C語言自製 PCAP 文件兼容 Wireshark：從 ETL 提取到 Libpcap 落地

問題背景

使用 `netsh trace` 抓取網絡數據生成 `.etl` (ETW) 文件，需提取數據包與進程 ID，轉為 `.pcap` 供 Wireshark 分析。嘗試手工構造 PCAP 結構寫入，遭遇 UDP/TCP 校驗和錯誤、長度截斷、鏈路層類型不匹配等問題。

核心教訓：放棄手工拼接，擁抱 Libpcap

同 文章 32739，手工構造 PCAP 全局頭、包頭、校驗和極易出錯。Libpcap/WinPcap 提供標準 API，保證生成文件 100% 合規。

完整工程流程

1. ETL 解析：使用 Microsoft TDH (Trace Data Helper) API 讀取 `.etl`，枚舉事件記錄。
   • 關鍵提供者：`Microsoft-Windows-TCPIP` (GUID: `{9A280AC0-C8E0-11D1-84E2-00C04FB998A2}`)。
   • 事件 ID：`Send` / `Receive` 等包含完整以太網幀負載、PID、時間戳。
2. 數據提取：從事件 `EventRecord->UserData` 獲取原始幀數據指針與長度，提取 PID (`EventRecord->EventHeader.ProcessId`)。
3. PCAP 寫入：對每個進程創建獨立 `.pcap` (如 `PID_1234.pcap`)，使用 Libpcap API 寫入：

關鍵代碼框架

#include 
#include  // Windows TDH API

// 為每個 PID 維護一個 dumper
typedef struct {
    DWORD pid;
    pcap_dumper_t *dumper;
    pcap_t *pd;
} PcapWriter;

PcapWriter* get_writer(DWORD pid) {
    // 查找或創建 PcapWriter
    // pcap_open_dead(DLT_EN10MB, 65535)
    // pcap_dump_open(pd, filename)
}

void write_packet(PcapWriter *w, const u_char *data, int len, ULONGLONG timestamp) {
    struct pcap_pkthdr hdr;
    hdr.ts.tv_sec = (long)(timestamp / 10000000); // FILETIME -> 秒
    hdr.ts.tv_usec = (long)((timestamp % 10000000) / 10); // -> 微秒
    hdr.caplen = len;
    hdr.len = len;
    pcap_dump((u_char*)w->dumper, &hdr, data);
}

// 主循環：遍歷 ETL 事件
// 1. TdhOpenTrace / TdhEnumerateProviders ...
// 2. 對每個網絡事件：
//    PID = event.EventHeader.ProcessId
//    payload = extract_payload(event)
//    writer = get_writer(PID)
//    write_packet(writer, payload, payload_len, event.EventHeader.TimeStamp.QuadPart)

進程名稱獲取

• ETL 事件頭僅含 PID。需調用 `OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, FALSE, pid)` + `GetModuleBaseName` / `GetProcessImageFileName` 獲取進程名。
• 或在 TDH 解析階段記錄 `ProcessId` 映射表，事後批量解析。

常見坑位與對策

參考資源

• CSDN 完整解決記錄：https://ask.csdn.net/questions/199693
• Microsoft TDH 文檔：Trace Data Helper Functions
• Libpcap 手冊：pcap_dump
• 開源工具：etl2pcap (C# 參考實現)

「經過不斷地測試，最終放棄按照 pcap 結構體，將數據賦值後寫入文件，因為總是存在一些大大小小的 bug，最後確定還是使用 libpcap」—— 親身踩坑總結，極具參考價值。

1. 上一篇文章： JavaScript 閉包經典面試題：變量捕獲與遞增陷阱
2. 下一篇文章： JSP 頁面集成富文本編輯器：KindEditor / UEditor / CKEditor 選型與避坑指南

程式設計綜合問答

Win8 磁盤管理器黑色分區轉綠色：理解分區類型與擴展分區概念

現象 刪除 Ubuntu 後剩餘 67GB 顯示為**黑色（

Android 打包失敗但程式正常運行？一招解決 Lint 錯誤導出問題

在 Android 開發過程中，經常遇到這種情況：程式在模擬

HTML5 實現上下拉滾動列表：ListView + 滾動條或 CSS overflow

簡單實現方式 原生 CSS：容器設定固定高度 + over

Linux 下 G++ 編譯器處理枚舉類型的常見問題與解決方案

問題背景 在使用 Linux 下的 G++ 編譯器編譯 C+