pypcapPython網(wǎng)絡(luò)抓包庫

Ethereal 自帶許多協(xié)議的 decoder,簡單,易用,基于winpcap的一個開源的軟件.但是它的架構(gòu)并不靈活,如何你要加入一個自己定義的的解碼器,得去修改 Ethereal的代碼,再重新編譯,很煩瑣.對于一般的明文 協(xié)議,沒有什么問題,但是對于加密協(xié)議,比如網(wǎng)絡(luò)游戲,客戶端程序一般會在剛連接上的時候,發(fā)送一個隨機密鑰,而后的報文都會用這個密鑰進行加密,如此. 要想破解,得要有一個可編程的抓包器.

libpcap是一個不錯的選擇,但是對于抓包這樣需要反復(fù)進行”試 驗->修改”這個過程的操作,c 語言顯然不是明智的選擇.

Python提供了幾個libpcapbind,http://monkey.org/~dugsong/pypcap/這里有 一個最簡單的。在windows平臺上,你需要先安裝winpcap,如果你已經(jīng)安裝了Ethereal非常好用

一個規(guī)范的抓包過程

import pcap
import dpkt
pc=pcap.pcap()    #注，參數(shù)可為網(wǎng)卡名，如eth0
pc.setfilter('tcp port 80')    #設(shè)置監(jiān)聽過濾器
for ptime,pdata in pc:    #ptime為收到時間，pdata為收到數(shù)據(jù)
    print ptime,pdata    #...

對抓到的以太網(wǎng)V2數(shù)據(jù)包(raw packet)進行解包

p=dpkt.ethernet.Ethernet(pdata)
if p.data.__class__.__name__=='IP':
    ip='%d.%d.%d.%d'%tuple(map(ord,list(p.data.dst)))
    if p.data.data.__class__.__name__=='TCP':
        if data.dport==80:
            print p.data.data.data # by gashero

一些顯示參數(shù)

nrecv,ndrop,nifdrop=pc.stats()
返回的元組中，第一個參數(shù)為接收到的數(shù)據(jù)包，(by gashero)第二個參數(shù)為被核心丟棄的數(shù)據(jù)包。