sky21 - Di 15.01.08 16:35
Titel: Traffic Capture: Mit Pcap oder doch lieber mit Ethereal?

---

Ich möchte gerne den Netzwerkverkehr abfangen (Delphi32 v05, WinXp SP2). Die Daten sollen in Rohform direkt 'on the fly' ausgewertet und zusätzlich noch in ein File gespeichert werden. Aufgrund des proprietären Protokolls oberhalb TCP wird der Payload von mir selber decodiert.

Ich habe jetzt zwei Ansätze:
[1] WinPCap direkt ansteuern
[2] z.B. TEthereal im Hintergrund mit startparametern starten

Wenn ich jetzt [1] mit [2] vergleiche, dann stört mich bei [2], dass ein zusätzlicher Prozess gestartet und gesteuert werden muss, während bei [1] auf einer 'low level' Ebene die Steuerung programmatisch vorgenommen werden kann. Für [1] habe ich schon einige Stunden investiert, jedoch noch nicht herausgefunden wie die Paketaufzeichnung direkt gelesen und gleichzeitig in eine Datei geschrieben werden kann. Scheinbar hat es pro Anwendungsfall zwei verschiedene Funktionsaufrufe (pcap_open_live() od. pcap_dump_open())

Im Moment sehe ich irgendwie keinen Vorteil von TEthereal, ihr?

LexXis - Do 24.01.08 13:55

---

Geht jetzt vllt. ein Wenig am eigentlichen Thema vorbei, aber ich hab dafür ein Paket namens "Snoop" benutzt. Das setzt IMHO direkt über PCap auf deinem NetMon-Treiber auf.
Was genau die von Dir erwähnten Units können weiß ich nicht, komme allerdings mit Snoop sehr gut klar und empfehle es daher jetz einfach mal als Alternative, um das Ganze noch verwirrender zu gestalten ;)
Die Doku zu Snoop is recht mager ausgefallen, aber alles was du wissen musst, erklärt sich durch diverse Beispielanwendungen selbst.

[Edit]
Berichtigt mich, wenn ich falsch liege, aber setzt Ethereal nicht auch auf PCap auf? o_O
[/Edit]

mfg

Tex - Mi 30.01.08 21:22

---

Hallo Zusammen,

wo bekommt man den diese Komponente "Snoop"??
Weder die Foren noch die Google-Suche hat mich weitergebracht.


Danke,

Tex

LexXis - Mi 13.02.08 01:20

---

Nach 5 Minuten googlen: http://www.cromosoft.com/spp/?dir=snoop_analizer

:)

DarkHunter - Fr 15.02.08 09:18

---

LexXis hat folgendes geschrieben:

Berichtigt mich, wenn ich falsch liege, aber setzt Ethereal nicht auch auf PCap auf? o_O

Das ist vollkommen richtig, Wireshark (ehemals Ethereal) benötigt unter Windows WinPcap.
@sky21:
Auch wenn ich die TEthereal Komponente nicht kenne, gehe ich davon aus das du ein installiertes WinPcap vorraussetzen musste, damit dein Programm funktioniert.

folglich könntest du auch Pcap direkt nutzen.