如何使用pcap过滤POST请求？

Question

我正在使用C中的pcap库。我可以使用pcap_compile调用中的过滤器表达式“port 80”过滤http流量，但现在我想知道是否可以专门过滤POST请求。

有没有人知道用于过滤http POST请求的过滤器表达式？

Answer 1

以下内容应仅匹配POST：

port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354

但是，HTTP请求可能会在各种TCP数据包中被分割，因此您可能无法获得完整的请求。