如何使用Scapy替换PCAP文件中的IP地址

Question

我想用 scapy 。

PCAP文件（例如eth0.pcap）包含Wireshark的捕获。 我的消息不是代码，它显示了2个IP地址之间的数据流。我想用另外2个地址替换原始2个地址。

之前给出的示例

：

message1: 192.168.10.10-->192.168.20.20

message2: 192.168.20.20-->192.168.10.10

我想替换文件中的所有软件包：

• 192.168.10.10（第一个软件包的源），带有8.8.8.8.8
• 和192.168.20.20.20 < /code>（第一个软件包的目的地）带有1.1.1.1

，以后有：

message1: 172.10.10.10-->172.10.20.20

message2: 172.10.20.20-->172.10.10.10

我该如何处理？

Answer 1

hc_dev的答案引导我实现了解决方案。
我试图理解它并使其在我的问题中起作用。

以下是我的代码：

from scapy.all import *
from scapy.utils import PcapWriter

packets = rdpcap('ftp.pcap')
new_cap = PcapWriter("ftp_new.pcap")
srcIp=packets[0][IP].src
dstIP=packets[0][IP].dst

#define new ip address I want use
ip1='8.8.8.8'
ip2='1.1.1.1'

#replace orinigal address
for p in packets:
    if(p[IP].src == srcIp):
        p[IP].src = ip1
    elif(p[IP].src == dstIP):
        p[IP].src = ip2
    if(p[IP].dst == srcIp):
        p[IP].dst = ip1
    elif(p[IP].dst == dstIP):
        p[IP].dst = ip2
    new_cap.write(p)

wrpcap("ftp_new.pcap", packets)

Answer 2

因此，您想修改数据包捕获输出，例如 pcap文件格式。
libpcap 库使用此格式将捕获的数据包记录为文件。

Scapy可以读写PCAP文件，请参阅 for pcap for pcap 。

读，写，打印，替换

以替换本文件中的IP地址，您必须使用rdpcap（）函数将其数据包读为对象模型。

然后，您可以打印每个数据包的IP地址（需要替换）。

或者，您也可以在内存中的对象模型中替换IP。
然后使用wrpcap（）函数写入完整的模型。

打印IP地址的示例

我使用了示例PCAP文件 dhcp.pcap 来自

from scapy.all import *

# load the PCAP file using rdpcap
packets = rdpcap('dhcp.pcap')

# Let's iterate through every packet
for packet in packets:
    source_ip = packet.getlayer(IP).src
    destination_ip = packet.getlayer(IP).dst
    print(f"{source_ip} --> {destination_ip}")

# TODO: replace in model and write to PCAP file using wrpcap

另请参见

• 使用Scapy读取PCAP文件）。
• 使用Scapy获取数据包源IP 包。

---

更新：

如何在您的情况下替换

精制 dractageldk的解决方案 有一些简化和调试的打印机：

• 无需单独的导入（<代码） >全部
• 无需写作），只需使用wrpcap编写读取模型，
• 请使用字符串的replace> replace> replace function plot dique（tuple） ）通过 undack-operator 传递给功能。 *作为前缀产生2个单独的参数（ key 被 value ）
• 使用iter在dict的项目上处理所有替代品（此处2个条目），其中可以通过下一个项目函数

from scapy.all import *

# rdpcap loads in our pcap file
packets = rdpcap('dhcp.pcap')

# define search
first_src_ip = packets[0][IP].src
first_dst_ip = packets[0][IP].dst

# define new ip address to use as replacement
ip_replacement = {f"{first_src_ip}" : '8.8.8.8', f"{first_dst_ip}" : '1.1.1.1'}
print(f"replacement: {ip_replacement}")

# Let's iterate through every packet
for i, packet in enumerate(packets):
    source_ip = packet.getlayer(IP).src
    destination_ip = packet.getlayer(IP).dst
    print(f"[{i:3}] original: {source_ip} --> {destination_ip}")

    # replace in model
    replacement = iter(ip_replacement.items())
    source_ip = source_ip.replace(*next(replacement))
    destination_ip = destination_ip.replace(*next(replacement))
    print(f"[{i:3}] replaced: {source_ip} --> {destination_ip}")


wrpcap("dhcp_replaced.pcap", packets)

打印下一个项目：

replacement: {'0.0.0.0': '8.8.8.8', '255.255.255.255': '1.1.1.1'}
[  0] original: 0.0.0.0 --> 255.255.255.255
[  0] replaced: 8.8.8.8 --> 1.1.1.1
[  1] original: 192.168.0.1 --> 192.168.0.10
[  1] replaced: 192.168.0.1 --> 192.168.0.10
[  2] original: 0.0.0.0 --> 255.255.255.255
[  2] replaced: 8.8.8.8 --> 1.1.1.1
[  3] original: 192.168.0.1 --> 192.168.0.10
[  3] replaced: 192.168.0.1 --> 192.168.0.10