Как лучше всего определить, что полученные пакеты пришли по SMTP?

Question

[robotzet]

Добрый день!

Пишу сниффер пакетов. Идея такая: сниффер перехватывает любые пакеты c помощью Pcap. Дальше нужно определить, какой именно протокол использовалься. Например, SMTP.

Есть ли какой-то альтернативный способ опознания протокола, кроме проверки, на какой порт пришли пакеты?

Answer 1

[Ilya Evseev]

Смотрите в сторону en.wikipedia.org/wiki/Deep_packet_inspection#Software

Но как справедливо замечено выше, в зашифрованных соединениях DPI ничего не увидит (возможности контор уровня АНБ сейчас в расчет не берем), т.е. для анализа останутся только метаданные - номер протокола и номер порта.

Answer 2

[Армянское Радио]

Проверять по сигнатурам, то есть по содержимому пакетов.
Но кто в здравом уме будет в 2014 году использовать SMTP без TLS?
И да, вы что-нибудь слышали о WireShark?

Comments

[robotzet]

По сигнатурам - имеете в виду парсить сообщения (регулярками, например)? Пробовал так сделать - получается очень медленная обработка пакетов.

Про WireShark слышал, но нужно свое написать, с собственными фильтрами, блекджеком и...