libpcapでHelloクライアントとSNIを抽出する

Question

私はpcapファイルを解析するためにcでlibpcapライブラリを使用しています。私は、TCPクライアントのhelloを抽出し、指定されたサーバと一致するようにサーバ名の表示をチェックしようとしています。それをしてもいいですか？はいの場合、誰かが私にどのように教えてくれますか？ありがとう

Answer 1

PcapPlusPlusライブラリを使用してこれを行うことができるC++コードスニペットがあります。このコードは、あなたがpcapファイルからパケットを読み込んでいることを前提としていますが、ライブインターフェイスから読み取ったときにも同じことができます：

// create a pcap file reader instance 
pcpp::IFileReaderDevice* reader = pcpp::IFileReaderDevice::getReader("my_ssl_packets.pcap"); 

// open the reader for reading 
reader->open(); 

// read the first (and only) packet from the file 
pcpp::RawPacket rawPacket; 
while (reader->getNextPacket(rawPacket) != NULL) 
{ 
    // parse the packet 
    pcpp::Packet sslParsedPacket(&rawPacket); 

    // check if this is a SSL packet 
    if (!sslParsedPacket.isPacketOfType(pcpp::SSL)) 
     continue; 

    // check if this is a SSL handshake packet 
    pcpp::SSLHandshakeLayer* sslHandshakeLayer = sslPacket->getLayerOfType<pcpp::SSLHandshakeLayer>(); 
    if (sslHandshakeLayer == NULL) 
     continue; 

    // check if this is a client-hello message 
    pcpp::SSLClientHelloMessage* clientHelloMessage = sslHandshakeLayer->getHandshakeMessageOfType<pcpp::SSLClientHelloMessage>(); 
    if (clientHelloMessage == NULL) 
     continue; 

    // extract the Server Name Indication from the client-hello message 
    pcpp::SSLServerNameIndicationExtension* sniExtension = clientHelloMessage->getExtensionOfType<pcpp::SSLServerNameIndicationExtension>(); 
    if (sniExtension != NULL) 
     printf("Server Name Indication is: %s\n", sniExtension->getHostName().c_str()); 
} 

// close the file reader 
reader->close(); 
delete reader;