1、摘要
在实际的网络测试中，为了应对多种的测试场景，经常要对网络报文进行编辑。目前很多软件都提供了报文的修改功能，如科来，TCP Replay。对于少量的报文修改，提供了非常便捷的操作界面，很容易完成模拟报文的构造。然而当需要完成数以万记的报文修改时，手工编辑的方式就显得效率太低了。
本文从通用的PCAP文件格式谈起，首先详细介绍PCAP文件的格式，之后通过一个测试中的示例，说明如何批量完成PCAP文件的修改，进而得到自定义的网络报文。
本文虽然是针对特定场景、特定数据字段的报文修改解决方案，但提供的思路对于任何使用PCAP的测试情况都是适用的。
2、PCAP文件格式
PCAP文件是常用的数据报存储格式，内部以固定的格式存储网络报文数据。通过带有二进制内容查看功能的文本编辑器（如UltraEdit）可以查看其中的内容。下图是一个SNMP Trap报文的内容查看情况。
PCAP之所以可以作为一个通用的格式，是因为使用非常广泛（当然也可以反过来说）。WireShark抓包的结果可以另存为PCAP格式（默认的是pcapng）；科来也可以导入PCAP格式的报文；同时tcpdump的存储格式也是PCAP。当然，其他格式的报文也都可以通过WireShark进行另存后得到PCAP格式。这就意味着，几乎所有的报文文件，都可以转化为PCAP。所以，当通过PCAP获取了自定义的网络报文后，可以适用所有的环境。
虽然以二进制方式看到的PCAP文件让人感觉摸不到头脑，而实际上PCAP的文件格式是非常清晰的。
首先，从整体来看，PCAP是以一个文件头和若干个报文数据组成的文件。如下图所示。
文件头我们标记为PCAP Header，一个PCAP文件存在一个PCAP Header格式。
之后是若干的报文数据，我们标记为Packet，更细的一个Packet中存在包头（Packet Header）和包数据（Packet Data）。一个PCAP文件存在至少一个包格式。我可以理解为若干个包组成一个包的链表，存储在PCAP文件中。事实上， 我们后续的文件解析也正是将其放在一个链表中。
......
查看更多精彩内容，请点击下载：
版权声明：本文出自《51测试天地》第五十五期。51Testing软件测试网及相关内容提供者拥有51testing.com内容的全部版权，未经明确的书面许可，任何人或单位不得对本网站内容复制、转载或进行镜像，否则将追究法律责任。
