使用 jPcap 在 Java 中实时重建 TCP 会话

Question

我正在监听特定的网卡并使用 jPcap 库捕获 TCP（仅 TCP）数据包。但是，我需要整个 TCP 会话，而不是单个数据包。

在Wireshark中，我可以选择“follow tcp stream”，这样我就可以从头到尾得到整个会话。我想在 Java 中做到这一点。如何实时重建这些数据包？我想在监听网卡和捕获新数据包的同时重建 TCP 会话。我怎样才能做到这一点？这是我捕获数据包的代码：

jpcap.NetworkInterface[] devices = JpcapCaptor.getDeviceList();
            JpcapCaptor captor = JpcapCaptor.openDevice(devices[1], 65535, true, 1000);
            JpcapWriter writer = JpcapWriter.openDumpFile(captor, "myNetworkDump");
            captor.loopPacket(-1, new PacketPrinter(writer));

---

class PacketPrinter implements PacketReceiver {

    private HashMap<Long, ArrayList<Packet>> sessions;
    private BufferedWriter out;
    private JpcapWriter writer;

    Map<Long, TCPBodyData> bodies = new HashMap<Long, TCPBodyData>();

    public PacketPrinter(JpcapWriter writer) {
        this.writer = writer;
        this.sessions = new HashMap<Long, ArrayList<Packet>>();
    }

    public void receivePacket(Packet packet) {
        System.out.println(packet);
        if (packet instanceof TCPPacket) {
            TCPPacket tcppacl = (TCPPacket) packet;
            byte[] body = addBodyData(tcppacl);
            // System.out.println(new String(body));
        }
}
}

Answer 1

我对 jPcap 了解不多（我记得在某处读过 - here 你应该使用 jNetPcap）但我会根据存储会话使用HashMap<String,TCPPacket> tcp 会话，String 键例如String.join('.',remotehost_tcp_address,remote_host_tcp_port)，然后等待 RST 或 FIN-FIN+ACK-ACK 序列将其删除。

请注意，如果您的系统遇到繁重的网络负载，这可能是一项代价高昂的操作，并且您可能还想注意超时的对话。

Answer 2

您可以尝试按源主机、源端口、目标主机、目标端口和连续序列号对数据包进行分组。要知道会话何时开始，您可以检查 SYN 设置为 1 的数据包，此时您可以捕获 ISN（初始序列号），并且所有后续具有 ISN+1..ISN+n 的数据包都将在同一个 tcp 流中。要知道会话何时结束，您必须检查 FIN 数据包。 维基百科的链接还不错http://en.m.wikipedia.org/wiki/Transmission_Control_Protocol，但为了更好更深入地阅读，我推荐你“TCP/IP Illustrated vol.1”。

Answer 3

pcap-reconst 项目提供了一个框架，用于从 pcap 文件重建 TCP 流。您可以使用TcpReassembler 类的方法public void reassemblePacket(TcpPacket tcpPacket) 来完成这项工作。

/*
* The main function of the class receives a tcp packet and reconstructs the stream
*/
public void reassemblePacket(TcpPacket tcpPacket) throws Exception {
    ....
}
/*
 *Get the TCP stream
 */
 public OutputStream getOutputStream() {
    return outputStream;
}

/*
 * Reconstructs the tcp session
 * @param sequence Sequence number of the tcp packet
 * @param length The size of the original packet data
 * @param data The captured data
 * @param data_length The length of the captured data
 * @param synflag
 * @param net_src The source ip address
 * @param net_dst The destination ip address
 * @param srcport The source port
 * @param dstport The destination port
 */
 private void reassembleTcp(long sequence, long ack_num, long length, byte[] data, 
                            int dataLength, boolean synflag,
                            TcpConnection tcpConnection) throws Exception {
      ....
 }