Дамп пакетов в файл

tcpdump разьве анализирует TCP сокеты, он анализирeет пакеты канального уровня, например кадры ethernet.
Так что если дампитm что то из сокета, то наврядли tcpdump сможет что то там прочитать.

Файл формата tcpdump программа tcpdump формирует сама и сама же его потом читает. Так что чтобы узнать этот формат нужно смотреть исходники tcpdump.

По идее, кадры канального уровня можно сформировать самому и класть в дамп?

Я прав?

man socket ключевое слово PF_PACKET & SOCK_RAW

По моему там сохраняются просто RAW пакеты уровня TCP/IP, которые он принял. Во всяком случае, я их там находил, причем вроде как без какого-либо еще обрамления (типа ethernet и т.д.).

anonymous (*) (27.10.2006 12:38:39), kpanic,

Спасибо, щас поробую

>Поможет ли здесь libpcap?

tcpdump как раз и использует libpcap.

man 3 pcap

в частности pcap_dump_open и pcap_dump

Сам формат libpcap - очень простой (google it). Мне в свое время даже не пришлось никаких библиотек использовать - сам написал, т.к. там писать нечего :-)

Дампить пакеты tcp конечно можно, но вместе с заголовками ip-пакетов, т.е. фактически не tcp дампить - а ip.