如何从 PCAP 中提取目标 MAC?

网络工程 MAC地址 线鲨 pcap
2022-02-23 05:34:41

我在 Raspberry Pi 上收集了 PCAP(来自本文)。我想提取以下标题:

  • 以太头 (3)
  • IP 标头 (12)
  • TCP 标头 (10)
  • UDP 标头 (4)

然后将 PCAP 转换为 csv。但我无法提取 Ether 标头(特别是:ether.dst)。那么,如何提取所有必需的标头数据?

在此处输入图像描述

1个回答

您看不到以太网标头,因为您没有在以太网接口上捕获流量。

您正在使用 Linux 熟模式捕获。根据StackOverflow 上的这个答案,它本身是指The Wireshark Wiki,这种模式不提供链接层标头。

从上面的维基页面:

在 Linux 中从“任何”设备或其他设备之一捕获时,libpcap 不会为真正的“硬件协议”(如以太网)提供链路层标头,而是提供虚假的链路层标头对于这个伪协议。

因此,要获取您想要的数据,您需要捕获以太网接口本身的流量。