Haskell 中的 Pcap 文件解码

Question

我正在尝试解码 pcap 文件 和除了几件事之外，它工作正常。

import Network.Pcap
import System.IO
import Control.Monad

callfun f = do
    ( p , q ) <- next f 
    print $ hdrSeconds p  
    print $ hdrCaptureLength p
    print $ hdrWireLength p
    print q 
    when ( hdrWireLength p /= 0 ) $ callfun f    

main = do
    f <- openOffline "udp_lite_full_coverage_0.pcap"
    callfun f 

我希望 hdrSeconds p [ 捕获的时间 ] 返回的时间与wireshark [ 日期 : 月 : 年 : 分钟 : 秒 ] 中的格式相同，并且通过变量 q 以 Ascii 格式返回数据。请告诉我如何做到这一点。
实际上，我试图解析 pcap 文件以与不带 libpcap 库的wireshark 几乎类似的方式显示其内容[纯粹在 haskell 中通过以二进制格式打开 pcap 文件并逐字节读取]，但我无法进一步。请有人提供这个项目的指南，比如读什么，如何进行，任何你认为有帮助的东西。

编辑： 我开始编写这个应用程序，但缺少一些东西。我读了这个文件 http://www.viste.com/Linux/Server/WireShark /libpcapformat.pdf 它说前 24 个字节是全局标头，之后每个数据包都包含 pcap 本地标头。我想做的是，首先尝试通过读取第三个数据包来获取每个数据包中的数据字节 本地标头中的 incl_len 字段，但我的代码的行为并不像它想象的那样。我的测试 libcap 文件。

--http://www.viste.com/Linux/Server/WireShark/libpcapformat.pdf  
import Data.List 
import qualified Data.ByteString.Lazy as BS 
import qualified Data.ByteString.Lazy.Char8 as B 
import Control.Monad 
import Text.Printf 
import Data.Word 
import Data.Char 
import System.Time 
import Numeric 
import System.Environment 
hexTodec :: BS.ByteString ->  Integer 
hexTodec lst = read $   "0x" ++  (  concatMap ( \x -> showHex x "" ) $ BS.unpack lst  ) 
parseFile :: BS.ByteString -> Bool -> IO [ BS.ByteString ] 
parseFile xs revflag 
  | BS.null xs = return [] 
  | otherwise =   do 
    let ind =if revflag then   hexTodec . BS.reverse . BS.take 4 . BS.drop 8 $ xs 
              else hexTodec  . BS.take 4 . BS.drop 8 $ xs 
    print ind 
    let ( x , ys ) = BS.splitAt  ( fromIntegral ind  )  xs 
    --BS.putStrLn $ x 
    tmp <- parseFile ys revflag 
    return $ x : tmp 
main = do 
    [ file ]  <- getArgs 
    contents  <- BS.readFile file 
    let ( a , rest ) =  BS.splitAt 24  contents  --strip global header 
    let revflag = case BS.unpack $ BS.take 4  a of 
                    [ 0xd4 , 0xc3 , 0xb2 , 0xa1 ] -> True 
                    _ -> False 
    p <-   parseFile  rest  revflag 
    print $ p !! 0 
    BS.putStr $  p !! 0 

问候
穆克什·蒂瓦里

Answer 1

我希望 hdrSeconds p [捕获时间]返回的时间与wireshark中的格式相同[日期:月份:年小时:分:秒]

您可以使用 time 包并将其转换为UTC 时间。这使得提取月、日、年等变得微不足道。查看 时间包 的黑线鳕更多。

let epoch = pcapEpochTimeThatYouFindInOnlineDocumentation
diff <- hdrDiffTime p
let date = addUTCTime (realToFrac diff) epoch

据我所知，Haskell 绑定不提供纪元，但一旦你发现这应该没问题。我会通过电子邮件将补丁发送给维护者，以将转换直接添加到 UTCTime。

并通过变量 q 以 Ascii 格式返回数据

q 只是一个积分，您可以使用 toEnum 从 Int 中获取 Char ：

print (toEnum (fromIntegral q) :: Char)

那么 在纯 Haskell 中执行此操作，我认为您需要退后一步，了解有关 Haskell 作为一种语言的更多信息，也许可以从诸如 学习你哈斯克尔。如果您决心继续前进，请阅读邮件中提到的二进制包列为其非公共 pcap Haskell 库的首选库。

Answer 2

您可以使用 Data.Time 模块将 hdrSeconds 返回的基于 UNIX 纪元的时间转换为 LocalTime 对象，然后将其格式化为带有 formatTime 的字符串。

import Data.Time.Clock.POSIX
import Data.Time.Format
import Data.Time.LocalTime
import System.Locale
import Data.Word (Word32)

data MockPCap = MockPCap { hdrSeconds :: Word32 }

toPosixTime :: Word32 -> POSIXTime
toPosixTime = fromIntegral

localHdrTime p = do tz <- getCurrentTimeZone
                    return $ utcToLocalTime tz $ posixSecondsToUTCTime $ toPosixTime $ hdrSeconds p

main = let p = MockPCap 1318464165  {-- Mock a PCap object --}
       in do hTime <- localHdrTime p
             print $ formatTime defaultTimeLocale "%c" hTime

Answer 3

一个用于读取 pcap 文件的 Haskell 库，它负责解析文件头和数据包记录头的工作，因此您不必自己执行此操作。然而，您仍然需要自己解析数据包数据。