python抓包之后如何解析包

解析Python抓包后的数据包

Python抓包后解析数据包的步骤主要包括：选择合适的抓包工具、抓取网络数据包、解析数据包、提取有用信息。其中，抓包工具常用的有Scapy、pyshark等。接下来，我们将详细讨论这些步骤，并通过具体代码示例展示如何使用Python进行抓包和解析。

一、选择合适的抓包工具

抓包工具是解析网络数据包的核心。在Python中，有几种流行的抓包工具：

Scapy：一个功能强大的网络数据包操作工具，可以用来发送、嗅探和解析网络数据包。
Pyshark：基于Wireshark的Python库，能够轻松读取和解析PCAP文件。

二、抓取网络数据包

1. 使用Scapy抓包

Scapy是一个非常灵活的网络数据包处理库，可以用于抓包。以下是一个基本的示例：

from scapy.all import sniff
定义一个回调函数来处理抓到的包
def packet_callback(packet):
    print(packet.show())
使用scapy抓包
sniff(prn=packet_callback, count=10)

在这个示例中，我们使用sniff函数抓取网络数据包，并使用packet_callback函数处理每个抓到的包。count=10表示抓取10个数据包。

2. 使用Pyshark抓包

Pyshark可以直接读取Wireshark生成的PCAP文件，也可以实时抓包。以下是一个基本的示例：

import pyshark
抓取实时网络数据包
capture = pyshark.LiveCapture(interface='eth0')
处理抓到的包
for packet in capture.sniff_continuously(packet_count=10):
    print(packet)

在这个示例中，我们使用LiveCapture类来抓取实时网络数据包，并使用sniff_continuously方法处理每个抓到的包。

三、解析数据包

抓到数据包后，我们需要解析这些包以提取有用的信息。以下是如何使用Scapy和Pyshark解析数据包的示例。

1. 使用Scapy解析数据包

Scapy抓到的数据包是一个Packet对象，我们可以使用其方法来解析数据包的内容：

from scapy.all import *
抓取一个数据包
packet = sniff(count=1)[0]
显示数据包的详细信息
packet.show()
提取IP层的信息
if IP in packet:
    ip_layer = packet[IP]
    print(f'Source IP: {ip_layer.src}')
    print(f'Destination IP: {ip_layer.dst}')

在这个示例中，我们使用sniff函数抓取一个数据包，并使用show方法显示其详细信息。然后，我们检查数据包是否包含IP层，并提取源IP地址和目的IP地址。

2. 使用Pyshark解析数据包

Pyshark抓到的数据包是一个Packet对象，我们可以使用其属性来解析数据包的内容：

import pyshark
抓取实时网络数据包
capture = pyshark.LiveCapture(interface='eth0')
处理抓到的包
for packet in capture.sniff_continuously(packet_count=10):
    # 提取IP层的信息
    if 'IP' in packet:
        ip_layer = packet.ip
        print(f'Source IP: {ip_layer.src}')
        print(f'Destination IP: {ip_layer.dst}')

在这个示例中，我们使用LiveCapture类来抓取实时网络数据包，并使用sniff_continuously方法处理每个抓到的包。然后，我们检查数据包是否包含IP层，并提取源IP地址和目的IP地址。

四、提取有用信息

在实际应用中，我们通常需要从抓到的数据包中提取特定的信息。以下是一些常见的示例。

1. 提取TCP层的信息

TCP层包含了源端口、目的端口和其他TCP相关的信息。以下是如何提取这些信息的示例：

from scapy.all import *
抓取一个数据包
packet = sniff(count=1)[0]
提取TCP层的信息
if TCP in packet:
    tcp_layer = packet[TCP]
    print(f'Source Port: {tcp_layer.sport}')
    print(f'Destination Port: {tcp_layer.dport}')

在这个示例中，我们检查数据包是否包含TCP层，并提取源端口和目的端口。

2. 提取HTTP层的信息

HTTP层包含了HTTP请求和响应的详细信息。以下是如何提取这些信息的示例：

import pyshark
抓取实时网络数据包
capture = pyshark.LiveCapture(interface='eth0')
处理抓到的包
for packet in capture.sniff_continuously(packet_count=10):
    # 提取HTTP层的信息
    if 'HTTP' in packet:
        http_layer = packet.http
        print(f'HTTP Request Method: {http_layer.request_method}')
        print(f'HTTP Host: {http_layer.host}')
        print(f'HTTP URI: {http_layer.request_uri}')

在这个示例中，我们检查数据包是否包含HTTP层，并提取HTTP请求方法、主机和请求URI。

五、保存和分析抓到的数据包

有时候，我们需要将抓到的数据包保存到文件中，以便后续分析。以下是如何使用Scapy和Pyshark保存数据包的示例。

1. 使用Scapy保存数据包

Scapy提供了wrpcap函数，可以将抓到的数据包保存到PCAP文件中：

from scapy.all import *
抓取数据包
packets = sniff(count=10)
保存数据包到PCAP文件
wrpcap('packets.pcap', packets)

在这个示例中，我们使用sniff函数抓取10个数据包，并使用wrpcap函数将数据包保存到packets.pcap文件中。

2. 使用Pyshark保存数据包

Pyshark本身不提供保存数据包的功能，但我们可以使用Wireshark或其他工具将数据包保存到文件中，然后使用Pyshark读取和分析这些文件：

import pyshark
读取PCAP文件
capture = pyshark.FileCapture('packets.pcap')
处理读取到的包
for packet in capture:
    print(packet)

在这个示例中，我们使用FileCapture类读取packets.pcap文件中的数据包，并处理这些数据包。

六、分析数据包的统计信息

在抓包和解析数据包之后，我们通常需要对数据包进行一些统计分析，例如计算不同类型数据包的数量、统计不同IP地址的流量等。以下是一些示例：

1. 计算不同类型数据包的数量

我们可以使用Python的字典来统计不同类型数据包的数量：

from scapy.all import *
抓取数据包
packets = sniff(count=100)
统计不同类型数据包的数量
packet_counts = {}
for packet in packets:
    packet_type = packet.__class__.__name__
    if packet_type not in packet_counts:
        packet_counts[packet_type] = 0
    packet_counts[packet_type] += 1
print(packet_counts)

在这个示例中，我们使用sniff函数抓取100个数据包，并使用字典统计每种类型数据包的数量。

2. 统计不同IP地址的流量

我们可以统计每个IP地址发送和接收的数据包数量：

from scapy.all import *
抓取数据包
packets = sniff(count=100)
统计每个IP地址发送和接收的数据包数量
ip_counts = {}
for packet in packets:
    if IP in packet:
        src_ip = packet[IP].src
        dst_ip = packet[IP].dst
        if src_ip not in ip_counts:
            ip_counts[src_ip] = {'sent': 0, 'received': 0}
        if dst_ip not in ip_counts:
            ip_counts[dst_ip] = {'sent': 0, 'received': 0}
        ip_counts[src_ip]['sent'] += 1
        ip_counts[dst_ip]['received'] += 1
print(ip_counts)