Comment filtrer les requêtes POST à ​​l'aide de pcap?

Question

Je joue avec la bibliothèque pcap en C. Je peux filtrer le trafic http en utilisant l'expression de filtre "port 80" dans l'appel pcap_compile, mais maintenant je me demande si je peux filtrer les requêtes POST spécifiquement.

Est-ce que quelqu'un connaît une expression de filtre pour filtrer les requêtes POST http?

Answer 1

Ce qui suit doit correspondre seulement POSTs:

port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354 

Cependant, une requête HTTP est susceptible d'être divisé en plusieurs paquets TCP, et donc vous ne pouvez pas obtenir la demande complète.