PacketQ 技术文档

1. 安装指南

1.1 依赖安装

在安装 PacketQ 之前，需要确保系统中已经安装了必要的依赖库。以下是不同操作系统的依赖安装方法：

1.1.1 Debian/Ubuntu

在 Debian 或 Ubuntu 系统上，可以使用以下命令安装依赖：

apt-get install -y zlib1g-dev libmaxminddb-dev

1.1.2 CentOS

在 CentOS 系统上，可以使用以下命令安装依赖（需要启用 EPEL/PowerTools 仓库）：

yum install -y zlib-devel libmaxminddb-devel

1.2 从 GitHub 构建

如果你从 GitHub 获取源代码，可以按照以下步骤进行构建和安装：

git clone https://github.com/DNS-OARC/PacketQ.git
cd PacketQ
./autogen.sh
./configure [options]
make
make install

1.3 从源码压缩包构建

如果你从 DNS-OARC 获取源码压缩包，可以按照以下步骤进行构建和安装：

tar zxvf packetq-version.tar.gz
cd packetq-version
./configure [options]
make
make install

2. 项目使用说明

2.1 基本用法

PacketQ 是一个命令行工具，可以直接对 PCAP 文件运行 SQL 查询。查询结果可以输出为 JSON（默认）、格式化/紧凑的 CSV 和 XML 格式。

2.1.1 示例：查询 DNS 信息

以下命令从 sample.pcap 文件中检索前 10 个包含 DNS 信息的包：

packetq -s "select * from dns limit 10" sample.pcap

2.1.2 示例：启动 Web 服务器

以下命令启动一个 Web 服务器，监听端口 8080，并作为守护进程运行，服务文件从 html/ 目录提供，PCAP 文件从 pcap/ 目录提供：

packetq -d -p8080 -w html/ -r pcap/

2.2 功能特性

• 快速解码：支持对 PCAP 文件（包括压缩文件）进行超快的本地解码和内存排序。
• 协议解码：内置支持 ICMP 和 DNS 协议，设计可扩展。
• SQL 功能：支持分组、排序、计数等大多数重要的 SQL 功能。
• 依赖少：仅依赖 zlib，无需其他难以找到的库。
• Web 服务器：内置 Web 服务器、JSON API 和基于 JQuery 的 GUI 应用程序。
• 缓存查询：支持通过预处理 PCAP 文件为静态 JSON 文件来缓存查询。
• DNS 解析器：内置 DNS 解析器功能（用于 GUI）。
• 采样支持：支持对大型、均匀的 PCAP 文件进行采样查询。
• 标志转换：支持将数据包头中的标志实时转换为文本。
• 多查询支持：支持对内存中的相同数据进行多次查询。

3. 项目 API 使用文档

PacketQ 提供了 JSON API，可以通过内置的 Web 服务器进行访问。以下是一些常见的 API 使用场景：

3.1 查询 PCAP 文件

通过 API 查询 PCAP 文件中的数据，可以使用以下格式：

curl "http://localhost:8080/query?sql=select * from dns limit 10"

3.2 获取 JSON 结果

API 默认返回 JSON 格式的结果，可以直接用于进一步的处理或展示。

3.3 其他格式支持

除了 JSON，API 还支持输出为 CSV 和 XML 格式。可以通过指定 format 参数来选择输出格式：

curl "http://localhost:8080/query?sql=select * from dns limit 10&format=csv"

4. 项目安装方式

4.1 从 GitHub 安装

通过 GitHub 安装 PacketQ 的步骤如下：

1. 克隆仓库：

   git clone https://github.com/DNS-OARC/PacketQ.git
   

2. 进入项目目录：

   cd PacketQ
   

3. 运行自动配置脚本：

   ./autogen.sh
   

4. 配置项目：

   ./configure [options]
   

5. 编译并安装：

   make
   make install
   

4.2 从源码压缩包安装

通过源码压缩包安装 PacketQ 的步骤如下：

1. 解压源码包：

   tar zxvf packetq-version.tar.gz
   

2. 进入解压后的目录：

   cd packetq-version
   

3. 配置项目：

   ./configure [options]
   

4. 编译并安装：

   make
   make install
   

通过以上步骤，你可以成功安装并使用 PacketQ 工具进行 PCAP 文件的查询和分析。