自製 PCAP 檔案出現「BAD UDP LENGTH」錯誤的解決方案

問題描述

將十六進位字串寫入自製 PCAP 檔案後，Wireshark 顯示 UDP 封包出現 BAD UDP LENGTH > IP PAYLOAD LENGTH 錯誤。開發者已反覆查閱 PCAP 結構定義仍無法解決。

錯誤原因

此錯誤表示 UDP 標頭中宣稱的長度超過了 IP 封包實際承載的長度。常見原因：

• IP 總長度欄位計算錯誤（未含 IP 標頭長度）。
• UDP 長度欄位未包含 UDP 標頭本身的 8 位元組。
• 校驗和計算錯誤導致解析器誤判。
• 封包截斷，擷取長度小於實際長度。

解決建議

同前一題，強烈不建議手動拼裝 PCAP 及封包結構。請使用 libpcap/WinPcap/Npcap 函式庫：

1. 建立 pcap_t 控制代碼（pcap_open_dead 用於離線儲存）。
2. 使用 pcap_dump_open 建立輸出檔案。
3. 構建完整的乙太網/IP/UDP 封包結構體，填入正確長度與校驗和（可呼叫 in_cksum 等工具函式）。
4. 呼叫 pcap_dump 寫入。

參考連結

https://ask.csdn.net/questions/199693

結語

函式庫會自動處理檔案頭、封包頭、位元組序、對齊等細節，讓開發者專注於業務邏輯而非格式細節。