如何利用Python嗅探(Sniffer)数据包

最新推荐文章于 2024-06-17 14:18:27 发布
最新推荐文章于 2024-06-17 14:18:27 发布
阅读量7.5k 收藏 3
点赞数
分类专栏： python 文章标签： 安全 python

一提到Python获取数据包的方式，相信很多Python爱好者会利用Linux的libpcap软件包或利用Windows下的WinPcap可移植版的方式进行抓取数据包，然后再利用dpkt软件包进行协议分析，我们这里想换一个角度去思考：

    1. Python版本的pcap存储内存数据过小，也就是说缓存不够，在高并发下容易发生丢包现象，其实C版本的也同样存在这样的问题，只不过Python版本的缓存实在是过低，让人很郁闷。

    2. dpkt协议分析并非必须，如果你对RFC 791和RFC 793等协议熟悉的话，完全可以使用struct.unpack的方式进行分析。

    如果你平常习惯使用tcpdump抓取数据包的话，完全可以使用它来代替pcap软件包，只不过我们需要利用tcpdump将抓取的数据以pcap格式进行保存，说道这里大家一定会想到Wireshark工具，具体命令如下：

1. tcpdump dst 10.13.202.116 and tcp dst port 80 -s 0 -i eth1 -w ../pcap/tcpdump.pcap -C 1k -W 5

    我们首先需要对pcap文件格式有所了解，具体信息大家可以参考其他资料文档，我这里只说其重要的结构体组成，如下：

1. sturct pcap_file_header

2. {

3.     DWORD   magic;

4.     WORD    version_major;

5.     WORD    version_minor;

6.     DWORD   thiszone;

7.     DWORD   sigfigs;

8.     DWORD   snaplen;

9.     DWORD   linktype;

10. }

11. 

12. struct pcap_pkthdr

13. {

14.     struct timeval  ts;

15.     DWORD           caplen;

16.     DWORD           len;

17. }

18. 

19. struct timeval

20. {

21.     DWORD   GMTtime;

22.     DWORD   microTime;

23. }

    这里需要说明的一点是，因为在Python的世界里一切都是对象，所以往往Python在处理数据包的时候感觉让人比较麻烦。

    至于对于如何监控tcpdump生成的pcap文件数据，大家可以通过pyinotify软件包来实现（相信大家一定对于rsync+inotify的组合比较熟悉），如下：

1. class Packer(pyinotify.ProcessEvent):

2.     def __init__(self, product):

3.         self.product = product

4.         self.process = None

5. 

6.     def process_IN_CREATE(self, event):

7.         logger.debug("create file: %s in queue" % self.process_IF_START_THREAD(event))

8. 

9.     def process_IN_MODIFY(self, event):

10.         self.process_IF_START_THREAD(event)

11.         logger.debug("modify file: %s in queue" % self.process_IF_START_THREAD(event))

12. 

13.     def process_IN_DELETE(self, event):

14.         filename = os.path.join(event.path, event.name)

15.         logger.debug("delete file: %s" % filename)

16. 

17.     def process_IF_START_THREAD(self, event):

18.         filename = os.path.join(event.path, event.name)

19. 

20.         if filename != self.process:

21.             self.process = filename

22.             self.product.put(filename)

23. 

24.             if self.product.qsize() > 1:

25.                 try:

26.                     logger.debug("create consumer product.qsize: %s" % self.product.qsize())

27.                     consumer = Consumer(self.product)

28.                     consumer.start()

29.                 except Exception, errmsg:

30.                     logger.error("create consumer failed: %s" % errmsg)

31. 

32.         return filename

33. 

34. class Factory(object):

35.     def __init__(self, product):

36.         self.product = product

37.         self.manager = pyinotify.WatchManager()

38.         self.mask = pyinotify.IN_CREATE | pyinotify.IN_DELETE | pyinotify.IN_MODIFY

39. 

40.     def work(self):

41.         try:

42.             try:

43.                 notifier = pyinotify.ThreadedNotifier(self.manager, Packer(self.product))

44.                 notifier.start()

45.                 self.manager.add_watch("../pcap", self.mask, rec = True)

46.                 notifier.join()

47.             except Exception, errmsg:

48.                 logger.error("create notifier failed: %s" % errmsg)

49.         except KeyboardInterrupt, errmsg:

50.             logger.error("factory has been terminated: %s" % errmsg)

    在获得要分析的pcap文件数据之后，就要对其分析了，只要你足够了解pcap文件格式就可以了，对于我们来讲只需要获得TCP数据段的数据即可，如下：

1. class Writer(threading.Thread):

2.     def __init__(self, product, stack):

3.         threading.Thread.__init__(self)

4.         self.product = product

5.         self.stack = stack

6.  

7.         self.pcap_pkthdr = {} 

8. 

