admin管理员组

文章数量:1516870

本文将介绍一种简单高效的方式提取 PCAP 报文中的文件，将通过PCAP报文中数字证书、图片、视频等为例进行讲述，作为我的专栏《wireshark从入门到精通》中的一篇。

首先简单说明一下报文中这些文件，图片视频的产生过程。整体的原理其实很简单，就是数字证书、图片以及视频这些文件以二进制存储在发送端。按照顺序从文件的开始，顺序传输给通信的另一方，直到文件的结束。这里面可能隐含一个问题就是，主机字节序和网络字节序之间的转换问题。即传输前将主机字节序转换为网络字节序进行传输，在接收到数据之后，会自动的将网络字节序转换为主机字节序。这个过程对于我们来说是透明的，至于我们处理本机离线的PCAP报文并不需要过多的关注。只需要把传输过程中产生的pcap格式头以及传输过程中的协议数据去除之后，将剩余部分按照二进制的形式存储下来，就可以得到发送端的文件内容。如果能够知道是文件类型，加上相应的后缀名，使用相应的程序就可以打开。

在阅读本文之前，你也许遇到过还原文件信息的场景，你可能使用的是 C 语言、Python 或者 Java 来做这种工作，这对于问题的处理并不容易。通常的做法是首先要定位数据的起始，然后去除报文的协议头部数据，定位到真实文件数据的偏移。然后根据 TCP 中数据的偏移，按照顺序将数据包一个个拼接起来。最后还要定位文件数据的结束为止。上述过程中不能出现任何错误数据的定位。如果出现乱序，你的程序很大程度上并不能完成工作。

通过本专栏的学习你应该了解到wireshark对于网络数据的处理能力是非常的优秀，对于报文的重组以及像证书文件、图片文件、视频的解码等方面提供了非常便利的支持。图1就是 Wireshark 对于图片解码的一个示例：

本文标签： 系统编程文件

版权声明：本文标题：揭秘 Wireshark Lua 插件：解析并解码 PCAP 报文中隐藏的视频流 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.betaflare.com/web/1772639246a3276043.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。