tcp - http层嗅探器的写法

Question

我想写一个应用层嗅探器(SMTP/ftp/http)。

根据我的搜索，第一步(也许是最难的!)步骤是重新组装嗅探连接的 tcp 流。

确实，我需要的是类似 wireshark 的“跟随 TCP 流”选项的东西，但我需要一个在实时界面上自动执行此操作的工具。据我所知，Tshark 可以自动从保存的 pcap 文件中提取 TCP 流数据(link)，但不能从实时接口(interface)中提取。 Tshark 可以在实时界面上执行吗？？？

据我所知，TCPflow 可以做我想做的，但是，它不能处理 IP 碎片整理和 SSL 连接(我想在我有服务器私钥的情况下分析 SSL 内容)。

最后，我也试试 bro network monitor。虽然它提供了 TCP 连接列表 (conn.log)，但我无法获取 TCP 连接内容。

欢迎就上述工具或任何其他有用的工具提出任何建议。

提前致谢，丹。

Answer 1

perl Net::Inspect 库可能会对您有所帮助。它还带有一个 tcpudpflow，可以将 tcp 和 udp 流写入单独的文件，类似于 tcpflow。它适用于 pcap 文件或可以进行实时捕获。该库处理 IP 分段。它还附带了一个httpflow工具来提取HTTP请求和响应(包括解压缩，分 block 编码..)。它目前不处理 SSL。

作为这个库的作者，我不认为提取 TCP 流是最难的部分，HTTP 解析器(不包括解压缩，包括分 block 模式)几乎是 IP 和 TCP 总和的两倍。