用 scapy 读取 PCAP 文件

Question

我有大约 10GB 的 pcap 数据和 IPv6 流量来分析存储在 IPv6 标头和其他扩展标头中的信息。为此，我决定使用 Scapy 框架。我试过 rdpcap 功能，但对于这么大的文件，不推荐。它试图将所有文件加载到内存中并卡在我的情况下。 我在网上发现，在这种情况下 sniff 是推荐的，我的代码如下：

def main():
   sniff(offline='traffic.pcap', prn=my_method,store=0)


def my_method(packet):
   packet.show()

在名为 my_method 的函数中，我分别接收每个数据包并且可以解析它们，但是.... 当我使用内置框架方法调用 show 函数时，我得到了这样的结果：

当在 Wireshark 中打开时，我得到了正确的数据包：

你能告诉我如何在 scapy 中解析这些数据包以获得正确的结果吗？

编辑： 根据 cmets 中的讨论，我找到了一种用 Python 解析 PCAP 文件的方法。在我看来，最简单的方法是使用 pyshark 框架：

import pyshark
pcap = pyshark.FileCapture(pcap_path) ### for reading PCAP file

使用 for 循环可以轻松迭代读取文件

for pkt in pcap:
    #do what you want

对于解析 IPv6 标头，以下方法可能有用：

pkt['ipv6'].tclass            #Traffic class field
pkt['ipv6'].tclass_dscp       #Traffic class DSCP field
pkt['ipv6'].tclass_ecn        #Traffic class ECN field
pkt['ipv6'].flow              #Flow label field
pkt['ipv6'].plen              #Payload length field
pkt['ipv6'].nxt               #Next header field
pkt['ipv6'].hlim              #Hop limit field

Answer 1

更新

最新的scapy 版本现在支持 ipv6 解析。 因此，用scapy 解析 ipv6 ".pcap" 文件 现在可以这样做：

from scapy.all import *

scapy_cap = rdpcap('file.pcap')
for packet in scapy_cap:
    print packet[IPv6].src

现在，正如我在最初提出这个问题时所评论的那样，对于较早的 scapy 版本（不支持 ipv6 解析）：

• 可以使用 pyshark 代替（pyshark 是 tshark 包装器），如下所示：

---

import pyshark

shark_cap = pyshark.FileCapture('file.pcap')
for packet in shark_cap:
    print packet.ipv6.src

• 当然还有tshark（wireshark 的终端版本）：

---

$ tshark -r file.pcap -q -Tfields -e ipv6.src

Answer 2

如果你想继续使用 scapy 并反复阅读文件，我建议你试试PcapReader()

它会与您尝试对 pyshark 做的相同，但在 Scapy 中

from scapy.all import *

for packet in PcapReader('file.pcap')
    try:
        print(packet[IPv6].src)
    except:
        pass

如果您有任何没有 IPv6 地址的数据包，我建议您将其包装起来，以防万一。