9.     def run(self):

10.         while True:

11.             filename = self.product.get()

12.             try:

13.                 f = open(filename, "rb")

14.                 readlines = f.read()

15.                 f.close()

16.                 offset = 24

17.                 while len(readlines) > offset:

18.                     self.pcap_pkthdr["len"] = readlines[offset+12:offset+16]

19.                     try:

20.                         length = struct.unpack("I", self.pcap_pkthdr["len"])[0]

21.                         self.stack.put(readlines[offset+16:offset+16+length])

22.                         offset += length + 16

23.                     except Exception, errmsg:

24.                         logger.error("unpack pcap_pkthdr failed: %s" % errmsg)

25.             except IOError, errmsg:

26.                 logger.error("open file failed: %s" % errmsg)

    在获得TCP数据段的数据包之后，问题就简单多了，根据大家的具体需求就可以进行相应的分析了，我这里是想分析其HTTP协议数据，同样也借助了dpkt软件包进行分析，如下：

1. def worker(memcache, packet, local_address, remote_address):

2.     try:

3.         p = dpkt.ethernet.Ethernet(packet)

4.         if p.data.__class__.__name__ == "IP":

5.             srcip = "%d.%d.%d.%d" % tuple(map(ord, list(p.data.src)))

6.             dstip = "%d.%d.%d.%d" % tuple(map(ord, list(p.data.dst)))

7.             if p.data.data.__class__.__name__ == "TCP":

8.                 tcpacket = p.data.data

9.                 if tcpacket.dport == 80 and dstip == local_address:

10.                     srcport = tcpacket.sport

11.                     key = srcip + ":" + str(srcport)

12.                     if tcpacket.data:

13.                         if not memcache.has_key(key):

14.                             memcache[key] = {}

15. 

16.                         if not memcache[key].has_key("response"):

17.                             memcache[key]["response"] = None

18. 

19.                         if memcache[key].has_key("data"):

20.                             memcache[key]["data"] += tcpacket.data

21.                         else:

22.                             memcache[key]["data"] = tcpacket.data

23.                     else:

24.                         if memcache.has_key(key):

25.                             memcache[key]["response"] = dpkt.http.Request(memcache[key]["data"])

26.                             try:

27.                                 stackless.tasklet(connection)(memcache[key]["response"], local_address, remote_address)

28.                                 stackless.run()

29.                             except Exception, errmsg:

30.                                 logger.error("connect remote remote_address failed: %s", errmsg)

31.                             logger.debug("old headers(none content-length): %s", memcache[key]["response"])

32.                             memcache.pop(key)

33.     except Exception, errmsg:

34.         logger.error("dpkt.ethernet.Ethernet failed in worker: %s", errmsg)

