MATLAB读取pcap文件：二进制解析抓包数据完整指南

不用怀疑，这个需求在包里其实特别常见：拿到一个网络抓包文件，想用MATLAB直接读出来做信号分析、协议特征统计，甚至只是想把里面某几个字段提取出来画个图。很多人第一反应是先把pcap转成txt，再用MATLAB去翻文本，结果把二进制内容毁得乱七八糟。我个人的建议是，如果条件允许，还是直接在MATLAB里按二进制去解析pcap文件，既能完整保留原始数据包内容，又能按自己的需求重组字段，后面做深度学习、特征工程也更顺手。

这篇文章会把pcap文件的文件头结构、数据包头结构、字节序问题、完整代码实现、常见坑全部过一遍，还会附上一个可以直接拿去用的MATLAB解析函数。适合三类人：临时要读抓包文件做分析的研究生、用AWR2243毫米波雷达或者自研采集设备抓包做算法验证的工程师，以及想彻底弄明白pcap格式底层原理的嵌入式开发者。

1. 为什么要在MATLAB里读pcap文件

1.1 这个需求从哪来

抓包文件在无线通信、车载雷达、物联网网关调试里太常见了。不管是Wireshark抓的以太网包、USB抓包工具抓的USB传输，还是自研采集板保存的原始数据，只要格式是按标准pcap保存的，本质上就是一条一条的“时间戳+长度+原始二进制数据”。而这些原始数据的后续处理，比如解析毫米波雷达点云、分析某个私有协议的字段分布、统计流量到达间隔，往往恰恰是MATLAB最擅长的领域。

问题是MATLAB官方并没有直接提供一个类似readpcap的专用函数。你在命令行里敲readpcap，大概率会遇到未定义函数。网上搜一圈，发现有人建议先转成txt再用importdata，有人建议装第三方插件，还有人丢给你一个Python脚本让你绕一圈。但这些方案要么丢失字节精度，要么引入新的依赖，要么遇到大文件就卡死。最靠谱的办法，还是自己照着pcap标准格式写一个读取函数——这个工作量并不大，核心逻辑大概也就一百行。

1.2 两条主流路线怎么选

读取pcap数据，实际中有两条路线。

第一条是纯MATLAB二进制解析：用fopen打开文件，按字节读取全局头和数据包头，再根据incl_len取原始载荷。优点是灵活、可控、不依赖外部工具，适合抓包文件格式固定、需要深挖原始字节的场景。缺点是需要自己处理字节序、文件头偏移、链路层类型等细节。

第二条是借助Wireshark自带的命令行工具tshark，先把pcap转成CSV或JSON，再用readtable或jsondecode导入。优点是解析协议字段非常方便，Wireshark已经帮你把TCP、UDP、HTTP、DNS等常见协议都拆好了，不用自己研究协议栈。缺点是对非标准、加密或私有协议不太友好，而且转成文本后，一些原始二进制字段会丢失或变成十六进制字符串，后续处理多一步转换。

我的建议是两手都要会。先手动解析二进制摸清文件结构，遇到大工程再考虑用tshark做协议级处理。这样无论什么场景都不慌。

2. 读懂pcap文件的二进制结构

2.1 全局文件头

标准的pcap文件，开头固定有一个24字节的全局文件头。这个结构是所有后续操作的入口，如果读错了，后面全部乱套。它的字段排列如下：

其中magic字段最常见的是0xa1b2c3d4，对应小端字节序。如果你读到的是0xd4c3b2a1，说明这个文件是大端字节序，所有多字节字段都需要按大端方式解析。这一点非常容易踩坑，很多人在MATLAB里读出来全是乱码，其实就是字节序没处理对。

network字段也很重要，它告诉你怎么解析后续的链路层头部。常见的值包括：1代表以太网，105代表IEEE 802.11无线局域网，119代表Linux的any虚拟设备，276代表USB的Linux USB捕获格式。如果你想读普通Wireshark抓的以太网包，这个值就是1。

