packet - dumpcap，保存到文本文件和行分隔

Question

我正在尝试构建一个解决方案，dumpcap以以下格式保存到文本文件：

timestamp_as_detailed_as_possible, HEX-raw-packet

我的目标是让每个单独的数据包连续流式传输到文件，用newline.

2个问题？：

• dumpcap 是否可以处理碎片数据包，所以我保证每行包含 1 个完整的数据包？

• 之后是否可以让另一个线程运行并从同一个文件中读取行，对数据执行某些操作，然后在处理时删除该行 - 而不会干扰dumpcap？

标签： packetpcappacket-capturetshark

Answer 1

之后是否可以让另一个线程运行并从同一文件中读取行，对数据执行某些操作，然后在处理时删除该行 - 而不会干扰 dumpcap？

不，但这是错误的做法。管道实际上是您应该在这里使用的，即 dumpcap 写入管道并从中读取分析进程，即

dumpcap -w - | analyzer

dumpcap 是否可以处理碎片数据包，所以我保证每行包含 1 个完整的数据包？

不，这里也不清楚你到底期望什么。通常不会在 IP 级别进行分段，因为 TCP 尝试将数据包大小调整为不大于 MTU。并且 TCP 应该只被视为一个字节流，即不要指望任何东西send最终会出现在一个数据包中，或者send多个数据包实际上会导致多个数据包。