在 Python 2.6 中解析 PCAP

Question

我试图简单地解析数据包捕获中的数据。我举了一些例子只是为了看看是否可以编译，但最终出现了错误。下面是代码。

import dpkt
import sys

f = open('test.pcap')
pcap = dpkt.pcap.Reader(f)

for ts, buf in pcap:
    eth = dpkt.ethernet.Ethernet(buf)
    ip = eth.data
    tcp = ip.data


f.close()

我得到的错误如下：File "inspection.py", line 15, in tcp = ip.data

AttributeError: 'str' object has no attribute 'data'

任何帮助将不胜感激。

Answer 1

对 dpkt.ethernet.Ethernet(buf) 的调用返回了一个字符串，因为以太网类无法解压 buf。造成这种情况的可能原因是您的 pcap 文件没有以太网作为其第 2 层协议。您可以将 pcap 加载到 Wireshark 中来确认这一点。

以下脚本尝试检查 pcap 文件的数据链路字段并使用适当的第 2 层 dpkt 类来解码帧：

import dpkt
import sys

f = open('test.pcap')
pcap = dpkt.pcap.Reader(f)

for ts, buf in pcap:
    if pcap.datalink() == dpkt.pcap.DLT_LINUX_SLL:
        l2 = dpkt.sll.SLL(raw_pkt)
    else:
        l2 = dpkt.ethernet.Ethernet(buf)
    ip = l2.data
    tcp = ip.data

Answer 2

我为解决该问题所做的事情是：

        if ip.p == 6:
           tcp = dpkt.tcp.TCP(ip.data)