TCP流量提取

Question

我需要从转储文件中提取TCP流量及其内容,然后将它们的流量分别保存到其他文件中

Answer 1

如果你只做一些,Wireshark可以做到这一点.

脚步:

1. 在Wireshark中打开捕获.
2. 单击您感兴趣的TCP连接中的数据包
3. 分析 - >关注TCP流
4. 点击'原始'
5. 选择(从弹出菜单中)"整个对话"或两个方向之一.
6. 点击"另存为"

替代步骤,仅适用于HTTP:

1. 打开捕获
2. 选择文件 - >导出 - >对象 - > HTTP
3. 将打开一个对话框,显示捕获中的所有HTTP对象.您可以保存部分或全部.

这与Linux/GTK上的Wireshark 1.2.1有关."跟随TCP流"选项已在不同版本之间移动,因此如果您有旧版本,它可能位于其他位置.但它一直被称为Follow TCP Stream,所以你应该能够找到它.

如果Wireshark不适合您,快速搜索还会显示其他几个选项:ngrep,tcpick,chaosreader和tcpflow.

Answer 2

你肯定想使用Bro,更具体地说,它的contents.bro政策.例如,给定包含HTTP请求的跟踪,运行以下命令...

bro -r http.trace -f 'tcp and port 80' contents

...生成文件

contents.[senderIP].[senderPort]-[destIP].[destPort]
contents.[destIP].[destPort]-[senderIP].[senderPort] 

对于每个连接,每个连接包含流的单向内容.

流程重组非常强大,流程可扩展到非常大的文件,一切都可根据您的需求进行定制.

Answer 3

也许是钢丝鲨？它可以用来过滤会话，我想你可以单独保存它们。