contrib/file/Magdir/sniffer

   1
   2 #------------------------------------------------------------------------------
   3 # sniffer:  file(1) magic for packet capture files
   4 #
   5 # From: guy@alum.mit.edu (Guy Harris)
   6 #
   7
   8 #
   9 # Microsoft Network Monitor 1.x capture files.
  10 #
  11 0       string          RTSS            NetMon capture file
  12 >4      byte            x               - version %d
  13 >5      byte            x               \b.%d
  14 >6      leshort         0               (Unknown)
  15 >6      leshort         1               (Ethernet)
  16 >6      leshort         2               (Token Ring)
  17 >6      leshort         3               (FDDI)
  18
  19 #
  20 # Microsoft Network Monitor 2.x capture files.
  21 #
  22 0       string          GMBU            NetMon capture file
  23 >4      byte            x               - version %d
  24 >5      byte            x               \b.%d
  25 >6      leshort         0               (Unknown)
  26 >6      leshort         1               (Ethernet)
  27 >6      leshort         2               (Token Ring)
  28 >6      leshort         3               (FDDI)
  29
  30 #
  31 # Network General Sniffer capture files.
  32 # Sorry, make that "Network Associates Sniffer capture files."
  33 #
  34 0       string          TRSNIFF\ data\ \ \ \ \032       Sniffer capture file
  35 >33     byte            2               (compressed)
  36 >23     leshort         x               - version %d
  37 >25     leshort         x               \b.%d
  38 >32     byte            0               (Token Ring)
  39 >32     byte            1               (Ethernet)
  40 >32     byte            2               (ARCNET)
  41 >32     byte            3               (StarLAN)
  42 >32     byte            4               (PC Network broadband)
  43 >32     byte            5               (LocalTalk)
  44 >32     byte            6               (Znet)
  45 >32     byte            7               (Internetwork Analyzer)
  46 >32     byte            9               (FDDI)
  47 >32     byte            10              (ATM)
  48
  49 #
  50 # Cinco Networks NetXRay capture files.
  51 # Sorry, make that "Network General Sniffer Basic capture files."
  52 # Sorry, make that "Network Associates Sniffer Basic capture files."
  53 # Sorry, make that "Network Associates Sniffer Basic, and Windows
  54 # Sniffer Pro", capture files."
  55 #
  56 0       string          XCP\0           NetXRay capture file
  57 >4      string          >\0             - version %s
  58 >44     leshort         0               (Ethernet)
  59 >44     leshort         1               (Token Ring)
  60 >44     leshort         2               (FDDI)
  61
  62 #
  63 # "libpcap" capture files.
  64 # (We call them "tcpdump capture file(s)" for now, as "tcpdump" is
  65 # the main program that uses that format, but there are other programs
  66 # that use "libpcap", or that use the same capture file format.)
  67 #
  68 0       ubelong         0xa1b2c3d4      tcpdump capture file (big-endian)
  69 >4      beshort         x               - version %d
  70 >6      beshort         x               \b.%d
  71 >20     belong          0               (No link-layer encapsulation
  72 >20     belong          1               (Ethernet
  73 >20     belong          2               (3Mb Ethernet
  74 >20     belong          3               (AX.25
  75 >20     belong          4               (ProNET
  76 >20     belong          5               (CHAOS
  77 >20     belong          6               (Token Ring
  78 >20     belong          7               (ARCNET
  79 >20     belong          8               (SLIP
  80 >20     belong          9               (PPP
  81 >20     belong          10              (FDDI
  82 >20     belong          11              (RFC 1483 ATM
  83 >20     belong          12              (raw IP
  84 >20     belong          13              (BSD/OS SLIP
  85 >20     belong          14              (BSD/OS PPP
  86 >20     belong          50              (PPP or Cisco HDLC
  87 >20     belong          51              (PPP-over-Ethernet
  88 >20     belong          100             (RFC 1483 ATM
  89 >20     belong          101             (raw IP
  90 >20     belong          102             (BSD/OS SLIP
  91 >20     belong          103             (BSD/OS PPP
  92 >20     belong          104             (BSD/OS Cisco HDLC
  93 >20     belong          105             (802.11
  94 >20     belong          106             (Linux Classical IP over ATM
  95 >20     belong          108             (OpenBSD loopback
  96 >20     belong          109             (OpenBSD IPSEC encrypted
  97 >20     belong          113             (Linux "cooked"
  98 >20     belong          114             (LocalTalk
  99 >16     belong          x               \b, capture length %d)
 100 0       ulelong         0xa1b2c3d4      tcpdump capture file (little-endian)
 101 >4      leshort         x               - version %d
 102 >6      leshort         x               \b.%d
 103 >20     lelong          0               (No link-layer encapsulation