2.2 数据包头

全局头后面紧跟的是无数个数据包记录。每个数据包记录由16字节的数据包头和incl_len字节的原始数据组成。数据包头的四个字段全部是4字节：

incl_len和orig_len的区别是理解pcap文件的关键。当wireshark或者抓包工具设置了snaplen，也就是最大捕获长度，比如只抓前96字节，那么orig_len可能很大，但incl_len只有96。读取文件时，必须按照incl_len去跳转文件指针，因为记录的实际长度就是它。如果误用了orig_len，就会导致文件指针错位，后面所有数据全读不出来。

另外，这两个字段很容易校验解析是否正确，一条常规以太网包，incl_len通常在64到1518之间，很少超过snaplen。如果你的解析结果出现几千上万字节，十有八九是字节序或字段偏移搞错了。

2.3 字节序和链路层类型

字节序问题在解析pcap时是绕不开的。抓包文件可能来自大端网络设备，也可能来自小端PC采集设备。判断方法很简单：读前4字节，如果十六进制显示为a1 b2 c3 d4，则是小端；如果显示为d4 c3 b2 a1，则是大端。

MATLAB的fread函数支持按指定字节序读取，用'ieee-le'代表小端，用'ieee-be'代表大端。我在下面给的完整代码里，就是用magic值去动态选择后面所有字段的解析字节序。

链路层类型则决定了数据包body部分如何拆解。标准pcap文件的global header里用network字段标识首部类型。如果是以太网（network=1），那么数据包开头是14字节的以太网头，紧接着IP头、TCP/UDP头；如果是USB包（network=276或220），结构就完全不同。所以，解析完pcap基础结构后，如果你还需要继续拆解包内容，一定要先判断network字段，再写对应的解析逻辑。

3. MATLAB读取pcap的完整实现代码

3.1 准备工作与核心思路

在写代码之前，想清楚要做什么。我这里实现一个函数，输入是pcap文件路径，输出是一个MATLAB结构体数组，里面包含每个数据包的时间戳、实际长度、原始长度，以及抓到的原始数据字节。这样既能读取元数据，也能按需访问payload。

代码主要分四步：打开文件并判断字节序，读取全局头，循环读取每个数据包头和原始数据，最后关闭文件并返回结果。为了控制篇幅，这里给出两个版本：一个是精简的只返回元数据版本，适合文件较大、只需要时间戳和长度序列的情况；另一个是包含原始数据字节的完整版本，适合需要后续做协议解析的情况。

3.2 编写读取函数

下面这段代码是我实测可用的，建议先跑一遍，再按自己的需求修改：

function packets = read_pcap(filename, withData) % READ_PCAP 读取标准pcap抓包文件 % packets = read_pcap(filename) 返回结构体数组，包含每个包的时间戳和长度 % packets = read_pcap(filename, true) 在返回结果中附加原始数据字节 % % 示例: % p = read_pcap('test.pcap'); % p = read_pcap('test.pcap', true); if nargin < 2 withData = false; end fid = fopen(filename, 'rb'); if fid == -1 error('无法打开文件: %s', filename); end % 读魔数判断字节序 magic = fread(fid, 1, 'uint32', 0, 'ieee-le'); if magic == hex2dec('a1b2c3d4') endian = 'ieee-le'; elseif magic == hex2dec('d4c3b2a1') endian = 'ieee-be'; else fclose(fid); error('文件开头魔数0x%08X，不是标准pcap文件格式', magic); end % 回到文件开头，重新读取完整全局头 fseek(fid, 0, 'bof'); gh_magic = fread(fid, 1, 'uint32', 0, endian); version_major = fread(fid, 1, 'uint16', 0, endian); version_minor = fread(fid, 1, 'uint16', 0, endian); thiszone = fread(fid, 1, 'int32', 0, endian); sigfigs = fread(fid, 1, 'uint32', 0, endian); snaplen = fread(fid, 1, 'uint32', 0, endian); network = fread(fid, 1, 'uint32', 0, endian); % 显示一下解析到的全局信息，排错时非常有用 fprintf('Magic=0x%08X, Version=%d.%d, Snaplen=%d, LinkType=%d\n', ... gh_magic, version_major, version_minor, snaplen, network); % 估算最大数据包数量，用于预分配结构体数组，避免循环中动态扩展 fileInfo = dir(filename); maxPkts = floor((fileInfo.bytes - 24) / 16); packets = struct('ts_sec', {}, 'ts_usec', {}, ... 'incl_len', {}, 'orig_len', {}, 'data', {}); packets(maxPkts) = struct('ts_sec', [], 'ts_usec', [], ... 'incl_len', [], 'orig_len', [], 'data', []); pIdx = 0; % 循环读取数据包记录 while true pktHeader = fread(fid, 4, 'uint32', 0, endian); if numel(pktHeader) < 4 % 文件读完了 break; end pIdx = pIdx + 1; packets(pIdx).ts_sec = pktHeader(1); packets(pIdx).ts_usec = pktHeader(2); packets(pIdx).incl_len = pktHeader(3); packets(pIdx).orig_len = pktHeader(4); if withData && pktHeader(3) > 0 % 读取实际保存的原始字节 packets(pIdx).data = fread(fid, pktHeader(3), 'uint8=>uint8', 0, endian); elseif pktHeader(3) > 0 % 不需要数据时，跳过这串字节 fseek(fid, pktHeader(3), 'cof'); else packets(pIdx).data = []; end end fclose(fid); % 去掉预分配留下的多余尾部空元素 packets = packets(1:pIdx); end

