigEndian() ? "大端" : "小端") << std::endl;
        std::cout << "  主版本号: " << (int)shb.getMajorVersion() << std::endl;
        std::cout << "  次版本号: " << (int)shb.getMinorVersion() << std::endl;
        std::cout << "  区块总长度: " << shb.getTotalLength() << std::endl;
    }

    // 读取所有Interface Description Blocks
    pcpp::PcapNgInterfaceDescription idb;
    while (reader.getNextInterfaceDescription(idb)) {
        std::cout << "\n读取到Interface Description Block:" << std::endl;
        std::cout << "  接口ID: " << (int)idb.getInterfaceId() << std::endl;
        std::cout << "  链路类型: " << (int)idb.getLinkType() << std::endl;
        std::cout << "  快照长度: " << idb.getSnapshotLength() << std::endl;
    }

    // 读取数据包并获取每个包的Interface ID
    pcpp::RawPacket rawPacket;
    pcpp::Packet parsedPacket;
    size_t packetCount = 0;

    while (reader.getNextPacket(rawPacket)) {
        packetCount++;
        parsedPacket = pcpp::Packet(&rawPacket);
        std::cout << "\n数据包 #" << packetCount << " 的接口ID: " << (int)rawPacket.getInterfaceId() << std::endl;
        // 后续可处理解析后的数据包内容
    }

    reader.close();
    return 0;
}

说明 #

• PcapNgFileReaderDevice是pcapng格式的专属读取器，比通用的IFileReaderDevice提供了更多针对pcapng结构的操作方法
• 读取SHB和IDB需在调用getNextPacket()之前完成，否则文件指针会跳过这些块直接指向数据包
• 每个数据包的getInterfaceId()返回值对应之前读取的IDB的接口ID，可用来关联数据包所属的接口信息

内容的提问来源于stack exchange，提问作者123inkypin