Python網路抓包庫 pypcap , 解包 dpkt )

http://www.oschina.net/p/pypcap

 

Ethereal 內建許多協議的 decoder,簡單,易用,基於winpcap的一個開源的軟體.但是它的架構並不靈活,如何你要加入一個自己定義的的解碼器,得去修改 Ethereal的代碼,再重新編譯,很煩瑣.對於一般的明文 協議,沒有什麼問題,但是對於加密協議,比如網路遊戲,用戶端程式一般會在剛串連上的時候,發送一個隨機密鑰,而後的報文都會用這個密鑰進行加密,如此. 要想破解,得要有一個可程式化的抓包器.

libpcap是一個不錯的選擇,但是對於抓包這樣需要反覆進行”試 驗->修改”這個過程的操作,c 語言顯然不是明智的選擇.

Python提供了幾個libpcapbind,http://monkey.org/~dugsong/pypcap/這裡有 一個最簡單的。在windows平台上,你需要先安裝winpcap,如果你已經安裝了Ethereal非常好用

一個規範的抓包過程

import pcap
import dpkt
pc=pcap.pcap()    #注，參數可為網卡名，如eth0
pc.setfilter('tcp port 80')    #設定監聽過濾器
for ptime,pdata in pc:    #ptime為收到時間，pdata為收到資料
    print ptime,pdata    #...

對抓到的乙太網路V2資料包(raw packet)進行解包

p=dpkt.ethernet.Ethernet(pdata)
if p.data.__class__.__name__=='IP':
    ip='%d.%d.%d.%d'%tuple(map(ord,list(p.data.dst)))
    if p.data.data.__class__.__name__=='TCP':
        if data.dport==80:
            print p.data.data.data # by gashero

一些顯示參數

nrecv,ndrop,nifdrop=pc.stats()
返回的元組中，第一個參數為接收到的資料包，(by gashero)第二個參數為被核心丟棄的資料包。