pypcapPython網(wǎng)絡(luò)抓包庫

Ethereal 自帶許多協(xié)議的 decoder,簡單,易用,基于winpcap的一個(gè)開源的軟件.但是它的架構(gòu)并不靈活,如何你要加入一個(gè)自己定義的的解碼器,得去修改 Ethereal的代碼,再重新編譯,很煩瑣.對于一般的明文 協(xié)議,沒有什么問題,但是對于加密協(xié)議,比如網(wǎng)絡(luò)游戲,客戶端程序一般會(huì)在剛連接上的時(shí)候,發(fā)送一個(gè)隨機(jī)密鑰,而后的報(bào)文都會(huì)用這個(gè)密鑰進(jìn)行加密,如此. 要想破解,得要有一個(gè)可編程的抓包器.

libpcap是一個(gè)不錯(cuò)的選擇,但是對于抓包這樣需要反復(fù)進(jìn)行”試 驗(yàn)->修改”這個(gè)過程的操作,c 語言顯然不是明智的選擇.

Python提供了幾個(gè)libpcapbind,http://monkey.org/~dugsong/pypcap/這里有 一個(gè)最簡單的。在windows平臺(tái)上,你需要先安裝winpcap,如果你已經(jīng)安裝了Ethereal非常好用

一個(gè)規(guī)范的抓包過程

import pcap
import dpkt
pc=pcap.pcap()    #注，參數(shù)可為網(wǎng)卡名，如eth0
pc.setfilter('tcp port 80')    #設(shè)置監(jiān)聽過濾器
for ptime,pdata in pc:    #ptime為收到時(shí)間，pdata為收到數(shù)據(jù)
    print ptime,pdata    #...

對抓到的以太網(wǎng)V2數(shù)據(jù)包(raw packet)進(jìn)行解包

p=dpkt.ethernet.Ethernet(pdata)
if p.data.__class__.__name__=='IP':
    ip='%d.%d.%d.%d'%tuple(map(ord,list(p.data.dst)))
    if p.data.data.__class__.__name__=='TCP':
        if data.dport==80:
            print p.data.data.data # by gashero

一些顯示參數(shù)

nrecv,ndrop,nifdrop=pc.stats()
返回的元組中，第一個(gè)參數(shù)為接收到的數(shù)據(jù)包，(by gashero)第二個(gè)參數(shù)為被核心丟棄的數(shù)據(jù)包。