问pcap中的ntohs()到底做了什么？

EN

数字1000在二进制中是1111101000。

如果是16位二进制数，则为0000001111101000。

如果将其拆分为两个8位字节，则为两个字节，其值分别为00000011和11101000。

这两个字节可以有两种不同的顺序：

• 在"big-endian“字节顺序中，包含高8位的字节是第一个，包含低8位的字节是第二个，因此第一个字节是00000011，第二个字节是11101000。
• 在"little-endian”字节顺序中，包含低8位的字节是第一个字节，包含高8位的字节是第二个字节，所以第一个字节是11101000，第二个字节是00000011。

在字节可寻址的机器中，硬件可以是“大端”或“小端”，这取决于哪个字节存储在内存中较低的地址。大多数个人计算机采用小端；较大的计算机有大端和小端两种类型，一些较大的计算机(例如IBM大型机、中型计算机和SPARC服务器)采用大端。

大多数网络都是位串行的，因此位是一个接一个地传输的。字节的位可能会先传输最高有效位或最低有效位，但网络硬件会对处理器隐藏这些细节。但是，它们将按照字节在主机内存中的顺序传输字节，因此，如果小端机器向大端机器传输数据，则小端机器传输的数字在接收大端机器上看起来不同；这些差异不会被网络硬件所隐藏。

因此，为了允许大端和小端机器进行通信，在每个协议层，可以：

• 需要选择一个“标准”的字节顺序，而使用不同字节顺序的机器需要把多字节数字的字节移来移去，这样它们就不是机器的标准字节顺序了，在传输数据之前，把它们移来移去，这样它们就是机器的标准字节顺序，在接收数据之后；
• 两台机器需要为会话协商一个特定的字节顺序(例如，对于X11网络窗口协议，从客户端到服务器的初始消息指定了要使用的字节顺序)；
• 协议消息需要指定正在使用的字节顺序(例如，DCE就是这样做的；这是用于"Microsoft RPC“的协议)；
• 接收机器需要以某种方式正确地猜测字节顺序(我不知道有什么当前使用的协议可以做到这一点，但是旧的BSD”交谈“协议没有使用上面使用的任何技术，并且Sun386i上的实现必须使用它来处理大端Motorola68K机器和小端英特尔x86机器)。

各种Internet协议使用第一种策略，将big-endian指定为字节顺序；在各种RFC中，它被称为“网络字节顺序”。(Microsoft的SMB文件访问协议也使用第一种策略，但指定了小端。)

所以“网络字节顺序”是大端的。“主机字节顺序”是您正在使用的机器的字节顺序；它可以是大端的，在这种情况下，ntohs()只返回您给它的值，也可以是小端的，在这种情况下，ntohs()交换您给它的值的两个字节并返回那个值。例如，在大端机器上，ntohs(1000)将返回1000，而在小端机器上，ntohs(1000)将交换高位字节和低位字节，以二进制表示1110100000000011或以十进制表示59395。