本人使用win10系统,python3.6。
假设我们现在已经从Wireshark导出了test.pcap数据包。
读取pcap文件有两种方式,逐行读入内存和一次性读入内存。
第一种方式,一次性读入内存。
from scapy.all import *
pkts = rdpcap(‘test.pcap’)
这行代码将test.pcap文件一次性读入内存,pkt中是很多个数据包。pkt可以当做列表顺序访问。
访问第n个包:pkts[n],效果如图所示。
循环读 for pkt in pkts:
…
第二种方式,逐行读
pr = PcapReader(‘test.pcap’)
pkt = pr.read_packet()
每次调用read_packet()都会读入下一个新的包到内存中
现在我们已经把数据包读入内存了,一个数据包装入了pkt变量中。
显示格式化数据包:pkt.show()
效果如图,协议已经分好层了
访问数据,如图所示
访问每层报文pkt[‘每层的名字’]
访问每层里面的内容pkt[‘每层的名字’].内容名,如pkt[‘IP’].dport