tcpdump输出与pcap文件不一致

在使用 tcpdump 命令时，可以将结果保存成 pcap 文件格式，使用 Wireshark 或 tcpdump 工具进行分析。然而有时候我们会发现，tcpdump 输出的数据包与捕获到的 pcap 文件中的数据包不匹配。这种情况可能是由于 tcpdump 输出的是未经修改的原始数据包，而 pcap 文件中的数据包已经经过了部分解析和改写。

为了解决这个问题，我们可以使用 libpcap 库中的函数 pcap_dump_open() 和 pcap_dump() 将 tcpdump 输出的原始数据包保存为 pcap 文件格式。通过这种方法，我们可以确保采集到的数据包与 pcap 文件中的数据包保持一致。下面是一个示例代码：

#include <pcap.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <arpa/inet.h>
#include <netinet/ip.h>

void process_packet(u_char *args, const struct pcap_pkthdr *header, const u_char *buffer)
{
    // process packet here...
}

int main(int argc, char *argv[])
{
    pcap_t *handle;
    char error_buffer[PCAP_ERRBUF_SIZE];
    struct bpf_program filter;
    bpf_u_int32 mask;
    bpf_u_int32 net;

    // open device for sniffing
    handle = pcap_open_live("eth0", BUFSIZ, 1, 1000, error_buffer);

    // compile the filter expression
    pcap_compile(handle, &filter, "tcp port 80", 1, net);

    // set the filter
    pcap_setfilter(handle, &filter);

    // open a pcap file for writing
    pcap_t *dump_handle = pcap_open_dead(DLT_RAW, BUFSIZ);
    pcap_dumper_t *dump = pcap_dump_open(dump_handle, "capture.pcap");

    // start sniffing
    pcap_loop(handle, -1, process_packet, (u_char*)dump);

    // close the dump file
    pcap_dump_close(dump);

    return 0;
}

这个例子中