 104 >20     lelong          1               (Ethernet
 105 >20     lelong          2               (3Mb Ethernet
 106 >20     lelong          3               (AX.25
 107 >20     lelong          4               (ProNET
 108 >20     lelong          5               (CHAOS
 109 >20     lelong          6               (Token Ring
 110 >20     lelong          7               (ARCNET
 111 >20     lelong          8               (SLIP
 112 >20     lelong          9               (PPP
 113 >20     lelong          10              (FDDI
 114 >20     lelong          11              (RFC 1483 ATM
 115 >20     lelong          12              (raw IP
 116 >20     lelong          13              (BSD/OS SLIP
 117 >20     lelong          14              (BSD/OS PPP
 118 >20     lelong          50              (PPP or Cisco HDLC
 119 >20     lelong          51              (PPP-over-Ethernet
 120 >20     lelong          100             (RFC 1483 ATM
 121 >20     lelong          101             (raw IP
 122 >20     lelong          102             (BSD/OS SLIP
 123 >20     lelong          103             (BSD/OS PPP
 124 >20     lelong          104             (BSD/OS Cisco HDLC
 125 >20     lelong          105             (802.11
 126 >20     lelong          106             (Linux Classical IP over ATM
 127 >20     lelong          108             (OpenBSD loopback
 128 >20     lelong          109             (OpenBSD IPSEC encrypted
 129 >20     lelong          113             (Linux "cooked"
 130 >20     lelong          114             (LocalTalk
 131 >16     lelong          x               \b, capture length %d)
 132
 133 #
 134 # "libpcap"-with-Alexey-Kuznetsov's-patches capture files.
 135 # (We call them "tcpdump capture file(s)" for now, as "tcpdump" is
 136 # the main program that uses that format, but there are other programs
 137 # that use "libpcap", or that use the same capture file format.)
 138 #
 139 0       ubelong         0xa1b2cd34      extended tcpdump capture file (big-endian)
 140 >4      beshort         x               - version %d
 141 >6      beshort         x               \b.%d
 142 >20     belong          0               (No link-layer encapsulation
 143 >20     belong          1               (Ethernet
 144 >20     belong          2               (3Mb Ethernet
 145 >20     belong          3               (AX.25
 146 >20     belong          4               (ProNET
 147 >20     belong          5               (CHAOS
 148 >20     belong          6               (Token Ring
 149 >20     belong          7               (ARCNET
 150 >20     belong          8               (SLIP
 151 >20     belong          9               (PPP
 152 >20     belong          10              (FDDI
 153 >20     belong          11              (RFC 1483 ATM
 154 >20     belong          12              (raw IP
 155 >20     belong          13              (BSD/OS SLIP
 156 >20     belong          14              (BSD/OS PPP
 157 >16     belong          x               \b, capture length %d)
 158 0       ulelong         0xa1b2cd34      extended tcpdump capture file (little-endian)
 159 >4      leshort         x               - version %d
 160 >6      leshort         x               \b.%d
 161 >20     lelong          0               (No link-layer encapsulation
 162 >20     lelong          1               (Ethernet
 163 >20     lelong          2               (3Mb Ethernet
 164 >20     lelong          3               (AX.25
 165 >20     lelong          4               (ProNET
 166 >20     lelong          5               (CHAOS
 167 >20     lelong          6               (Token Ring
 168 >20     lelong          7               (ARCNET
 169 >20     lelong          8               (SLIP
 170 >20     lelong          9               (PPP
 171 >20     lelong          10              (FDDI
 172 >20     lelong          11              (RFC 1483 ATM
 173 >20     lelong          12              (raw IP
 174 >20     lelong          13              (BSD/OS SLIP
 175 >20     lelong          14              (BSD/OS PPP
 176 >16     lelong          x               \b, capture length %d)
 177
 178 #
 179 # AIX "iptrace" capture files.
 180 #
 181 0       string          iptrace\ 2.0    "iptrace" capture file
 182
 183 #
 184 # Novell LANalyzer capture files.
 185 #
 186 0       leshort         0x1001          LANalyzer capture file
 187 0       leshort         0x1007          LANalyzer capture file
 188
 189 #
 190 # HP-UX "nettl" capture files.
 191 #
 192 0       string          \x54\x52\x00\x64\x00    "nettl" capture file
 193
 194 #
 195 # RADCOM WAN/LAN Analyzer capture files.
 196 #
 197 0       string          \x42\xd2\x00\x34\x12\x66\x22\x88        RADCOM WAN/LAN Analyzer capture file
 198
 199 #
 200 # NetStumbler log files.  Not really packets, per se, but about as
 201 # close as you can get.  These are log files from NetStumbler, a
 202 # Windows program, that scans for 802.11b networks.
 203 #
 204 0       string          NetS            NetStumbler log file
 205 >8      lelong          x               \b, %d stations found