staging.inyokaproject.org

Hallo,

ich habe zwei *.pcap-Dateien (vielleicht auch später mehrere), welche ich abgleichen möchte bzw. dahingehend überprüfen möchte, ob in den beiden Dateien die gleiche MAC-Adresse vorkommt.

Meine Überlegung ist folgende:

Nach MAC-Adresse in der 1. Liste suchen, dann die 2. Datei danach durchsuchen; Ergebnis mit Zeit in Ergebnisliste schreiben. Dann die nächste gefundene MAC-Adresse der 1. Liste nehmen und dann wieder die gesamte 2. Datei durchsuchen... usw.

Das Problem dabei wäre, dass doppelte MAC-Adressen auch doppelte Zeit benötigen...

Programmiertechnisch hätte ich einige Ideen, aber ich würde gerne wissen, ob die Herangehensweise passt...

Vielen Dank,

Christoph

@spelli: Die Herangehensweise klingt ineffizient. Eine effiziente Lösung würde beide Dateien nur einmal lesen und mit einer Datenstruktur arbeiten die eine Abbildung von einem Schlüssel auf einen oder mehrere Werte bereit stellt und effiziente Abfragen von Schlüssel nach Wert erlaubt. Also beispielsweise assoziative Arrays in der Bash oder in AWK.

Hallo,

ja das habe ich mir auch schon gedacht...

Das was du beschreibst hört sich für mich fremd an.. 😢

Da muss ich mich mal schlau machen.

Danke!

Wenn ich Deine ursprüngliche Formulierung ernst nehme, dann willst Du nur wissen, welche MAC-Adressen in beiden Dateien vorkommen. Ein etwas anderer Ansatz wäre, erst einmal alle MAC-Adressen aus jeder Datei zu extrahieren und die Ergebnismenge dann zu vergleichen.

1
2
3
4

extract_mac datei1 | sort -u >macs1
extract_mac datei2 | sort -u >macs2

diff -U3 macs1 macs2

extract_mac wäre dann ein Kommando,eine Shellfunktion oder ein Shellskript, das nur die MACs extrahiert, z.B.

1

tcpdump -ter x.pcap | egrep -o '[[:xdigit:]]{2}(:[[:xdigit:]]{2}){5}'

Hallo!

Danke für die Ansätze!!

Das mit der MAC-Liste ist schon gut. Leider verliere ich dabei die Zeit der MAC-Adresse.. Hm..

Assoziative Arrays sind interessant.. aber das schnalle ich nicht ganz..

spelli schrieb:

Das mit der MAC-Liste ist schon gut. Leider verliere ich dabei die Zeit der MAC-Adresse.. Hm..

Was willst Du denn noch korrelieren? Oder anders gefragt: was ist denn das Ziel der ganzen Aktion?

Assoziative Arrays sind interessant.. aber das schnalle ich nicht ganz..

Ist einfach ein Key-Value-Store mit beliebigen Schlüsseln.

Erst einmal vielen Dank für die Hilfe!

Zum einen möchte ich schauen ob eine MAC in zwei Dateien vorkommt. Den Zeitstempel bekomme ich noch raus.

Ich habe möchte einfach das Vorhandensein der gleichen Mac feststellen.

Die Key-Variante kannte ich nicht. Steigt schon ziemlich tief ein - mit vielen Möglichkeiten..