Question

我有一个PCAP文件，其中包含带有效负载的数据包数据。

我想以ASCII格式从此文件中提取应用程序层标题。

HTTP标头的示例如下：

GET /chatroom_4.jpg HTTP/1.1
Full request URI: http://patogh.khalezanak.com/img/ui/ui-bg_flat_75_ffffff_40x100.png
LOCATION: http://172.18.39.154:51202
GET /img/ui/ui-bg_flat_75_ffffff_40x100.png HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.36 (KHTML, like Gecko)Chrome/42.0.2311.90 Safari/537.36
HTTP/1.1 200 Log Processed

如何使用sharppcap或pcap.net或其他内容进行操作？

Answer 1

使用Justniffer。这里有一个例子：https://seguridadyredes.wordpress.com/2011/11/08/justniffer-un-sniffer-que-reensambla-reordena-y-muestras-los-flujos-tcp/

高度可定制：

justniffer -f ../pcap1/http.pcap -l "%request.header.grep([^\s]*[\s]*([^\s]*)) %response.header.grep(Content-Type:(\s)*([^\r]*)) %source.ip"

最诚挚的问候，

以字符串模式从pcap文件中提取应用程序层头

1 个答案: