<div dir="ltr"><br><div class="gmail_extra"><br><br><div class="gmail_quote">2013/4/1 Guy Harris <span dir="ltr"><<a href="mailto:guy@alum.mit.edu" target="_blank">guy@alum.mit.edu</a>></span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="im"><br>
On Apr 1, 2013, at 6:30 AM, Paul Long <<a href="mailto:Paul.Long@microsoft.com">Paul.Long@microsoft.com</a>> wrote:<br>
<br>
> We want to display an appropriate version for PCAPNG files.  For instance for Netmon .cap, we have various version we could show.  My take is that you can have multiple PCAPNG version headers, so I’m assuming there is no ONE version to display.<br>

<br>
</div>A pcap-ng file can be composed of multiple sections (the intent here is to allow files to be concatenated by a tool such as UN*X's cat command), each with its own Section Header Block, so, in theory, there could be multiple versions.<br>

<br>
If you haven't read the entire file, showing the version from the first section, and noting that it's just the first section, might be appropriate.  If you have read the entire file, showing a list of versions might be the right thing to do.<br>
</blockquote><div><br></div><div style>My guess is that 99.9% of all PCAPNG files will have just one SHB or multiple SHB's with the same version number. So displaying just the [MAJOR].[MINOR] version number of the first SHB should be adequate.</div>
</div><div><br></div>-- </div><div class="gmail_extra">likes: <a href="http://pcapng.com">http://pcapng.com</a><br>blog: <a href="http://www.netresec.com/?page=Blog" target="_blank">http://www.netresec.com/?page=Blog</a><br>
twitter: <a href="http://twitter.com/netresec" target="_blank">http://twitter.com/netresec</a>
</div></div>