Est-ce que libpcap peut réassembler des segments TCP?

Question

J'ai besoin de détecter le trafic TCP dans mon application.

Est-ce que libpcap peut réassembler des segments TCP ou dois-je le faire manuellement?

La page d'accueil indique "La documentation complète est fournie avec les paquetages source au format man page". Après je sudo apt-get install libpcap-dev je trouve seulement un homme pcap. Est-ce toute la documentation disponible ou j'ai simplement manqué quelque chose?

Merci

Answer 1

Packet ou réassemblage de flux ne sont pas mentionnés dans pcap (3).

Si je me souviens bien, les dsniff outils utilisent libnids pour réassembler les paquets IP et flux TCP.

Answer 2

Sur mon système (un peu plus):

root@tower:~/desktop/ccan/ccan/tap # dpkg -L libpcap0.7-dev 
/. 
/usr 
/usr/lib 
/usr/lib/libpcap.a 
/usr/include 
/usr/include/net 
/usr/include/net/bpf.h 
/usr/include/pcap.h 
/usr/include/pcap-namedb.h 
/usr/share 
/usr/share/man 
/usr/share/man/man3 
/usr/share/man/man3/pcap.3.gz 

Hmm, semble comme ils devraient être là:

root@tower:~/desktop/ccan/ccan/tap # man 3 pcap 
Reformatting pcap(3), please wait... 

Vous devrait avoir homme/3 docs, J'ai regardé le mien, le formatage est juste misérable. J'ai attrapé la source à la bibliothèque via apt-get source, on dirait que les seuls documents fournis de toute façon sont les pages man.

Vous pouvez essayer leur liste de diffusion, si vous le faites, assurez-vous de répondre à votre question ici :)

Answer 3

Il y a trois ans, j'ai utilisé libpcap et j'ai dû réassembler les flux TCP moi-même, ce n'est pas très difficile mais c'est plein de casse-tête.

Vous pouvez regarder les dissecteurs de wireshark et l'option «suivre le flux TCP» si la licence (GPLv2) est correcte pour votre projet.

Answer 4

Non, libpcap ne fera pas réassemblage segment TCP - libpcap capture des paquets, mais le traitement les données de paquets est laissé à l'application ou une bibliothèque utilisée par l'application. Comme pour les pages de manuel, les anciennes versions de libpcap ont juste la page de manuel pcap (3), les nouvelles versions ont, en plus de pcap (3PCAP), un tas d'autres pages man pour des routines particulières.