Python 中的数据包嗅探 (Windows)

Question

使用 Python 嗅探网络数据包的最佳方法是什么？

我从几个地方听说，最好的模块是一个名为 Scapy 的模块，不幸的是，它使 python.exe 在我的系统上崩溃。 我认为这只是我安装方式的问题，除了许多其他人告诉我它在 Windows 上运行得不太好。 （如果有人感兴趣，我正在运行 Windows Vista，这可能会影响一些事情）。

有谁知道更好的解决方案？

UPD：

在阅读了告诉我安装 PyPcap 的答案后，我稍微搞了一下，发现我尝试使用的 Scapy 也告诉我安装 PyPcap，只不过它是一个针对其使用的修改版本。 显然，正是这个修改后的 PyPcap 导致了问题，因为答案中的示例也导致了挂起。

我安装了 PyPcap 的原始版本（来自 Google 的网站），并且 Scapy 开始正常工作（我没有尝试很多东西，但至少在我开始嗅探时它没有崩溃）。 我向 Scapy 开发人员发送了一张新的缺陷票： http://trac.secdev.org/scapy/ Ticket/166，希望他们能用它做点什么。

不管怎样，我只是想让你们知道。

Answer 1

困难的方法

您可以使用原始套接字嗅探所有 IP 数据包。
原始套接字是一种以二进制形式发送和接收数据的套接字。
python 中的二进制表示为一个字符串，如下所示 \x00\xff...每个 \x.. 都是一个字节。
要读取IP数据包，您需要根据IP协议分析接收到的二进制数据包。

这是 IP 协议格式的图像，其中包含每个标头的大小（以位为单位）。

本教程可能会帮助您了解理解原始数据包并将其拆分为标头的过程：http://www.binarytides.com/python-packet-sniffer-code-linux/

简单方法

另一种非常轻松地嗅探 IP 数据包的方法是使用 scapy 模块。

from scapy.all import *
sniff(filter="ip", prn=lambda x:x.sprintf("{IP:%IP.src% -> %IP.dst%\n}"))

此代码将为您打印每个 IP 数据包的源 IP 和目标 IP。
您可以通过阅读此处的文档来使用 scapy 做更多事情：http://www.scapy. secdev.org/projects/scapy/doc/usage.html

这取决于您想要实现的目标，但如果您需要构建一个项目，其功能是嗅探 IP 数据包，那么我建议使用 scapy更稳定的脚本。

Answer 2

使用 pypcap：

import dpkt, pcap
pc = pcap.pcap()     # construct pcap object
pc.setfilter('icmp') # filter out unwanted packets
for timestamp, packet in pc:
    print dpkt.ethernet.Ethernet(packet)

输出示例：

Ethernet(src='\x00\x03G\xb2M\xe4', dst='\x00\x03G\x06h\x18', data=IP(src='\n\x00\x01\x1c',
dst='\n\x00\x01\x10', sum=39799, len=60, p=1, ttl=128, id=35102, data=ICMP(sum=24667,
type=8, data=Echo(id=512, seq=60160, data='abcdefghijklmnopqrstuvwabcdefghi'))))

Ethernet(src='\x00\x03G\x06h\x18', dst='\x00\x03G\xb2M\xe4', data=IP(src='\n\x00\x01\x10',
dst='\n\x00\x01\x1c', sum=43697, len=60, p=1, ttl=255, id=64227, data=ICMP(sum=26715,
data=Echo(id=512, seq=60160, data='abcdefghijklmnopqrstuvwabcdefghi'))))

Answer 3

使用 python-libpcap。

import pcap

p = pcap.pcapObject()
dev = pcap.lookupdev()
p.open_live(dev, 1600, 0, 100)
#p.setnonblock(1)
try:
    for pktlen, data, timestamp in p:
        print "[%s] Got data: %s" % (time.strftime('%H:%M', 
                                                   time.localtime(timestamp)),
                                     data)
except KeyboardInterrupt:
    print '%s' % sys.exc_type
    print 'shutting down'
    print ('%d packets received, %d packets dropped'
           ' %d packets dropped by interface') % p.stats()

Answer 4

您可以使用原始套接字和您的接口 IP 地址（在管理模式下），

import socket
s = socket.socket(socket.AF_INET,socket.SOCK_RAW,socket.IPPROTO_IP)
s.bind(("YOUR_INTERFACE_IP",0))
s.setsockopt(socket.IPPROTO_IP,socket.IP_HDRINCL,1)
s.ioctl(socket.SIO_RCVALL,socket.RCVALL_ON)
while True:
   data = s.recvfrom(10000)
   print data

Answer 5

如果是scapy，请尝试以下方法。 （适用于 Windows 10）

# -*- coding: utf-8 -*-

# pip install scapy

"""
[{'name': 'Intel(R) 82574L Gigabit Network Connection',
  'win_index': '4',
  'description': 'Ethernet0',
  'guid': '{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}',
  'mac': '00:0C:29:5C:EE:6D',
  'netid': 'Ethernet0'}]
"""

from pprint import pprint
from scapy.arch.windows import get_windows_if_list
from scapy.all import *


# disable verbose mode
conf.verb = 0


def parse_packet(packet):
    """sniff callback function.
    """
    if packet and packet.haslayer('UDP'):
        udp = packet.getlayer('UDP')
        udp.show()


def udp_sniffer():
    """start a sniffer.
    """
    interfaces = get_windows_if_list()
    pprint(interfaces)

    print('\n[*] start udp sniffer')
    sniff(
        filter="udp port 53",
        iface=r'Intel(R) 82574L Gigabit Network Connection', prn=parse_packet
    )


if __name__ == '__main__':
    udp_sniffer()

Answer 6

另一种选择是 pypcap。

要解析结果，Construct 非常流畅。