kobe6672823 / pcap_analysis Goto Github PK

用数据库将数据存起来，这样扩展灵活很多，譬如界面展示可以不做客户端界面展示，而用网页展示

另外数据库与应用一定要严格分层（像ror框架做的那样），这样可以保证数据库的选择切换可以方便一点（目前肯定做不了大部分数据库都支持的啊）

因为数据链路层要实现的三个基本问题：封装成帧、透明传输、差错控制

其中差错控制中讲到，如果一个帧校验出错，直接丢弃，wireshark抓不到（不知道是不是抓不到，概率太低了，没遇到过）

浏览器会用到cache，这样服务器返回的是一个304，而不会返回页面内容，这就提取不到这个页面所包含的link，那么这个页面就做不了session分割了

ctr+f5可以让浏览器不使用cache，可是这个工具明显不能限制用户行为，所以是不可取的

就是一个session是否是一个完整的session
session的完整率
如：一个session，包含了5个req，可是只是回来了4个response，那这个session就是不完整的

JS生成的请求资源链接很多都未必保存在页面内，这时候这部分链接就不能归到session分割的请求域里面了，那么做session分割的时候，这部分请求就会被漏掉

不过假如做session分割的时候，粒度是tcp_stream的话，这些请求就不会被漏掉了（因为这这些请求肯定是存在于tcp_stream内的）

那个不能形成一个session，譬如说bt的首页，是php页面，后缀不是html，所以bt这个页面不能形成session

将所有的pcap里面的tcp分割成stream（从建立连接，到断开连接这个过程，包括中间发的数据包，定义为一个stream）

这样做的意义：
因为每个http请求和对应的响应都是在一个tcp stream内完成的（建立连接，请求，响应，断开）
而且有些响应因为比较大，会产生tcp reassemble segment，分成stream后对segment的重组十分有帮助（很容易了）
根据sequence number和ack number重组
而只有重组后才能得到完整的http content，这样后面的session分割才能得到实现
@kobe6672823