Тестовые PCAP файлы
PCAP (.pcap, packet capture) - формат дампа сетевого трафика: в файле лежат кадры целиком, как их увидела сетевая карта, и к каждому приложена отметка времени. Ниже готовые дампы для Wireshark, tcpdump и собственных парсеров
Транспорт и приложения
Канальный уровень и адресация
Сессии целиком
Контейнер и пограничные случаи
🧠 Как устроен PCAP
Файл начинается с заголовка на 24 байта: magic-число, версия, тип канального уровня и snaplen. Дальше идут записи: у каждой свой заголовок на 16 байт с отметкой времени и длиной, а за ним сам кадр, байт в байт как он шёл по проводу. Magic-число записано в порядке байтов самого файла, поэтому по нему читатель и понимает, надо ли переворачивать все остальные числа. Тип канального уровня тоже важен: у дампа с Ethernet он равен 1, а у мониторного захвата Wi-Fi 127, и кадр там начинается с заголовка radiotap, а не с MAC-адресов.