Реконструкция Tcp-сессии с помощью Winpcap - PullRequest
Новая
       77

Реконструкция Tcp-сессии с помощью Winpcap

1 голос
/ 01 ноября 2011

Я пытаюсь восстановить tcp-сессии из моих файлов pcap, в которых сетевые пакеты перехвачены с помощью winpcap. У меня есть проект, который разбивает пакеты на сессии. Пока что я могу читать из файлов pcap и группировать пакеты в соответствии с их сессиями.

Что я хочу узнать, что я должен делать после этих операций. Я думаю, что для того, чтобы получить данные из этих сеансов, мне нужно упорядочить эти пакеты в соответствии с их порядковыми номерами. Я прав? Нужны ли мне дополнительные операции для построения данных сеанса TCP? Как я могу узнать, какие данные являются изображения, HTML или JavaScript? Будем очень благодарны за любые предложения о хорошем ресурсе.

Кстати, я использую SharpPcap и Pcap.Net для разделения пакетов на сеансы tcp. Достаточно ли этих библиотек для восстановления сеанса tcp?

Ответы [ 2 ]

2 голосов
/ 02 ноября 2011

Pcap.Net уже имеет синтаксический анализатор HTTP, который, вероятно, будет расширен за счет большего количества функций, если люди будут запрашивать их.

Что касается реконструкции TCP, вы можете проголосовать за это.Запрошенная функция, я надеюсь сделать это в одной из следующих версий.

Реконструкция TCP не так уж тривиальна, но в основном она будет работать, когда вы группируете пакеты в сеансах TCP, заказываете их и удаляете дубликаты.Есть еще угловые случаи, которые необходимо обработать, которые также зависят от качества линии, с которой вы получаете пакеты.

Получив восстановленный поток, вы можете использовать Pcap.Net HttpDatagram дляразбери его.

0 голосов
/ 01 ноября 2011

В основном вам необходимо переопределить стек tcp / ip и синтаксический анализатор http-сессии.

Tcp-пакеты должны быть переупорядочены и удалены дубликаты / инвалиды.

Эти пакеты должны быть обработаны для определения http-сессий. Распаковка данных и обработка заголовка позволят вам идентифицировать тип MIME.

Sharppcap или pcapdotnet должны работать как основа того, что вы хотите сделать. Я уверен, что шарпкап может, так как я автор.

У меня есть коммерческий продукт, который работает с sharppcap и для выполнения tcp, и для разбора http: chmorgan@gmail.com, если вы заинтересованы в чем-то, что было протестировано модульно и использовано в других коммерческих продуктах.

...