Réassemblage TCP

Le réassemblage TCP consiste à reconstruire, à partir des segments individuels d'une capture, le flux ordonné d'octets envoyé par chaque côté d'une connexion TCP. Les segments peuvent arriver dans le désordre, être retransmis ou manquer complètement : un réassembleur les ordonne par numéro de séquence, supprime les octets en double et note les trous là où des données n'ont jamais été capturées.

C'est le réassemblage qui rend possible l'analyse au niveau applicatif : une réponse HTTP ou un transfert de fichier s'étend généralement sur de nombreux paquets. Les octets manquants, dus à un petit snaplen ou à des paquets perdus, apparaissent comme des trous et laissent les fichiers extraits incomplets. PCAP Parser réassemble les flux TCP dans l'ordre des séquences et signale les octets manquants au lieu de les cacher ; sa visite guidée montre où.