C 語言自製 PCAP 檔案寫入大量 TCP 封包時出錯的排查與解決

問題現象

開發者嘗試用 C 語言手動寫入 PCAP 檔案，單獨寫入一兩個封包正常，但封包數量增加後，Wireshark 開啟檔案時只能顯示前幾個封包，部分封包前面少了 4 個位元組。使用 UE 編輯器檢視檔案頭與封包頭似乎正確。

原因分析

手動構建 PCAP 檔案極易出錯，常見問題包括：

• 全域檔案頭的魔數、版本號、時區、時間戳精度等欄位設定錯誤。
• 每個封包頭的時間戳、擷取長度、原始長度計算不正確。
• 資料對齊或位元組序（大小端）處理不當。
• 封包資料長度與封包頭宣稱長度不一致。

最佳實踐建議

強烈建議使用成熟的 libpcap (Windows 上為 WinPcap/Npcap) 函式庫來建立 PCAP 檔案，避免手動處理二進位格式產生的難以除錯的 Bug。

參考資源

https://ask.csdn.net/questions/199693

總結

除非為了教學目的深入了解檔案格式，實務開發中請直接呼叫 pcap_dump_open、pcap_dump 等 API，由函式庫保證格式正確性。