Die Anzahl der Pakete in einer pcap-Capture-Datei erhalten?

Question

Ich brauche ein Programm, das die Anzahl der Pakete in einer Capture-Datei, die die pcap format verwendet, druckt. Diese Nummer scheint im pcap-Header nicht verfügbar zu sein (wahrscheinlich weil sie vor dem Capture geschrieben wurde) und es scheint nicht, dass es eine Fußzeile in der Datei mit diesen Informationen gibt.

Also, ich glaube, der einzige Algorithmus ist, über alle Pakete Schleife und summieren sie. Es ist in O (N) und für große Spuren ziemlich lang.

Ich poste hier, um zu sehen, ob jemand eine klügere Idee hat?

Ich markierte mit "C", weil es die Sprache ist, die ich derzeit verwende, aber ich glaube, dass es ein sprachunabhängiges Problem ist.

Answer 1

Robert Edmonds, Autor von pcaputils, sagte mir, dass es bereits ein Programm gibt, was ich will, Capinfos, im Wireshark-Paket. Es zeigt verschiedene Hinweise zu einer pcap-Datei an, einschließlich der Anzahl der darin enthaltenen Pakete.

Wenn Sie die Quelltextquelle lesen, scheint sie zu funktionieren, indem Sie die gesamte Datei nacheinander durchlaufen.

Answer 2

Die einzige mir bekannte Methode ist, die Datei zu lesen, den erfaßten Rahmen nach dem erfaßten Rahmen und einen "Paketzähler". Es gibt jedoch einen kleinen Rahmenkopf, der die Länge des gespeicherten Rahmens enthält, so dass Sie suchen können Weiterleiten in der Datei um diese Länge.Es kann nicht schneller sein, wohlgemerkt.

Wenn Sie jedoch mehr als nur die Anzahl der erfassten Bilder zählen möchten, kann es sinnvoll sein, die Daten zu lesen und erstellen Sie eine Kette von erfassten Frames, während Sie sie zählen, für die zukünftige Verwendung. Meine PCAP-Bibliothek für Common Lisp tut dies. Es liest "nächsten Frame" auf einer bedarfsweisen Basis, rohe Frames in einer doppelt verketteten Liste für die leichtere Zukunft speichern nächste/vorherige "Frame-Navigation, mehr Frames von der Festplatte nach Bedarf lesen. Allerdings die Parsing des Frames con Zelte bleiben dem Ermessen des Bibliotheksbenutzers überlassen und werden nicht durch einfaches Lesen der Rahmenoktette in die Datenstruktur erzwungen.

Answer 3

Die nur Weise zu bestimmen, wie viele Pakete in der Datei sind, ist die gesamte Datei zu lesen. Tatsächlich gibt es im Dateiheader keine Paketzählung (da das Format in einem Durchgang beschreibbar ist), und es gibt tatsächlich keine Fußzeile.

Answer 4

Wenn Sie wollen, dass die Nummer von Frames in der pcap:

tshark -r test.cap | wc -l 

Mit capinfos:

capinfos test.cap | grep "Number of packets"| tr -d " " | cut -d ":" -f 2 

Mit tcpdump:

tcpdump -r test.cap 2>/dev/null| wc -l 

Also im Grunde verwenden libpcap, Hier ist ein Beispiel:

#include <stdio.h> 
#include <pcap.h> 
#include <stdlib.h> 

int main(int argc, char **argv) 
{ 
    unsigned int packet_counter=0; 
    struct pcap_pkthdr header; 
    const u_char *packet; 

    if (argc < 2) { 
    fprintf(stderr, "Usage: %s <pcap>\n", argv[0]); 
    exit(1); 
    } 

    pcap_t *handle; 
    char errbuf[PCAP_ERRBUF_SIZE]; 
    handle = pcap_open_offline(argv[1], errbuf); 

    if (handle == NULL) { 
    fprintf(stderr,"Couldn't open pcap file %s: %s\n", argv[1], errbuf); 
    return(2); 
    } 

    while (packet = pcap_next(handle,&header)) { 

     packet_counter++; 

    } 
    pcap_close(handle); 


    printf("%d\n", packet_counter); 
    return 0; 
} 

HINWEIS: Sie müssen die libpcap Header (auf Linux Suche nach libpcap dev/Entwickler-Paket)

dann mit gcc kompilieren installieren -o myprogram myprogram.c -lpcap