数据包分离处理

tianlong11

有时候抓的包是不太方便看的，比如：


000 : 47 45 54 20 2F 69 6D 67 2F 75 62 62 2F 66 6F 6E   GET /img/ubb/fon
010 : 74 2D 66 61 6D 2E 67 69 66 20 48 54 54 50 2F 31   t-fam.gif HTTP/1
020 : 2E 31 0D 0A 41 63 63 65 70 74 3A 20 2A 2F 2A 0D   .1..Accept: */*.
030 : 0A 52 65 66 65 72 65 72 3A 20 68 74 74 70 3A 2F   .Referer: http:/
...........
100 : 6C 25 32 30 57 65 73 74 65 72 6E 25 32 30 42 54   l%20Western%20BT
110 : 25 32 30 2D 25 32 30 25 45 36 25 38 30 25 41 37   %20-%20%E6%80%A7
120 : 25 45 35 25 39 30 25 41 37 25 32 30 25 37 43 25   %E5%90%A7%20%7C%
130 : 32 30 25 45 36 25 39 38 25 41 35 25 45 36 25 39   20%E6%98%A5%E6%9
140 : 41 25 39 36 25 45 38 25 38 41 25 42 31 25 45 35   A%96%E8%8A%B1%E5
150 : 25 42 43 25 38 30 25 32 30 25 45 36 25 38 30 25   %BC%80%20%E6%80%

而且如上数据，有可能还是urlencode 的，那么可用批处理处理，然后用 urldecode 命令行工具进行输出：

@echo off
rem code by woyigui
setlocal enabledelayedexpansion
for /f "tokens=19" %%i in (log.txt) do (
  set a=!a!%%i  
)
set /p b=!a:  =!>>temp.txt<nul
for /f "tokens=*" %%i in ( temp.txt ) do urldecode.exe "%%i" >>results.txt
del /q temp.txt

其中 urldecode.exe 为解码操作的工具，解完之后，就是如此这般了，看的时候就一目了然：

GETt-fam.gif.1..Accept:.Referer:/xxx.xxx.com/index.php?c=tool&a=article&title=[d7db][rmvb/475M]Private

不过此种方式只支持 http 数据包。