3.3 读取细节的补充说明

如果你认真读了上面的代码，应该能注意到几个设计点。

第一，判断字节序时先用小端读了magic，但如果文件是大端，这个值会变成0xd4c3b2a1，再判断即可。为什么要先读magic再回到文件开头？因为全局头里的其他字段，比如version_major、snaplen，都是多字节数值，读取方式依赖于字节序，必须先判断magic才知道后面该怎么读。

第二，预分配结构体数组。MATLAB在循环中不断动态扩充结构体数组非常慢，如果文件里有几十万个包，性能会差十倍以上。这里先用maxPkts = floor((fileInfo.bytes - 24) / 16)做一个上限估算，然后把结构体一次性分配好，每解析一个包就填充一条，循环结束后再裁剪掉多余的空元素。

第三，当withData为false时，用fseek跳过原始数据段。很多人误以为不读原始数据就可以不处理那部分，其实不行，文件指针必须跳过这incl_len字节，才能到达下一条数据包头，否则解析位置上串下跳，全是垃圾数据。

3.4 运行测试与验证

保存上述代码为read_pcap.m，然后找一个标准的pcap文件测试。用Wireshark随便抓一段网络流量，或者直接打开软件自带的示例pcap文件，在MATLAB命令行里输入：

p = read_pcap('demo.pcap', false);

正常场景下，应该瞬间弹出类似这样的信息：

Magic=0xA1B2C3D4, Version=2.4, Snaplen=65535, LinkType=1

然后p是一个结构体数组，可以查看第一个包的字段：

p(1)

得到类似：

ans = 包含以下字段的 struct: ts_sec: 1600000000 ts_usec: 123456 incl_len: 74 orig_len: 74 data: []

看到incl_len和orig_len一致，就说明解析基本成功。如果不一致，或者里面出现了明显不合理的大数字，优先检查是不是字节序判断出了问题。

如果你还想进一步确认数据包字节对不对，把withData设为true，取出第1个包的原始数据，再和Wireshark里显示的十六进制对比：

p = read_pcap('demo.pcap', true); firstHex = dec2hex(p(1).data');

看到前几个字节是MAC地址的开头00或者ff，基本就知道以太网头没问题。

4. 实战：从抓包文件里提取时间序列和流量特征

4.1 把时间戳转成可分析的MATLAB时间

拿到ts_sec和ts_usec之后，第一个常见需求是把时间戳转成人类可读的时间。这里注意，ts_sec是Unix时间戳，单位是秒，从1970年1月1日零时算起。ts_usec是微秒部分，用来提高时间精度。

MATLAB中可以直接用datetime转换：

t = datetime(double(p(1).ts_sec), 'ConvertFrom', 'posixtime'); d = t + seconds(double(p(1).ts_usec) / 1e6);

如果你要分析整个文件的包到达规律，更推荐把时间戳转换成相对时间。把第一个包的时刻作为0点，后面每个包计算相对差值，这样画图时横轴更直观：

t0 = double(p(1).ts_sec) + double(p(1).ts_usec) / 1e6; tRel = arrayfun(@(x) double(x.ts_sec) + double(x.ts_usec)/1e6 - t0, p); plot(tRel, 1:numel(p), '.'); xlabel('时间/秒'); ylabel('包序号');

