毕设是这玩意。。有的内容还找不到,自己写一个吧。。。。。。。。。。
一、pcap文件的格式
pcap文件是流量包文件,从wireshark和tcpdump或者其他抓包程序里面抓来,有pcap和pcapng两种格式。。这个文章直说pcap。。pcapng再说。
pcap文件格式
http://blog.sina.com.cn/s/blog_4b5039210100fzrt.html
https://blog.csdn.net/u013793399/article/details/51474831
https://blog.csdn.net/dog250/article/details/52005893
https://blog.csdn.net/yhangleo/article/details/8484597
https://blog.csdn.net/yhangleo/article/details/8486927
https://blog.csdn.net/hola_f/article/details/51678333
二、pcap文件的使用
一般就用wireshark来打开文件,但是目前为止我的感受里面。。好像除了mac之外的其他电脑打开超过500m的pcap都会很慢,尤其是追踪流的时候。。。吃翔一样的难受,所以要拆分数据包
拆分:
editcap
wireshark自带的程序,简单方便
SplitCap
https://www.netresec.com/?page=SplitCap
CapLoader
https://www.netresec.com/?page=CapLoader#trial
上面俩是有用的小程序。
合并数据包:
mergecap
三、日志对流量的恢复:
七到八的元组
事件名 源IP 目的IP 源端口 目的端口 时间 协议名 payload
拿py改吧
四、HTTP 头部解释
1. Accept:告诉WEB服务器自己接受什么介质类型,*/* 表示任何类型,type/* 表示该类型下的所有子类型,type/sub-type。
2. Accept-Charset:浏览器申明自己接收的字符集
Accept-Encoding:浏览器申明自己接收的编码方法,通常指定压缩方法,是否支持压缩,支持什么压缩方法 (gzip,deflate)
Accept-Language:浏览器申明自己接收的语言语言跟字符集的区别:中文是语言,中文有多种字符集,比如big5,gb2312,gbk等等。
3. Accept-Ranges:WEB服务器表明自己是否接受获取其某个实体的一部分(比如文件的一部分)的请求。bytes:表示接受,none:表示不接受。
4. Age:当代理服务器用自己缓存的实体去响应请求时,用该头部表明该实体从产生到现在经过多长时间了。
5. Authorization:当客户端接收到来自WEB服务器的 WWW-Authenticate 响应时,该头部来回应自己的身份验证信息给WEB服务器。
6. Cache-Control:
请求:no-cache(不要缓存的实体,要求现在从WEB服务器去取)
max-age:(只接受 Age 值小于 max-age 值,并且没有过期的对象)
max-stale:(可以接受过去的对象,但是过期时间必须小于max-stale 值)
min-fresh:(接受其新鲜生命期大于其当前 Age 跟 min-fresh 值之和的缓存对象)