在 pcap 中搜索比正常速度更快

Question

packets = rdpcap("/home/pcap_evidence/"+date+"/"+list_time[0]+"")
for data in packets:
   if IP in data:
      if data[IP].src == ip and data[IP].dst == ip:
        list_.append(data)

在这段代码中，我正在使用 rdpcap 读取 pcap，然后使用 for 循环对其进行迭代，通过这种方式，我得到了数据包的逐行数据，并且在 evry pcaket 上，我正在搜索特定的 ip，如果 ip 与任何 src_ip 或dst_ip 然后存储该 pcaket 并制作一个新的过滤 pcap。

所有这一切都需要 5 分钟来搜索 600 mb 的文件，而我想比这更快。我该怎么做。

Answer 1

scapy 以速度慢着称。对于大文件，我会避免使用 scapy。

最好的方法是使用 tshark 例子：

tshark -r my_capture.pcap -Y "(ip.src == 192.168.1.10) && (ip.dst == 172.27.224.70)" -w /tmp/my_filtered_capture.pcap

如果你需要python中的结果，你可以调用它然后解析结果。