PacketQ 技术文档

2024-12-24 01:51:25作者：温玫谨Lighthearted

1. 安装指南

1.1 依赖安装

在安装 PacketQ 之前，需要确保系统中已经安装了必要的依赖库。以下是不同操作系统的依赖安装方法：

1.1.1 Debian/Ubuntu

在 Debian 或 Ubuntu 系统上，可以使用以下命令安装依赖：

apt-get install -y zlib1g-dev libmaxminddb-dev

1.1.2 CentOS

在 CentOS 系统上，可以使用以下命令安装依赖（需要启用 EPEL/PowerTools 仓库）：

yum install -y zlib-devel libmaxminddb-devel

1.2 从 GitHub 构建

如果你从 GitHub 获取源代码，可以按照以下步骤进行构建和安装：

git clone https://github.com/DNS-OARC/PacketQ.git
cd PacketQ
./autogen.sh
./configure [options]
make
make install

1.3 从源码压缩包构建

如果你从 DNS-OARC 获取源码压缩包，可以按照以下步骤进行构建和安装：

tar zxvf packetq-version.tar.gz
cd packetq-version
./configure [options]
make
make install

2. 项目使用说明

2.1 基本用法

PacketQ 是一个命令行工具，可以直接对 PCAP 文件运行 SQL 查询。查询结果可以输出为 JSON（默认）、格式化/紧凑的 CSV 和 XML 格式。

2.1.1 示例：查询 DNS 信息

以下命令从 sample.pcap 文件中检索前 10 个包含 DNS 信息的包：

packetq -s "select * from dns limit 10" sample.pcap

2.1.2 示例：启动 Web 服务器

以下命令启动一个 Web 服务器，监听端口 8080，并作为守护进程运行，服务文件从 html/ 目录提供，PCAP 文件从 pcap/ 目录提供：

packetq -d -p8080 -w html/ -r pcap/

2.2 功能特性

快速解码：支持对 PCAP 文件（包括压缩文件）进行超快的本地解码和内存排序。
协议解码：内置支持 ICMP 和 DNS 协议，设计可扩展。
SQL 功能：支持分组、排序、计数等大多数重要的 SQL 功能。
依赖少：仅依赖 zlib，无需其他难以找到的库。
Web 服务器：内置 Web 服务器、JSON API 和基于 JQuery 的 GUI 应用程序。
缓存查询：支持通过预处理 PCAP 文件为静态 JSON 文件来缓存查询。
DNS 解析器：内置 DNS 解析器功能（用于 GUI）。
采样支持：支持对大型、均匀的 PCAP 文件进行采样查询。
标志转换：支持将数据包头中的标志实时转换为文本。
多查询支持：支持对内存中的相同数据进行多次查询。

3. 项目 API 使用文档

PacketQ 提供了 JSON API，可以通过内置的 Web 服务器进行访问。以下是一些常见的 API 使用场景：

3.1 查询 PCAP 文件

通过 API 查询 PCAP 文件中的数据，可以使用以下格式：

curl "http://localhost:8080/query?sql=select * from dns limit 10"

3.2 获取 JSON 结果

API 默认返回 JSON 格式的结果，可以直接用于进一步的处理或展示。

3.3 其他格式支持

除了 JSON，API 还支持输出为 CSV 和 XML 格式。可以通过指定 format 参数来选择输出格式：

curl "http://localhost:8080/query?sql=select * from dns limit 10&format=csv"

4. 项目安装方式

4.1 从 GitHub 安装

通过 GitHub 安装 PacketQ 的步骤如下：

克隆仓库：

git clone https://github.com/DNS-OARC/PacketQ.git

进入项目目录：
```
cd PacketQ
```
运行自动配置脚本：
```
./autogen.sh
```
配置项目：
```
./configure [options]
```
编译并安装：
```
make
make install
```

4.2 从源码压缩包安装

通过源码压缩包安装 PacketQ 的步骤如下：

解压源码包：
```
tar zxvf packetq-version.tar.gz
```
进入解压后的目录：
```
cd packetq-version
```
配置项目：
```
./configure [options]
```
编译并安装：
```
make
make install
```

通过以上步骤，你可以成功安装并使用 PacketQ 工具进行 PCAP 文件的查询和分析。

登录后查看全文