【LIBPCAP】初识

官网地址：http://www.tcpdump.org/

欢迎

​ tcpdump是一个功能强大的命令行数据包分析器（使用了libpcap，一个可移植的C/ c++库），用于网络流量捕获。
​ 在这个页面中，您将找到tcpdump和libpcap的最新稳定版本，以及当前的开发快照、完整的文档，以及关于如何报告bug或提交补丁的信息。

文档

​ 源代码包中以MAN页面格式提供了完整的文档。使用Windows发行版的用户最好查看Windows PCAP页面以获得WinDUMP的参考资料。以下是HTML格式的手册页(使用man2html)和一些由外部贡献者编写的教程。
​ Tcpdump手册页
​ 主要pcap手册页(更多pcap手册页)
​ 常见问答
​ 使用pcap进行编程，作者：Tim Carstens
​ libpcap:一种数据包捕获的架构和优化方法，作者：Steve McCanne, CTO Riverbed Technology - Sharkfest’11
​ 对libpcap架构的精彩讲解，作者：Steve McCanne
​ 使用libpcap进行包捕获及其他底层网络技巧，作者：NAU’s Computer Systems Engineering.
​ Aprendiendo a programar con libpcap(西班牙语)，作者：Alejandro Lopez Monge
​ Tcpdump过滤器，作者：Marios Iliofotou
​ 使用Libpcap编程—从我们自己的应用程序中嗅探网络(代码示范)，作者：Luis MartinGarcia. Hakin9 Magazine. Issue 2/2008
​ 让我们学习tcpdump ，作者：Julia Evans

当前版本

​ tcpdump和libpcap都可以在github上找到，并且免费下载，下载地址

 git clone https://github.com/the-tcpdump-group/tcpdump.git
 git clone https://github.com/the-tcpdump-group/libpcap.git

相关项目

ECap
​		Ecap（external capture）是一个带有web前端的分布式网络嗅探器。Ecap是2005年写的，但是tcpdump员工邮件列表上的一个帖子要求类似的应用，所以就在这里。如果有兴趣，可以更新一下，然后再做一次。

Network Expect
​		它是一个框架，它允许轻松构建可以与网络流量交互的工具。在脚本里，网络流量可以注入到网络中，并且可以根据接收到的网络流量来做出决策和采取对策。解释语言提供分支和高级控制结构来指导与网络的交互。它使用libpcap进行包捕获，使用libwireshark（来自Wireshark项目）进行包分析

Socket Sentry
​		它是一个用于KDE Plasma的实时网络流量监视器，功能和iftop、netstat等工具相似

Tools for modeling the user-traffic（用户流量建模工具）
​		它是一个带有各种工具的链接的页面，其中许多工具可以处理tcpdump输出，例如，生成统计信息

LibNet
​		它是一套帮助构建和处理网络数据包的集合，为底层网络包的修改、处理和注入提供了一个可移植的框架。它在IP层和链路层提供了轻便的数据包创建接口，以及一系列补充和完善功能。使用LibNet可以轻松的组建快速简单的包

tcpreplay
​		根据pcap文件内容，使用libnet库在网络接口上重新发送数据包

TTT: Tele Traffic Tapper（远程交通窃听器）
​		TTT是tcpdump的另一个衍生，但它能够实时、图形化和远程流量监控。它并不是为了取代tcpdump，相反可以帮助您更方便的查找tcpdump中的内容。TTT监视网络，并在时间窗口内自动获取流量的主要发送者。默认情况下，图形每秒更新一次。

Internet Traffic Archive
​		它是一个支持广泛访问因特网流量踪迹的模型库，由ACM Sigcomm赞助。

EtherApe（网络分析仪）
​		EtherApe是仿照etherman的Unix图形网络监视器。它具有链路层、ip和TCP模式，以图形方式显示网络活动。主机和链接的大小随流量而变化。彩色编码协议显示。它支持以太网、FDDI、令牌环、ISDN、PPP和SLIP设备。它可以过滤要显示的流量，可以从文件中读取流量，也可以从网络中实时读取流量。

TCPslice
​		TCPslice是用于提取文件部分（使用tcpdump的-w标志生成）的一个工具，。它可以组合多个文件，和/或基于时间提取一个或多个文件的部分。TCPslice最初来自LBL，现在由tcpdump.org维护。我们还没有正式发布它，尽管有一些更新。

TCPTrace
​		TCP trace分析捕获的TCP流的行为，并接受许多跟踪文件格式（包括pcap）。它提供连接统计和几种类型的图，包括广泛使用的时序图。

tcpflow
​		tcpflow捕获作为TCP传输的数据，并以便于协议分析或调试的方式存储数据。“tcpdump”只显示包摘要，但通常不存储实际传输的数据。相反，tcpflow重建实际的数据流，并将每个流存储在单独的文件中，以供以后分析。

snort
​		Snort是由Sourcefire开发的一个开源的网络入侵防御和检测系统（IDS/IPS）。Snort结合了签名、协议和基于异常的检测的优点，是全球部署最广泛的IDS/IPS技术。随着数百万下载和大约300000注册用户，Snort已经成为IPS的事实标准。

