关于网络流量的知识

毕设是这玩意。。有的内容还找不到，自己写一个吧。。。。。。。。。。

一、pcap文件的格式

pcap文件是流量包文件，从wireshark和tcpdump或者其他抓包程序里面抓来，有pcap和pcapng两种格式。。这个文章直说pcap。。pcapng再说。

pcap文件格式

http://blog.sina.com.cn/s/blog_4b5039210100fzrt.html

https://blog.csdn.net/u013793399/article/details/51474831

https://blog.csdn.net/dog250/article/details/52005893

https://blog.csdn.net/yhangleo/article/details/8484597

https://blog.csdn.net/yhangleo/article/details/8486927

https://blog.csdn.net/hola_f/article/details/51678333

二、pcap文件的使用

一般就用wireshark来打开文件，但是目前为止我的感受里面。。好像除了mac之外的其他电脑打开超过500m的pcap都会很慢，尤其是追踪流的时候。。。吃翔一样的难受，所以要拆分数据包

拆分：

editcap

wireshark自带的程序，简单方便

SplitCap

https://www.netresec.com/?page=SplitCap

CapLoader

https://www.netresec.com/?page=CapLoader#trial

上面俩是有用的小程序。

合并数据包：

mergecap

三、日志对流量的恢复：

七到八的元组

 事件名 源IP 目的IP 源端口 目的端口 时间 协议名 payload

拿py改吧

四、HTTP 头部解释

 

1. Accept：告诉WEB服务器自己接受什么介质类型，*/* 表示任何类型，type/* 表示该类型下的所有子类型，type/sub-type。

 

2. Accept-Charset：浏览器申明自己接收的字符集
   Accept-Encoding：浏览器申明自己接收的编码方法，通常指定压缩方法，是否支持压缩，支持什么压缩方法 （gzip，deflate）
   Accept-Language：浏览器申明自己接收的语言语言跟字符集的区别：中文是语言，中文有多种字符集，比如big5，gb2312，gbk等等。

 

3. Accept-Ranges：WEB服务器表明自己是否接受获取其某个实体的一部分（比如文件的一部分）的请求。bytes：表示接受，none：表示不接受。

 

4. Age：当代理服务器用自己缓存的实体去响应请求时，用该头部表明该实体从产生到现在经过多长时间了。

 

5. Authorization：当客户端接收到来自WEB服务器的 WWW-Authenticate 响应时，该头部来回应自己的身份验证信息给WEB服务器。

 

6. Cache-Control：

 

请求：no-cache（不要缓存的实体，要求现在从WEB服务器去取）

 

max-age：（只接受 Age 值小于 max-age 值，并且没有过期的对象）

 

max-stale：（可以接受过去的对象，但是过期时间必须小于max-stale 值）

 

min-fresh：（接受其新鲜生命期大于其当前 Age 跟 min-fresh 值之和的缓存对象）