这个图其实就是每个数据包的到达时间散点图。如果其中有明显的间隔跳变，往往说明网络有断流；如果间隔呈周期性，可能是某个设备在周期性上报数据。

4.2 统计流量长度和瞬时速率

有了每个包的incl_len，可以做很多基础的流量特征分析。比如累计流量：

% 把字节数累加成比特数 totalBits = cumsum(double([p.incl_len])) * 8; plot(tRel, totalBits); xlabel('时间/秒'); ylabel('累计比特数');

或者计算一段时间内的滑动平均吞吐量。最简单的方法是把所有包按时间分桶，每个桶统计字节总和：

edges = 0:0.1:floor(max(tRel)); bw = zeros(numel(edges)-1, 1); for i = 1:numel(bw) idx = tRel >= edges(i) & tRel < edges(i+1); bw(i) = sum([p(idx).incl_len]) * 8 / 0.1; end plot(edges(1:end-1), bw/1e6); xlabel('时间/秒'); ylabel('吞吐量/Mbps');

分桶时间可以按需调整，0.1秒适合看瞬时波动，1秒适合看宏观趋势。这种做法在分析点云数据上报节奏、传感器回传频率时非常实用。

4.3 筛选指定IP或端口的包

如果pcap文件是标准以太网抓包，链路层类型是1，那么你可以进一步解析IP头和TCP/UDP头，按IP地址或端口过滤。

以太网头是14字节，前6字节目的MAC，接下来6字节源MAC，最后2字节是以太网类型。如果以太网类型是0x0800，表示IPv4，IPv4头从第15字节开始。IPv4头的第13到14字节是源端口和目的端口（仅在IP头长度IHL为5时有效，一般是标准20字节）。这些偏移关系可以参考RFC文档，在MATLAB里用字节切片取数：

function srcIP = getIPv4Address(payload) % payload是某个包的data字段，uint8数组 if numel(payload) < 34 srcIP = ''; return; end % 以太网类型 ethType = payload(13)*256 + payload(14); if ethType ~= hex2dec('0800') srcIP = ''; return; end srcIP = sprintf('%d.%d.%d.%d', payload(27), payload(28), payload(29), payload(30)); end

这里有个细节，IP包的第13到16字节是源IP和目的IP，但偏移要从整个包的起始算起。以太网头14字节，所以源IP是全包的第27到30字节。写这类解析代码时，数清楚偏移是基本功，建议对照Wireshark里的十六进制窗口逐字节核对。

4.4 导出结果到CSV

解析完成后，把元数据保存到CSV方便后续用Python或Excel继续处理，是很常见的操作。MATLAB里用writetable即可：

T = table([p.ts_sec]', [p.ts_usec]', [p.incl_len]', [p.orig_len]'); T.Properties.VariableNames = {'ts_sec', 'ts_usec', 'incl_len', 'orig_len'}; writetable(T, 'pcap_meta.csv');

如果每个包的data长度不一，导出CSV时不要直接把原始字节放进去，而是先转成十六进制字符串或者单独保存成二进制文件。否则CSV会被各种不可见字符弄乱，体验极差。

5. pcap读取常见问题与排查技巧

5.1 魔数错误：文件根本不是标准pcap

很多人把pcapng文件当成pcap文件来读。新版Wireshark默认保存格式是pcapng，这种格式文件开头不是a1 b2 c3 d4，而是0a 0d 0d 0a这样的块头，结构也和标准pcap完全不同。遇到这种情况，要么在Wireshark里另存为pcap格式，要么在保存抓包时把格式选成pcap。如果已经保存成pcapng，用tshark可以快速转换：

tshark -r input.pcapng -F pcap -w output.pcap

另外，如果文件是通过某些采集软件直接导出的裸二进制数据，根本不是pcap封装，当然也会报魔数错误。

5.2 解析出的长度值像天文数字

如果读出来的incl_len是几千甚至上亿，几乎可以确定是字节序读错了。小端文件用大端读，大端文件用小端读，都会导致数值被翻转。检查方法很简单，看文件头的magic值实际显示成多少，再对照是不是a1b2c3d4或d4c3b2a1。

