Libpcap peut-il réassembler des segments TCP?

Question

J'ai besoin de renifler le trafic TCP dans mon application.

libpcap peut-il réassembler les segments TCP ou dois-je le faire manuellement?

La page d'accueil indique: "Une documentation complète est fournie avec les packages source au format de page de manuel". Après avoir sudo apt-get installer libpcap-dev , je n’ai trouvé qu’un seul homme, pcap. Est-ce toute la documentation disponible ou j'ai tout simplement manqué quelque chose?

Merci

Answer 1

Le réassemblage de paquets ou de flux n'est pas mentionné dans pcap (3).

Si je me souviens bien, les outils dsniff utilisent libnids pour réassembler les paquets IP et les flux TCP.

Answer 2

Il y a trois ans, j'utilisais libpcap et je devais réassembler moi-même les flux TCP. Ce n'est pas très difficile, mais c'est plein de cas particuliers.

Vous pouvez consulter les dissecteurs de WireShark et "suivre le flux TCP" & # 187; option si la licence (GPLv2) convient à votre projet.

Answer 3

Sur mon système (légèrement plus ancien):

root@tower:~/desktop/ccan/ccan/tap # dpkg -L libpcap0.7-dev
/.
/usr
/usr/lib
/usr/lib/libpcap.a
/usr/include
/usr/include/net
/usr/include/net/bpf.h
/usr/include/pcap.h
/usr/include/pcap-namedb.h
/usr/share
/usr/share/man
/usr/share/man/man3
/usr/share/man/man3/pcap.3.gz

Hmm, on dirait qu'ils devraient être là:

root@tower:~/desktop/ccan/ccan/tap # man 3 pcap
Reformatting pcap(3), please wait...

Vous devriez disposer de man / 3 docs, j’ai jeté un œil sur le mien, le formatage est tout simplement misérable. J'ai saisi le source dans la bibliothèque via apt-get source, il semble que les seuls documents regroupés dans l'un ou l'autre des formats soient les pages de manuel.

Vous pouvez essayer leur liste de diffusion, si vous le faites, répondez à votre question ici:)

Answer 4

Non, libpcap ne réassemblera pas le segment TCP: libpcap capture les paquets, mais le traitement des données du paquet est laissé à l'application ou à une bibliothèque utilisée par celle-ci.

En ce qui concerne les pages de manuel, les anciennes versions de libpcap contiennent uniquement la page de manuel pcap (3). Les versions les plus récentes comportent, en plus de pcap (3PCAP), de nombreuses autres pages de manuel pour des routines particulières.