pcapng文件需libpcap≥1.10并启用PCAPNG支持，旧版仅返回“not a pcap file”；推荐用pcap_open_offline_with_tstamp_precision()打开，否则须手动解析魔数及block结构。
pcapng 文件不能直接用 pcap_open_offline() 打开
Libpcap 1.10 之前版本完全不支持 pcapng 格式，调用 pcap_open_offline() 会返回 NULL 并附带错误信息 "not a pcap file"（即使文件后缀是 .pcap 或 .pcapng）。这不是路径或权限问题，是格式识别失败。
必须使用 pcap_open_offline_with_tstamp_precision()（libpcap ≥ 1.10）或更稳妥的 pcap_open_offline() + 显式判断魔数。但推荐直接升级到 libpcap ≥ 1.10，并确认编译时启用了 pcapng 支持（CMake 中检查 ENABLE_PCAPNG 是否为 ON）。
- 检查当前 libpcap 版本：
pcap_lib_version()返回字符串，解析前两位数字 - 打开时优先尝试
pcap_open_offline_with_tstamp_precision(path, PCAP_TSTAMP_PRECISION_MICRO, errbuf)，它内部会自动识别 pcapng 和传统 pcap - 若仍失败，用
fread()读取文件头 4 字节：pcapng 是0x0a0d0d0a（小端序下表现为\n\r\r\n），pcap 是0xa1b2c3d4或0xd4c3b2a1
解析 pcapng 的 block 类型需手动遍历，libpcap 不暴露 block 结构
libpcap 把 pcapng 当作“黑盒流”处理：它只负责解包出 struct pcap_pkthdr 和原始 packet 数据，不提供接口访问 Interface Description Block（IDB）、Enhanced Packet Block（EPB）、Section Header Block（SHB）等元信息。想获取时间精度、时区、接口名、过滤器、OS 信息等，必须自己解析 pcapng 二进制结构。
关键点：
立即学习“C++免费学习笔记（深入）”；
- 每个 block 以 4 字节 length 开头，紧接着是 type（4 字节）、body（变长）、padding（使 total length % 4 == 0）
- IDB 的
if_tsresol字段决定时间戳精度（bit 7=1 表示纳秒，否则微秒），影响pcap_pkthdr.ts的解释方式 - EPB 的 timestamp 是 64 位整数，单位由对应 IDB 的
if_tsresol决定，libpcap 已帮你转成struct timeval，但精度可能被截断 - 不要依赖
pcap_datalink()返回值来判断链路层——pcapng 中每个 IDB 可独立指定linktype，而 libpcap 只返回第一个 IDB 的值
时间戳偏移和时区信息只能从 SHB/IDB 提取，libpcap 不提供 API
pcapng 允许在 Section Header Block（SHB）中写入 shb_hardware、shb_os、shb_userappl，在 Interface Description Block（IDB）中写入 if_tsoffset（时间戳全局偏移，单位为秒，有符号 64 位整数）。libpcap 完全忽略这些字段，pcap_pkthdr.ts 是 raw timestamp 加上 if_tsoffset 后的结果，但你无法反推原始值或确认是否已应用偏移。
实际处理建议：
- 若需精确回放或比对原始设备时间，必须自行解析 SHB 和 IDB，提取
shb_comment和if_tsoffset -
if_tsoffset常见值为 0，但某些嵌入式抓包设备（如 ntopng 导出）会设为非零值用于对齐 NTP 时间 - 不要假设
pcap_pkthdr.ts是 wall-clock 时间——它只是相对某个未公开基准点的偏移，除非你解析了 SHB 中的shb_hardware并知道设备时钟行为
内存布局和 block padding 容易导致越界读，尤其在 mmap 场景下
pcapng 规范要求每个 block 总长度（含 length 字段）必须是 4 字节对齐，不足则补 0。很多解析代码直接按 body 长度 memcpy，忽略 padding，结果把下一个 block 的 type 字节当作当前 body 数据，后续解析全错。
典型错误场景：
- 读取 IDB 时只按
if_name长度拷贝字符串，没跳过末尾 padding，导致if_name缓冲区溢出 - 用
mmap()映射整个 pcapng 文件后，按固定 offset 访问 EPB body，未校验 block length，触发 SIGBUS - 误把 padding 字节当作文本字段（如
if_description）的一部分，产生乱码或崩溃
安全做法是：每读一个 block，先读 8 字节（length × 2），验证 length == *(uint32_t*)ptr，再算出真实 body 长度 = length - 8，最后按该长度处理 body，跳过剩余 padding。
解析 pcapng 的真正难点不在语法，而在 libpcap 故意隐藏了 block 层级语义——它只给你 packet 流，不告诉你这个 packet 属于哪个 interface、用的什么时间基准、有没有全局偏移。这些信息都得自己挖，而且一不留神就踩在 padding 和字节序的坑里。
