离线流量分析

介绍

通过本地已经生成的pcap/cap文件，读取并分析数据

正文

PCAP_Parser.py

从 login_invalid.pcap 查找关键词 invalid ，如果有符合的数据包，把所有数据包详细打印出来。

import logging
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)#清除报错
from scapy.all import *
import re

def pcap_parser(filename,keyword):
    pkts = rdpcap(filename)
    return_pkts_list = [] #返回匹配数据包的清单！
    for pkt in pkts.res:
        try:#为什么用try呢，decode有可能失败
            pkt_load = pkt.getlayer('Raw').fileds['load'].decode().strip()#提取负载内容
            re_keyword = '.*' + keyword + '.*' #形成关于关键字的正则表达式
            #如果负载内容匹配，并且源端口为23，把数据包添加到 return_pkts_list
            if re.match(re_keyword, pkt_load) and pkt.getlayer('TCP').fields['sport'] == 23:#如果该包符合正则表达式，并且TCP端口为23
                return_pkts_list.append(pkt) # 把符合内容的追加到  return_pkts_list
        except:
            pass

    return return_pkts_list #返回匹配数据包的清单

if __name__ == "__main__":
    pkts = pcap_parser("login_invalid.pcap","invalid")
    i = 1
    for pkt in pkts:
        print('=========第' + str(i) + "个包('=========")
        pkt.show()
        i += 1

login_invalid.pcap 这个文件怎么生成的，可以戳 在线流量分析

参考

参考推荐：https://www.jianshu.com/p/8eab70118fad

https://www.youtube.com/watch?v=_wb-e1edRhM