Scapy
​		Scapy是一个强大的交互式包操作程序。它能够伪造或解码大量协议的数据包，将它们发送到网上，捕获它们，匹配请求和回复，等等。它可以轻松地处理大多数经典任务，如扫描、跟踪、探测、单元测试、攻击或网络发现（它可以替代hping、85%的nmap、arpsoof、arp sk、arping、tcpdump、tesereal、p0f等）。它在许多其他工具无法处理的特定任务上也表现得非常好，比如发送无效帧、注入自己的802.11帧、组合技术（VLAN跳频+ARP缓存中毒、WEP加密信道上的VOIP解码等）

Bro（最近改名为Zeek） 
​		Bro是一个开源的、基于Unix的网络入侵检测系统（NIDS），它被动地监视网络流量并查找可疑活动

Network Top
​		ntop是一个显示网络使用情况的网络流量探测器，类似于流行的Unix命令TOP。ntop基于libpcap，它是以一种可移植的方式编写的，以便在每个Unix平台上以及Win32上运行

Wireshark
​		一个免费的Unix和Windows网络协议分析器。它允许您检查来自实时网络或磁盘上的捕获文件的数据。您可以交互浏览捕获数据，查看每个数据包的摘要和详细信息。Wireshark有几个强大的特性，包括丰富的显示过滤语言和查看TCP会话的重建流的能力

CoralReef
​		CoralReef是CAIDA开发的一个软件套件，用于分析从互联网流量监视器中收集的数据。它提供了一个编程库libcoral（类似于libpcap），具有ATM和其他网络类型的扩展，支持C和Perl。该软件目前支持使用OC3mon和OC12mon卡的专用PC盒，这些卡可以实时收集流量数据，以及从pcap跟踪文件中读取数据。即将发布的3.4版支持通过支持bpf的设备进行监听。CoralReef包括驱动程序、分析、web报告生成、示例和捕获软件。该软件包由CAIDA开发人员在Internet测量社区的支持和协作下维护

TCPstat
​		tcpstat像VMSTAT一样报道网络接口的统计数据。tcpstat通过监视特定接口或从文件读取先前保存的tcpdump数据来获取信息

NetDude
​		netdude（网络转储数据显示器和编辑器）。从官网网来看，“这是一个基于GUI的工具，允许对tcpdump tracefile中的数据包进行详细的更改

Usenix 93 paper on BPF
​		libpcap接口支持基于BSD包过滤器中的体系结构的过滤机制。BPF在1993年冬季Usenix的论文“BSD包过滤器：用户级包捕获的新体系结构”中进行了描述。
​		原件：ftp://ftp.ee.lbl.gov/papers/bpf-usenix93.ps.Z		
​		副本：compressed PostScript（144K），gzip'ed PostScript（100K）

BPF for Ultrix
​		Ultrix 4.2的BPF发行版，包含源代码和二进制模块

DPF
​		一篇发表在SIGCOMM'96上“关于增强版BPF”的论文

Win32 info
​		盖伊·哈里斯关于WinPcap和WinDump状态的信息摘录

Xplot
​		xplot程序是在20世纪80年代末编写的，用于支持对TCP包跟踪的分析

Multitail
​		现在有一个彩色方案，包括用于监测TCPDUMP输出。还可以过滤、转换时间戳到时间字符串等等

netsniff-ng
​		Netsniff-NG是一个自由，性能好的Linux网络分析器和网络工具

networking toolkit
​		提交人：丹尼尔·博克曼

libcrafter
​		LICRCREST是一个高级C++库，旨在简化网络包的创建和解码。它能够处理或解码大多数常见网络协议的数据包，将它们发送到网上，捕获它们，并匹配请求和回复
​		提交人：Esteban Pellegrino

pcapfix
​		pcapfix是一个修复损坏的pcap和pcapng文件的工具。它检查是否有完整的pcap全局报头和数据包块，如果有任何损坏的字节，它将进行修复。如果头不存在，则创建一个头并将其添加到文件的开头。然后，它试图找到pcap包头或包块，并检查和修复它们

httpflow
​		包捕获和分析实用程序，类似于HTTP的tcpdump

PcapPlusPlus
​		一个多平台的C++网络嗅探、数据包解析和制作框架。它为LIPPCAP和WiNPCAP提供了一种轻量级、易用和高效的C++包装器

Termshark
​		tshark的终端用户界面，灵感来自Wireshark。