winpcap函数对比

1.pcap_dump()和pcap_live_dump() 

void pcap_dump (u_char *user, const struct pcap_pkthdr *h, const u_char *sp)
将数据包保存到磁盘

int pcap_live_dump (pcap_t *p, char *filename, int maxsize, int maxpacks)
将捕获保存到文件

pcap_live_dump() 和 pcap_dump()的区别，除了可以设置限制之外，就是运行结果。pcap_live_dump() 利用了 WinPcap NPF 驱动自带的功能， (详情请参见 NPF 驱动核心手册) ，在内核级来写堆文件，并将上下文交换的数量和内存拷贝的数量最小化。显然，这个特性目前并不能应用于其它操作系统，因为 pcap_live_dump() 是 WinPcap 的特性之一，并且只运行于 Win32 平台下。

winpcap函数对比

原文：http://www.cnblogs.com/liubin-home/p/5395077.html