爲什麼libpcap捕獲不完整的數據包？

Question

我正在運行「tcpdump端口1025 -w out.pcap -s 4000」和所有從本地主機發送的數據包，我看到了「XXX字節在線，被捕獲的54字節」（只捕獲以太網和tcp頭，未捕獲數據）。 很明顯，snaplen是4000，因此我無法弄清楚爲什麼數據包在中間被切斷。 我也寫過一個直接使用libpcap的程序，並且發生了相同的現象。 這發生在libpcap 1.1.1和1.2.0rc1上，但在libpcap 0.9.8上它工作！

我正在使用SLE10與SP3，並有另一臺計算機完全相同的操作系統和程序安裝在它的工作很好。

這是sample capture。

Answer 1

Linux內存映射捕獲機制的libpcap支持存在一個錯誤，該錯誤在較新版本中得到修復;它應該固定在主幹和1.2分支。這種支持在libpcap 0.x中不存在，所以它不在libpcap 0.9.8中。