Bro позволяет легко извлекать URL-адреса из сетевой трассировки:
bro -r trace.pcap
bro-cut ts host uri < http.log | awk '{ print $1, $2 $3 }'
Небольшой инструмент bro-cut
поставляется с Bro и извлекает соответствующие (набранные) столбцы из журнала. В этом случае вам понадобится метка времени (ts
) плюс компоненты URL (host
и uri
). Пример вывода:
1258535653.087137 download.windowsupdate.com/v9/windowsupdate/redir/muv4wuredir.cab?0911180916
1258535655.525107 www.update.microsoft.com/v9/windowsupdate/selfupdate/wuident.cab?0911180916
1258535656.495997 download.windowsupdate.com/v9/windowsupdate/a/selfupdate/WSUS3/x86/Other/wsus3setup.cab?0911180916
1258535656.548965 download.windowsupdate.com/v9/windowsupdate/a/selfupdate/WSUS3/x86/Other/wsus3setup.cab?0911180916
1258535658.736840 download.windowsupdate.com/v9/windowsupdate/redir/muv4wuredir.cab?0911180916
1258535666.171669 download.windowsupdate.com/v9/windowsupdate/redir/muv4wuredir.cab?0911180916
1258535698.141338 212.227.97.133/rpc.html?e=bl
1258535656.548965 download.windowsupdate.com/v9/windowsupdate/a/selfupdate/WSUS3/x86/Other/wsus3setup.cab?0911180916
1258535658.736840 download.windowsupdate.com/v9/windowsupdate/redir/muv4wuredir.cab?0911180916
1258535666.171669 download.windowsupdate.com/v9/windowsupdate/redir/muv4wuredir.cab?0911180916
1258535698.141338 212.227.97.133/rpc.html?e=bl
1258535699.032780 87.106.1.47/rpc.html?e=bl
1258535699.931215 87.106.1.89/rpc.html?e=bl
Осталось отфильтровать URL-адреса Admob, что вы, вероятно, знаете лучше всего.