    如果大家只是想单纯的获取IP地址、端口、流量信息，那么问题就更简单了，这里只是抛砖引玉。


摘自  放飞翅膀，追求梦想

whackw
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
python scapy中sniffer的用法以及过滤器
weixin_30897233的博客
05-26 3395
Sniff方法定义： sniff(filter="",iface="any", prn=function, count=N) 1、filter的规则使用 Berkeley Packet Filter (BPF)语法，具体参考：http://blog.csdn.net/qwertyupoiuytr/article/details/54670477 2、iface用来指定要在哪个网络接口上进行抓...
Python黑帽编程 4.1 Sniffer(嗅探器)之数据捕获（上）
玄魂工作室
10-25 7609
网络嗅探，是监听流经本机网卡数据包的一种技术，嗅探器就是利用这种技术进行数据捕获和分析的软件。 编写嗅探器，捕获数据是前置功能，数据分析要建立在捕获的基础上。本节就数据捕获的基本原理和编程实现做详细的阐述。
python渗透测试入门——流量嗅探器
最新发布
okcross0的博客
06-17 472
接收到预期的ICMP消息时，我们首先检查这个响应是不是来自我们正在扫描的子网，然后检查ICMP消息里有没有我们自定义的签名。在负责接收数据包的主循环中，我们会判断接收到的数据包是否为ICMP数据包，然后计算出ICMP数据在原始数据包中的偏移，最后将数据按照ICMP结构进行解析。注意：这里Windows和Linux的区别是，前者允许我们嗅探任何协议的所有流入数据，而后者强制我们指定一个协议来嗅探，这里指定的是ICMP。上面这只是一个非常简单的嗅探器，那我们将对它的功能进行进一步的拓展。1.代码及代码讲解。
Python之渗透测试笔记（四） ——网络数据嗅探
weixin_44889655的博客
04-10 698
编写网络嗅探工具 在scapy模块，函数sniff()的几个参数。 count：表示要捕获的数据包的数量。默认值为0，不限制数量。 store：表示是否要保存捕获到的数据包，默认值为1. prm：此参数是一个函数，会应用到每一个捕获到的数据包上，如果这个函数呦返回值，将会显示出来。默认为空。 iface：表示要使用的网卡或者网卡列表。 sniff()函数支持过滤器，可以使用BPF规则（伯...
简单实现数据嗅探系统与防火墙系统（Python3）
热门推荐
江左盟的博客
04-24 2万+
题目要求： 1、设计一个信息系统，系统必须通过客户端录入账号 2、系统内至少包含3个以上账号 3、系统服务器可设定禁止登录的IP地址和账号信息 4、如果客户端从禁止的IP地址登录或使用禁止的账号则不允许登录，并断开连接 思路：实现客户端远程登录服务端用到socket模块 数据嗅探系...
python//网络嗅探器
manchenyg的博客
07-08 7278
python编写网络嗅探器 网络嗅探器 网络嗅探器又称网络监听器，简称Sniffer子系统，放置于网络节点上，对网络中的数据帧进行捕获的一种被动监听手段，是一种常用的收集有用信息的方法。 嗅探器原理 原理上来说，在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接收数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就接收...
python-scapy的sniff抓包按照方向过滤
ljyfree的专栏
05-27 2735
python-scapy是一款非常好用的组包/发包/抓包工具。 但是sniffer在端口抓包的时候，会将进出的报文都抓。有时候我们只需要抓一个方向，例如入方向的报文。此时可以在原本的filter中加入方向关键字。 例如:需要只抓tcp的报文，持续抓5秒 >>> pkts = sniff(iface='eth0',filter='tcp',timeout=5) 那么如果只要抓入方向的报文 >>> pkts = sniff(iface='eth0',filter='inbo
python局域网嗅探_Python_sniffer(网络嗅探器)
weixin_39609670的博客
12-05 1581
import socketimport threadingimport timeactiveDegree=dict()flag=1def main():global activeDegreeglobal glag#获取本机IP地址HOST=socket.gethostbyname(socket.gethostbyname())#创建原始套接字，适用于Windows平台#对于其他系统，要把socke...
python-sniffer:python中简单数据包嗅探器的简单实现
06-23
"python-sniffer"是一个用Python编写的简单数据包嗅探器，它在Windows和Linux（以及其他POSIX兼容系统）上运行。 嗅探器的基本工作原理是利用操作系统底层的网络接口来获取网络数据包。在Python中，这通常通过使用...
Packet-Sniffer:纯Python网络数据包嗅探工具
03-11
Python 3网络数据包嗅探器 一个简单的纯Python网络数据包嗅探器。 当数据包到达给定的网络接口控制器时，数据包将被分解，并将其信息显示在屏幕上。 此应用程序不依赖第三方模块，可以由任何Python 3.x解释器运行...
packet_sniffer:Python原始套接字数据包嗅探器
05-16
python packet_sniffer.py host 192.168.1.15 tcp port 80 作者 奥列格·米特罗法诺夫（罗列·罗克）2015 参考 IP参考： ： TCP参考： ： 以太网帧头格式： : IP标头格式： ： TCP标头格式： :
Python-IPTCPUDP数据包分析及解析
08-10
读取pcap包，打印详细的icmp/tcp/udp协议。读取pcap包或网络接口
简单的抓包程序sniifer
05-03
一个简单的抓包程序 自己写着玩的 简单的抓包程序sniifer
Python-一个用来嗅探开放WLAN下数据包的工具
08-10
标题中的“Python-一个用来嗅探开放WLAN下数据包的工具”表明我们要讨论的是一个使用Python编程语言编写的网络嗅探工具，主要用于在开放的无线局域网（WLAN）环境中捕获和分析数据包。这样的工具对于网络安全研究、...
python嗅探程序_Python_sniffer(网络嗅探器)，sniffer使用教程,import soc
weixin_39532628的博客
12-16 877
Python_sniffer(网络嗅探器)，sniffer使用教程,import socimport socketimport threadingimport timeactiveDegree=dict()flag=1def main(): global activeDegree global glag #获取本机IP地址 HOST=socket.gethostbyname...
[原创]python写的sniffer
weixin_30588827的博客
12-10 141
import socket s=socket.socket(socket.PF_PACKET,socket.SOCK_RAW,8) while 1: data=s.recv(65535) print data.encode("hex") 转载于:https://www.cnblogs.com/hymenz/p/3466883.html
python原始套接字实现简单的sniffer
qq_42404383的博客
03-31 2219
what: raw socket，即原始套接字，可以接收本机网卡上的数据帧或者数据包，对于监听网络的流量和分析是很有作用的。 where: 一共可以有4种方式创建这种socket： 1.socket(PF_INET, SOCK_RAW, IPPROTO_TCP|IPPROTO_UDP|IPPROTO_ICMP)发送接收ip数据包 socket(AF_INET, SOCK_RAW, IPPROTO...
「Python爬虫系列讲解」十四、基于开发者工具 Network 的数据抓包技术
闭关修炼——暂退
07-08 9170
本专栏是以杨秀璋老师爬虫著作《Python网络数据爬取及分析「从入门到精通」》为主线、个人学习理解为主要内容，以学习笔记形式编写的。 本专栏不光是自己的一个学习分享，也希望能给您普及一些关于爬虫的相关知识以及提供一些微不足道的爬虫思路。专栏地址：Python网络数据爬取及分析「从入门到精通」 更多爬虫实例详见专栏：Python爬虫牛刀小试 前文回顾：「Python爬虫系列讲解」一、网络数据爬取概述「Python爬虫系列讲解」二、Python知识初学「Python爬虫系列讲解」三、正则表达式爬...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值