web-dev-qa-db-fra.com

Comment analyser les paquets dans une bibliothèque python?

Comment analyser un paquet à partir d'un fichier .pcap ou d'une interface en utilisant python?

Je recherche spécifiquement une solution qui utilise une bibliothèque bien documentée.

pythontcppcap
30
PSS

Essayez scapy . C'est un programme très puissant pour l'inspection, la manipulation et la création de paquets.

Vous pouvez l'utiliser pour créer vos propres outils .

20
Andrea Spadaccini

J'ai essayé cela, puis j'ai essayé pcapy. J'ai choisi pcapy car mon utilisation était similaire à un exemple que j'ai trouvé sur Google.

http://snipplr.com/view/3579/live-packet-capture-in-python-with-pcapy/ (ou voir le même code copié ci-dessous)

import pcapy
from impacket.ImpactDecoder import *

# list all the network devices
pcapy.findalldevs()

max_bytes = 1024
promiscuous = False
read_timeout = 100 # in milliseconds
pc = pcapy.open_live("name of network device to capture from", max_bytes, 
    promiscuous, read_timeout)

pc.setfilter('tcp')

# callback for received packets
def recv_pkts(hdr, data):
    packet = EthDecoder().decode(data)
    print packet

packet_limit = -1 # infinite
pc.loop(packet_limit, recv_pkts) # capture packets
14
theist

Je vous recommande d'utiliser Pyshark. c'est le wrapper pour tshark. il prend également en charge tous les filtres tshark, lib décodeur, ... et facile à utiliser! Ceci est un excellent package pour analyser le fichier .pcap et également capturer en direct

https://pypi.python.org/pypi/pyshark

exemple de code (à partir du lien):

import pyshark
cap = pyshark.FileCapture('/root/log.cap')
cap
>>> <FileCapture /root/log.cap>
print cap[0]
Packet (Length: 698)
Layer ETH:
        Destination: BLANKED
        Source: BLANKED
        Type: IP (0x0800)
Layer IP:
        Version: 4
        Header Length: 20 bytes
        Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00: Not-ECT (Not ECN-Capable Transport))
        Total Length: 684s
        Identification: 0x254f (9551)
        Flags: 0x00
        Fragment offset: 0
        Time to live: 1
        Protocol: UDP (17)
        Header checksum: 0xe148 [correct]
        Source: BLANKED
        Destination: BLANKED
  ...
dir(cap[0])
['__class__', '__contains__', '__delattr__', '__dict__', '__dir__', '__doc__', '__format__', '__getattr__', '__getattribute__', '__getitem__', '__getstate__', '__hash__', '__init__', '__module__', '__new__', '__reduce__', '__reduce_ex__', '__repr__', '__setattr__', '__setstate__', '__sizeof__', '__str__', '__subclasshook__', '__weakref__', '_packet_string', 'bssgp', 'captured_length', 'eth', 'frame_info', 'gprs-ns', 'highest_layer', 'interface_captured', 'ip', 'layers', 'length', 'number', 'pretty_print', 'sniff_time', 'sniff_timestamp', 'transport_layer', 'udp']
cap[0].layers
[<ETH Layer>, <IP Layer>, <UDP Layer>, <GPRS-NS Layer>, <BSSGP Layer>]
....
5
Giac

pycapfile peut également être utilisé. Lien vers pip: https://pypi.python.org/pypi/pypcapfile

3
Pawel