从数据包 ISO/OSI 层过滤 PCAP 文件答案

【问题标题】：Filter a PCAP file from packet ISO/OSI layer从数据包 ISO/OSI 层过滤 PCAP 文件
【发布时间】：2012-12-08 23:05:36
【问题描述】：

我需要将 PCAP 文件拆分为两个不同的文件：第一个应包含所有（且仅）指向 ISO/OSI 模型的应用层的数据包，而第二个应包含所有其他文件。

我正在使用 Scapy 来应用过滤器：

pkts = PcapReader(infile)
applayerpkts = (pkt for pkt in pkts if pkt.haslayer(Raw))
lowlayerspkts = (pkt for pkt in pkts if not pkt.haslayer(Raw))
wrpcap(applayerfilename, applayerpkts)
wrpcap(lowlayersfilename, lowlayerspkts)

使用pkt.haslayer(Raw) 方法，因为该层应仅包含在定向到应用层的数据包中。

有什么问题？我注意到applayerfilename + lowlayersfilename 的总和（文件大小）与infile 的文件大小不同（较低）。

报告的方法在计算上也很昂贵（我有一个大约 1.5GB 的 PCAP 列表），因为 infile 被解析了两次。

我更喜欢应用不同的过滤器，对输入 PCAP 进行一次解析。我可以使用PcapReader 类并手动解析PCAP，但我不知道如何生成PCAP 以传递给wrpcap(...) 方法。

编辑：我也试过这个解决方案：

pkts = PcapReader(infile)
app_pkts = []
low_pkts = []
for p in pkts:
    if p.haslayer(Raw):
        app_pkts.append(p)
    else:
        low_pkts.append(p)
wrpcap(applayerfilename, app_pkts)
wrpcap(lowlayersfilename, low_pkts)

但它不起作用，因为我的输入 PCAP 的大小会消耗太多内存...

是否存在类似append_to_pcap(filename, packet) 的函数（wrpcap(...) 函数不能用作附加函数）？

【问题讨论】：

标签： python pcap scapy application-layer

【解决方案1】：

我已经（至少显然）以这种方式解决了：

pkts = PcapReader(infile)

app_writer = PcapWriter(applayerfilename, append=True)
low_writer = PcapWriter(lowlayersfilename, append=True)
for p in pkts:
    if p.haslayer(Raw):
        app_writer.write(p)
    else:
        low_writer.write(p)
app_writer.close()
low_writer.close()

【讨论】：