还有一种可能是文件指针错位。当你跳过数据包体时如果跳多了或者跳少了，下一个数据包头的字节对不上标准结构，读取出来的长度自然全是垃圾。这种情况下建议先在代码里加日志，打印每个包在文件中的字节偏移量，再在Wireshark里对比。

5.3 大文件内存不够：只读取元数据，不要带原始字节

读取一个几百MB甚至几个GB的pcap文件时，如果每个包的data都读进内存，MATLAB会直接把内存吃满。解决办法是明确自己的需求：如果只是做时间序列、流统计、包长分析，完全不需要data字段。把withData设为false，跳着读，整个解析过程只保存每个包的16字节头信息，内存占用会缩小几个数量级。

如果确实需要data字段，但又不能一次性读完，可以改成两遍扫描：第一遍只读元数据，记住每个包的文件偏移位置；第二遍按需用fseek跳到指定偏移，只读取感兴趣的那几个包。

5.4 数据包被截断：留意incl_len和orig_len

老铁们要记住，incl_len是实际存储的字节数，orig_len是原始长度。当wireshark设置了snaplen，或者抓包时硬件缓冲区丢包，都会出现incl_len小于orig_len的情况。这种情况下，你拿到的data是不完整的，如果后面直接解析TCP流或应用层协议，可能发现报文不完整，这时需要加上判断：

if p(i).incl_len < p(i).orig_len fprintf('包%d被截断，实际长度%d，原始长度%d\n', i, p(i).incl_len, p(i).orig_len); end

如果大量数据包都显示被截断，说明抓包时snaplen设置得太小，建议重新抓包或调整全局头的snaplen。

5.5 读取到的时间戳不连续

有时候发现两个包之间的时间间隔是负数，或者时间戳跳变非常大。这通常不是代码问题，而是抓包环境本身的时钟不稳定，也可能捕捉文件来自多个接口聚合。解析后对时间戳做预处理时，可以先用sortrows按时间排序，或者对异常间隔做一个中值滤波，再进入后续分析。

6. 我的实操心得和几条实用建议

6.1 能二进制解析就尽量二进制解析

我见过太多同事拿着Wireshark导出的txt或者CSV，然后用MATLAB的readtable去读，遇到十六进制字符串再转成数字，结果字段对不齐、转义字符满天飞，浪费了半天时间。其实pcap结构非常规律，自己写解析代码只要一次写对，后面一辈子都能复用。尤其是分析私有协议、雷达数据这类Wireshark解析不了的payload，二进制解析是唯一可靠的路。

6.2 大数据量时用tshark做预处理

虽然我提倡自己写解析，但面对超大抓包文件，我自己的实操经验是先让tshark做粗筛。比如你要分析某个IP的流量，先用tshark过滤：

tshark -r big.pcap -Y "ip.addr==192.168.1.100" -w filtered.pcap

这样生成的子文件小很多，再用MATLAB去解析，速度会快非常多。tshark本身的过滤能力非常强，协议解析也远比你自己写TCP状态机靠谱，两者结合才是工程化姿势。

6.3 调试解析代码时，对照Wireshark逐字节检查

写解析函数时最怕的就是偏移差一两个字节，这种错很隐蔽，但非常致命。我的经验是：先用Wireshark打开一个小pcap文件，随便选一个包，把Wireshark底部显示的十六进制内容完整复制出来，然后在MATLAB里把同一个包的data前几十个字节也打印出来，两个对照着看。只要前几层头能对上，后面解析出错的可能性就低很多。

6.4 封装成统一接口，一劳永逸

最后建议你把read_pcap这个函数留在自己的工具箱里，并且做好注释，标注清楚哪些字段代表什么意思。我后来做毫米波雷达数据读取时，也是用这个函数先读pcap，再做坐标变换和点云聚类。写一次，长期受益。如果你后面要用pcapng，也可以在这个基础上扩展，或者直接调用tshark先统一转成pcap，再走进同一个解析流程。

我在实际项目里踩过的最深的一个坑，就是把incl_len和orig_len用反了，导致解析出来的文件指针错位，整个数据集白跑一遍。从那以后，每次写pcap相关代码，我都会先在解析成功后打印前几个包的incl_len和orig_len做个快速自检，这个小习惯至少帮我省掉了几次返工。