https://www.opennet.ru/openforum/vsluhforumID9/9757.html Разбираюсь с pcap и написанием сниферов, перехватывать и выводить в консоль tcp пакеты научился, не могу разобраться как обрезать заголовки пакетов, что бы остались только tcp данные. Первой мыслью было обрезать определенное количество байт в начале пакета но насколько я понял заголовки ethernet/ip/tcp не постоянной длинны. Есть что нибудь готовое и удобное? <br> https://www.opennet.ru/openforum/vsluhforumID9/9757.html#1 Thu, 10 Oct 2013 20:48:36 GMT реализовать снифер с восстановлением тцпшной сессии нетривиальная задача. тут передется поддержать как минимум переупорядочивание пакетов( в рамках окна они могут приходить в произвольном порядке - вплодь до данных после фина ), нормализацию пакетов( данные в пакетах могут перекрываться ), логика работы с окном, логика открытия/закрытия/сброс сессии, фрагментация, таймеры, поддержка icmp, разные экзотические рфц( данные на сине, данные на фине ) - эт только что вспомнил. также нужно задуматься по необходимости и о безопасности самого снифера - защита от синфлуда, лимиты на данные - без лимитов атакующий может выжрать 4гига оперативы на одну тцп сессию.<br><br>гугли tcp reassembler ну и слово ids туда по желанию приписать.<br><br>чьи исходники смотрел:<br>- bro - реализует почти все что описал( реализация убога, хоть сам бро и популярен )<br>- snort - вроде как достаточно полная реализация тцп стека для ids ну и сам пакет достоен уважения<br>- lwip - позицианируют себя как легковесный ип-стек для встраиваемых систем. заточе