PCAP Packet Capture
| Format | PCAP Packet Capture |
|---|---|
| Kurzname | PCAP |
| Kategorie | Netzwerk |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das klassische libpcap-Mitschnittformat, geschrieben von tcpdump, Wireshark und vielen Netzwerkgeräten: ein globaler Header mit Link-Typ und Snapshot-Länge, danach ein Datensatz pro Paket mit Zeitstempel (Mikro- oder Nanosekundenauflösung, UTC), mitgeschnittener Länge, ursprünglicher Paketlänge und den mitgeschnittenen Bytes. Pakete, die länger als die Snapshot-Länge sind, werden abgeschnitten; die unterschiedlichen Längen machen eine solche Kürzung sichtbar.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | D4 C3 B2 A1 | .... | Magic 0xA1B2C3D4 Little-Endian (Mikrosekunden) |
| Offset 0 (0x0) | A1 B2 C3 D4 | .... | Magic 0xA1B2C3D4 Big-Endian (Mikrosekunden) |
| Offset 0 (0x0) | 4D 3C B2 A1 | M<.. | Magic 0xA1B23C4D Little-Endian (Nanosekunden) |
| Offset 0 (0x0) | A1 B2 3C 4D | ..<M | Magic 0xA1B23C4D Big-Endian (Nanosekunden) |
Bekannte Dateiendungen
.pcap, .cap
Referenzen
- pcap-savefile(5) — libpcap file format (tcpdump) https://www.tcpdump.org/manpages/pcap-savefile.5.html
- PCAP Capture File Format (IETF draft-ietf-opsawg-pcap) https://datatracker.ietf.org/doc/draft-ietf-opsawg-pcap/
- ForensicsWiki — PCAP https://forensics.wiki/pcap/
Diesen Eintrag zitieren
Crush-Format-Referenz, „PCAP Packet Capture“. https://kalink0.github.io/crush-forensics/formats/de/pcap/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden