Dotaz: parser pcap souboru v C

[Chomi]

Zdravim všechny a prosím o pomoc. Snažím se vytvořit software, který by analyzoval soubory v pcap formátu (předpokládejme, že budou pouze z programu tcpdump). Co to má analyzovat atd. není podstatné. Snažil sem se najít nějakou knihovnu, která by mi pomohla pcap formát přelouskat z binární podoby do podoby textové, abych obsah hlaviček paketů mohl prezentovat dále, stejně jako tomu je u wireshark nebo samotného tcpdumpu. Navíc jsem byl okolnostmi donucen to vytvořit v C, ve kterém znám opravdu základy. Zkoušel sem použít knihovnu pcap.h, což se samozřejmě nabízelo jako první, ale nedokázal jsem z paketu vydolovat potřebné informace. Po pátrání přes google jsem našel jeden prográmek, který dělal podobnou věc a snažil se ho upravit k obrazu svému, ale nejsem si jistý zda funguje správně právě to vytažení dat, protože ukazuje například úplně jiná ID IP hlavičky než wireshark a tomu bych věřil víc. Pokud by existovala nějaká knihovna, která má funkce pro parserování takového formátu, určitě by mi to ulehčilo práci. Snažil sem se hledat i ve zdrojáku wireshark, ale tam sem v hledání neuspěl.

Odpovědi

[Ketling]

No podľa mňa bude najvhodnejšie použiť práve tú knižnicu pcap (používa ju ako tcpdump tak aj wireshark). Problém je možno práve v nedostatočnej znalosti C. Skúste sem hodiť nejaký kus zdrojáku, ktorý nefunguje a snáď sa nájde riešenie.

[Nikola Pajkovský]

Taky bych pouzil pcap.h. Posli zdrojak rad se na to kouknu.

[koso]

Mozno trocha zbytocna otazka, ale co chapes pod textovou podobou? Ak zobrazenie packetu pomocou HEX znakov tak tu je najlahsie pouzit kniznicu libpcap. V samotnej dokumentacii je presne na toto hotovy a funkcny priklad. Ak myslis textovym zobrazenim rovno interpretaciu binarnych udajov (rozklad hlaviciek) tak to by bol asi znacny problem, hlavne ak by si potreboval spracovat aj ine ako zakladne protokoly.

Co sa tyka zleho zobrazenia ID v hlavicke IP, moze to byt sposobene zlou interpretaciou binarnych dat zo suboru pcap, sposobenou little-big endianom. Tento problem sa mohol vyskytnut, ak pri citani suboru nebola pouzita kniznica libpcap. Viac o formate suborov a ako odstranit tento problem sa da docitat tu: http://wiki.wireshark.org/Development/LibpcapFileFormat