使用libnids捕获和组装TCP流

Question

我一直在写一个简单的嗅探工具。我从libpcap开始，但后来意识到跟踪TCP流信息会很有用，所以我开始阅读并尝试使用libnids。

这是一个很棒的工具，但是如果它没有见证某个流的TCP握手(SYN，SYN/ACK，ACK)，它就不会在其内部流的哈希表中创建新的记录。因此，除非我在握手之前启动了嗅探器，否则我将无法看到大量数据。文档有点欠缺。有没有人知道是否有可能绕过这个限制？

Answer 1

好的，经过深入的谷歌搜索，我想我找到了这个问题，对于任何可能感兴趣的人来说。

libnids是为了模拟Linux内核的网络堆栈而设计的，所以从这个角度来看，它为没有握手的流量创建表是没有意义的。唯一的解决方案是使用tcpkill之类的东西来强制进行新的握手。