Question

在以上的章节中，使用 Wireshark 可以有效地分析了 tcpdump 的抓包内容，进而定位问题。但是如果抓包文件巨大，再使用 Wireshark 就不适用了。首先打开文件本身会非常慢，消耗大量内存，同时，如果进行过滤和分析，就更加费时费力了。在此，提出了使用程序自动化分析的技术。

在进行编程之前，需要安装相关的依赖项和库，使用如下命令：

yum -y install libpcap perl-Net-Pcap perl-NetPacket

作为演示，使用如下脚本来解析 Gameclient.pcap 中的 HTTP 响应，并打印出来：

#!/usr/bin/perl
use strict;
use warnings;
use Net::Pcap qw(:functions);
use NetPacket::Ethernet qw(:types);
use NetPacket::IP qw(:protos);
use NetPacket::TCP;
use NetPacket::TCP;

my $pcapfile = "Gameclient.pcap"; #指定需要解析的文件
my $err;
my $pcap = Net::Pcap::open_offline( $pcapfile, \$err ) or die "Can't read '$pcapfile': $err\n";#使用 Pcap 打开文件
Net::Pcap::loop( $pcap, -1, \&process_packet, '' ); #循环，直到文件尾部
Net::Pcap::close($pcap); #关闭抓包文件
#函数 process_packet 实际处理每个包，匹配、打印
sub process_packet {
    my ( $user_data, $header, $packet ) = @_;
# NetPacket::Ethernet::strip($packet) 把以太网首部去除，返回 IP 包
    my $ip = NetPacket::IP->decode( NetPacket::Ethernet::strip($packet) );#对 IP 包进行解析
    if ( $ip->{proto} == IP_PROTO_TCP ) {#先过滤 TCP 协议
        my $TCP = NetPacket::TCP->decode( $ip->{data} ); #以 TCP 协议解析数据
        if ( $TCP->{src_port} == 80 ) {#匹配服务器端的 HTTP 响应
            print $TCP ->{data}, "\n"; #打印响应内容
        }
    }
}