2012-10-17 14 views
12

Sai ragazzi perché WireShark potrebbe rifiutarsi di decodificare il traffico http gzip su Windows?WireShark non decodifica il traffico http gzip su Windows

La mia configurazione

  • WireShark 1.8.3
  • Windows 7 Ultimate x64
  • WinPcap 4.1.2

Option "corpi di entità non compressi" è selezionata in Preferenze/Protocolli/HTTP .

Ecco come la mia finestra "Segui TCP Stream" si presenta come:

enter image description here

Quando ho aperto questa radio-button finestra in basso è impostato su "Raw", ma quando clicco su "ASCII " niente cambia.

Qualche idea?

risposta

22

Se si osserva l'albero dei protocolli sotto la voce "Dati di testo lineari", verranno visualizzati i dati non compressi. La finestra di dialogo "Segui flusso TCP" mostra solo il contenuto del carico utile TCP e non lo interpreta come dati HTTP o gzip o altro. I pulsanti della finestra di dialogo consentono di impostare il formato di visualizzazione per i byte del flusso.

È possibile fare clic destro su dati non compressi (vedere la rossa # sotto) e selezionare 'Export Selected Packet Bytes ...' per salvare in un file

enter image description here

+0

Grazie! Sfortunatamente non sono sicuro di capire a cosa ti riferisci. Non riesco a trovare "Dati testuali lineari" nell'interfaccia utente. Potresti per favore elaborare o/e forse aggiungere screenshot? – expert

+0

Nel riquadro dei dettagli del pacchetto che elenca tutti i protocolli in ordine, ci sarà un elemento in fondo sotto la voce per "HyperText Transfer Protocol" chiamato "Dati di testo basati su linee". Ci sarà anche un esagono completo e un dump ASCII dei dati nel "Corpo entità non compressa" nel riquadro dei byte esadecimali. C'è anche una richiesta di miglioramento di vecchia data su https://bugs.wireshark.org/bugzilla/show_bug.cgi?id=3528 per fare in modo che la finestra di dialogo Segui flusso TCP mostri i dati non compressi. –

+1

Questo è dannatamente sfortunato. Daremo un'occhiata al codice sorgente. Forse posso implementarlo. – expert

2

La risposta accettata è la risposta corretta in termini di Wireshark corrente - ma è piuttosto maldestro usare IMO.

Così ho scritto una piccola sceneggiatura wireshark-http-gunzip (richiede Ruby) per convertire l'intero output in un formato che ci si aspetterebbe. Spero che chiunque trovi qui trovi utile.

+0

La sceneggiatura funziona come un incantesimo! – Mine

Problemi correlati