快捷導(dǎo)航

使用Python分析wireshark文件

更新時(shí)間：2024年11月30日 11:53:18 作者：南東山人

這篇文章主要為大家詳細(xì)介紹了如何使用Python實(shí)現(xiàn)分析wireshark文件,文中的示例代碼講解詳細(xì),感興趣的小伙伴可以跟隨小編一起學(xué)習(xí)一下

1 pyshark庫(kù)

支持wireshark的解析等。

安裝pyshark

pip install pyshark

2 dpkt庫(kù)

這也是一個(gè)用于分析pcap文件的庫(kù)，是所有分析pcap庫(kù)中最快的一個(gè)。

官方參考文檔：

https://dpkt.readthedocs.io/en/latest/print_packets.html

https://dpkt.readthedocs.io/en/latest/examples.html#examples-in-dpkt-examples

安裝

pip install dpkt

3 應(yīng)用實(shí)例

dpkt讀pcap文件

f = open('new1.pcap','rb')
pcap = dpkt.pcap.Reader(f)
# ts是timestemp時(shí)間戳，buf（二進(jìn)制數(shù)據(jù)）是主體的數(shù)據(jù)包信息。
for ts,buf in pcap:
    pass

獲取每個(gè)數(shù)據(jù)包的ip地址

#由buf這個(gè)二進(jìn)制數(shù)據(jù)轉(zhuǎn)化為Ethernet類的對(duì)象
eth = dpkt.ethernet.Ethernet(buf)
 
ip_src = eth.data.src #這里是獲取這個(gè)數(shù)據(jù)包的源ip
#要注意的是，這里的源ip是以二進(jìn)制的方式返回的，如果我們要獲取點(diǎn)分十進(jìn)制的ip地址
#可以這樣做
def inet_to_str(inet):
    try:
        return socket.inet_ntop(socket.AF_INET,inet)
    except:
        return False#這里因?yàn)榫唧w需要把IPv6給丟棄了
        #如果希望IPv6也能獲取可以這樣
        #return socket.inet_ntop(socket.AF_INET6,inet)
ip_src = inet_to_str(eth.data.src)
ip_dst = inet_to_str(eth.data.dst)#目的ip\

獲取報(bào)文中的ip

#coding=utf-8
import dpkt
import socket
import time
 
def inet_to_str(inet):
    try:
        return socket.inet_ntop(socket.AF_INET,inet)
    except:
        return False
 
def getip():
    f = open('new1.pcap','rb')#要以rb方式打開(kāi)，用r方式打開(kāi)會(huì)報(bào)錯(cuò)
    pcap = dpkt.pcap.Reader(f)
    for ts,buf in pcap:
        print(ts)打印時(shí)間戳
        eth=dpkt.ethernet.Ethernet(buf)
 
        #這里也是對(duì)沒(méi)有IP段的包過(guò)濾掉
        if eth.type != dpkt.ethernet.ETH_TYPE_IP:
            continue
 
        ip = eth.data
        ip_src = inet_to_str(ip.src)
        ip_dst = inet_to_str(ip.dst)
        print(ip_src+'-->'+ip_dst)
 
if __name__=='__main__':
getip()

修改報(bào)文中的源ip和目的

import dpkt
import os
import socket

test = open("new.pcap","wb")
writer = dpkt.pcap.Writer(test)
f=open("old.pcap",'rb')
packets = dpkt.pcap.Reader(f)
for ts,buf in packets:
    eth = dpkt.ethernet.Ethernet(buf)

    # 這里是將點(diǎn)分十進(jìn)制轉(zhuǎn)化成二進(jìn)制
    eth.data.src = socket.inet_pton(socket.AF_INET, "192.168.1.1")
    eth.data.dst = socket.inet_pton(socket.AF_INET, "192.168.1.2")
    writer.writepkt(eth,ts=ts)#不加ts參數(shù)，數(shù)據(jù)包時(shí)間戳?xí)J(rèn)為當(dāng)前時(shí)間
    test.flush()
test.close()

到此這篇關(guān)于使用Python分析wireshark文件的文章就介紹到這了,更多相關(guān)Python分析wireshark文件內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: