.pcap파일 저장방법 문의..

질문글에서 링크해주신 사이트에 .pcap 파일 포맷 설명이 나오기는 합니다만, pcap 라이브러리는 .pcap 파일 저장기능도 지원하므로 파일포맷을 수작업으로 일일이 채워 저장할 필요는 없습니다. 원본 pcap 라이브러리에는 pcap_dump_open(), pcap_dump(), pcap_dump_close() 같은 API가 준비되어 있고, jNetPcap 라이브러리의 경우 이 기능이 PcapDumper라는 이름으로 wrapping 되어 있습니다 (다른 Java 바인딩은 어떤지 모르겠습니다).

http://jnetpcap.com/examples/dumper 샘플에서 이 기능을 쓰고 있는데요. NIC로부터 캡처된 패킷을 콜백함수에서 바로 PcapDumper로 덤프 하여 저장시키는 식입니다. 글로벌 헤더는 pcap 라이브러리가 알아서 만들어주니까 신경쓰지 않아도 되고, 패킷헤더에 채울 데이터인 (sec, usec, caplen, len)은 캡처시 넘어온대로 똑같이 덤프합니다.

(샘플의 버그때문에 저장된 .pcap 파일이 매번 지워져버리는 문제가 있는데, 68~69 라인을 77라인 이후로 옮기면 되더군요)

------

그리고, 댓글에 적으신 내용중 의문점이 두 가지 있습니다. 굵은 글씨로 표시했습니다.

> 저는 패킷을 받을때 kismet & airodump 같은 프로그램으로 패킷을 이미 받구 있어서 jpcap 라이브러리로는 안되더라구요

제 경험으로는 Windows/Linux 모두 한 NIC에 캡처프로그램이 복수개 붙어있어도 상관없습니다. 그리고, Windows 7에서 Wireshark으로 실험 해보니 Wi-Fi NIC에도 복수개의 캡처프로그램이 붙을 수 있었습니다. 캡처된 패킷은 복수개의 캡처프로그램에 모두 넘어옵니다. 따라서 다른 프로그램이 캡처를 하고 있기때문에 또다른 캡처클라이언트를 붙일 수 없다는 것은 이해가 되지 않습니다. 예외가 있는 것인가요? 이 부분만 검증되면 위의 PcapDumper 샘플을 좀 고쳐서 쓰시면 목적달성이 될 것 같은데요.

> 위의 내용으로 직접 날 코딩을 해보려는데 패킷 받는것 까지는 소스를 적용 하였으나,
> 그이후에 글로벌헤더와 패킷헤더를 위의 내용과 같이 적용하여 패킷을 저장 시키고 싶습니다.
> 최대의 문제는 패킷헤더에 마지막 8바이트 incl_len , orig_len 길이가 변하기 때문에 패킷 길이를 구해야 하는데
> 아무리 찾아도 적용해볼 예제가 없네요.

이미 알고계시리라 생각합니다만, incl_len , orig_len의 의미는 아래와 같습니다.

- orig_len : 캡처된 패킷 원본의 크기
- incl_len : 캡처된 패킷 원본 가운데 .pcap 파일에 저장된 크기 (원본의 뒷부분은 버리고 일부만 저장하는 경우)

보통의 경우엔 orig_len == incl_len이 되지만, 예를 들어 패킷의 뒷부분에는 관심이 없고 ip 헤더에만 관심이 있다든지 하는 경우가 생기 는데, 이 경우 캡처된 패킷내용물을 앞부분 일부만 .pcap 파일에 저장할 수 있고, 이때 orig_len >= incl_len 이 됩니다. (또한 패킷헤더.incl_len <= 글로벌헤더.snaplen 이어야 하고요)

날코딩(?)의 의미는 잘 모르겠습니다만, 어쨌든 패킷을 받는것까지 가능하다면 패킷길이는 바이트수를 세면 되고, .pcap 파일 패킷헤더의 길이값은 위의 원칙에 따라 채우면 되는데 패킷길이 계산에 문제되는 부분이 무엇인가요?

chanik님이 말씀하신 대로 pcap_dump_* API를 사용하면 됩니다.
다른 언어라면 wrapping class나 module이 존재하면 그걸 그냥 사용하면 되죠.
그 이상 뭐를 알려 달라고 하시는 지요?