以字符串模式从pcap文件中提取应用程序层标头

Question

我有一个PCAP文件，其中包含带有有效负载的数据包数据。

我想从此文件中以ASCII格式提取应用程序层标题。

HTTP标头的示例如下所示：

GET /chatroom_4.jpg HTTP/1.1
Full request URI: http://patogh.khalezanak.com/img/ui/ui-bg_flat_75_ffffff_40x100.png
LOCATION: http://172.18.39.154:51202
GET /img/ui/ui-bg_flat_75_ffffff_40x100.png HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.36 (KHTML, like Gecko)Chrome/42.0.2311.90 Safari/537.36
HTTP/1.1 200 Log Processed

我该如何使用sharppcap或pcap.net或其他方式进行操作？

Answer 1

使用Justniffer。 一个示例在这里： https : //seguridadyredes.wordpress.com/2011/11/08/justniffer-un-sniffer-que-reensambla-reordena-y-muestras-los-flujos-tcp/

它是高度可定制的：

justniffer -f ../pcap1/http.pcap -l "%request.header.grep([^\s]*[\s]*([^\s]*)) %response.header.grep(Content-Type:(\s)*([^\r]*)) %source.ip"

最好的祝福，