python - 如何在 802.1Q 和 SLL 中使用 dpkt?
问题描述
我正在使用 python 中的 PCAP 并使用 dpkt 来阅读它。PCAP 文件中的数据是 Linux Cooked Capture, SLL for friends。这是在 Wireshark 中看到的示例数据包:
Frame 3: 578 bytes on wire (4624 bits), 578 bytes captured (4624 bits)
Linux cooked capture
Packet type: Unicast to another host (3)
Link-layer address type: 1
Link-layer address length: 6
Source: VMware_ZZ:ZZ:ZZ (ZZ:ZZ:ZZ:ZZ:ZZ:ZZ)
Unused: 0000
Protocol: IPv4 (0x0800)
Internet Protocol Version 4, Src: XX.X.XX.XX, Dst: YYY.YY.YYY.YYY
Transmission Control Protocol, Src Port: 65382, Dst Port: 443, Seq: 1, Ack: 1, Len: 522
Transport Layer Security
这是我用来获取 TCP 数据的代码:
import dpkt
pcap_path = 'example-packet.pcap'
with open(pcap_path, 'rb') as fp:
try:
capture = dpkt.pcap.Reader(fp)
except ValueError as e:
raise Exception("Wrong file: %s" % e)
for timestamp, buf in capture:
eth = dpkt.sll.SLL(buf)
print("Ethernet: ", eth)
ip = eth.data
print("IP: ", ip)
tcp = ip.data # <-- This is line 15, for error reference
print("TCP: ", tcp)
这就是代码输出,它是字节编码的,但这很好,因为程序的其余部分并不关心,我不需要让它可读:
Ethernet: b'\x00\x03\x00\x01\x00\x06\x00PV\x9auT\x00\x00\x08\x00E\x00\x05\x8cT3@\x00...
IP: b'E\x00\x05\x8cT3@\x00\x80\x06O\x1f\xac\x1f\xaed\xc6\x8f1\x06\x01\xbb%\x7f\xccz...
TCP: b'\x01\xbb%\x7f\xccz\xdf\x9d\xe5\xbe\xb98\x80\x10\x01\xfd\x047\x00\x00\x01\x01...
现在,问题。我转移到另一个 PCAP,仍然是 Linux Cooked Capture,但这个具有IP over 802.1Q VLAN。所以这里我们有问题包:
Frame 11: 577 bytes on wire (4616 bits), 577 bytes captured (4616 bits)
Linux cooked capture
Packet type: Unicast to another host (3)
Link-layer address type: 1
Link-layer address length: 6
Source: Cisco_ZZ:ZZ:ZZ (ZZ:ZZ:ZZ:ZZ:ZZ:ZZ)
Unused: 0000
Protocol: 802.1Q Virtual LAN (0x8100)
802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 1328
000. .... .... .... = Priority: Best Effort (default) (0)
...0 .... .... .... = DEI: Ineligible
.... 0101 0011 0000 = ID: 1328
Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: XXX.XX.XXX.XX, Dst: YY.YYY.YYY.YY
Transmission Control Protocol, Src Port: 54545, Dst Port: 443, Seq: 1, Ack: 1, Len: 517
Transport Layer Security
但如果我运行相同的代码,这是我得到的输出:
Traceback (most recent call last):
File "myproject.py", line 15, in <module>
tcp = ip.data
AttributeError: 'bytes' object has no attribute 'data'
Ethernet: b'\x00\x03\x00\x01\x00\x06\x00PV\xa7(\x93\x00\x00\x81\x00\x050\x08\x00E\x00\x00...
IP: b'\x050\x08\x00E\x00\x00\xb2\xba\xd6@\x004\x06y\xf7_\xf9H \xac\x15\xbdI...
现在,我想问题在于添加到数据包中的 4 字节 802.1Q: eth.data 被读取为字节,因为没有识别 IP 标头,所以当我去执行 ip.data 时,如前所述,没有属性'数据'。但我不知道如何规避这个问题。这是另一个捕获,我知道 dpkt 有一个 dpkt.ethernet.VLANTag8021Q 类,但据我尝试,这不适用于 Linux Cooked Capture。我可以考虑搬到 dpkt 以外的图书馆,但我真的不想这样做,因为这是一个工作项目的一部分,截止日期非常严格。
那么,当 TCP 数据通过 IP、通过 802.1Q、通过 dpkt“通过”SLL 时,我如何访问它们?
解决方案
我几乎感到羞耻,我以前没有想到这一点。由于 eth.data 由于 vlan 标记而被视为字节,因此它是可切片的。因此:
for timestamp, buf in capture:
eth = dpkt.sll.SLL(buf)
print("Ethernet: ", eth)
ip = eth.data
print("IP: ", ip)
tcp = ip.data
print("TCP: ", tcp)
变成了这样:
for timestamp, buf in capture:
eth = dpkt.sll.SLL(buf)
print("Ethernet: ", eth)
if not isinstance(eth.data, dpkt.ip.IP):
vlan_tag = dpkt.ethernet.VLANtag8021Q(eth.data[:4])
ip = dpkt.ip.IP(eth.data[4:])
else:
ip = eth.data
print("IP: ", ip)
tcp = ip.data
print("TCP: ", tcp)
就这样。
请注意这对我有用,因为我已经知道我的整个捕获仅由 IP 数据包组成,以供进一步参考。如果您的捕获中有其他协议,这将有不同的行为,您将必须修改 if-else 语句,以便检查这 4 个字节以查找 IP 标头或 VLAN 标记。无论如何,我实际上可以这样做,因为它更正确,但这超出了这个问题的范围。
推荐阅读
- javascript - 无法读取组件中的对象,React
- api - 触发 PATCH 请求的 GET 请求(快递)
- javascript - 直接引用node_modules可以吗?
- javascript - 我收到“主线程上的同步 XMLHttpRequest”错误,但我的代码按预期工作
- reactjs - 将上/下个月按钮添加到 Antd (Ant Design) 日历
- ruby-on-rails - 可以扩展 Resque Cleaner 以存储超过 1000 个失败的作业吗?
- java - Libgdx Table expandX() 展开所有行
- angular - 向角度材料日历中的日期添加工具提示
- mysql - 如何在反应js中从mysql中的表中呈现正确的日期
- javascript - ExcelJS - 冻结除第一行以外的行