pythonpcap原生python读取解析.pcap文件(非第三方库),太网分层

本文代码都由python编写，无需安装第三方拓展库，代码更新:https://github.com/mengdj/python

tcp/ip协议 4层架构

 

.pcap文件是一种简单网络包记录文件，较它的升级版.pcapng简单多了

pcap结构图

可以看到.pcap文件，就由一个pcap文件头+无数个（pcap包头+包数据组成），我们只需要一个个解析即可，文件头用于描述.pcap文件本身（就一个文件头），包头则描述包的信息（抓取时间、长度等等），包的数据就是我们要的4层数据了(链路+网络+传输+应用)，值得注意的是.pcap文件抓取的包是链路层抓取的，所以此时的包还没有经过重组，网络包重组(ip重组、tcp重组)，本文暂不说明，后期可关注github，会用python实现的

Pcap文件头24B各字段说明：
Magic：        4B：0×1A 2B 3C 4D:用来识别文件自己和字节顺序。0xa1b2c3d4用来表示按照原来的顺序读取，0xd4c3b2a1表示下面的字节都要交换顺序读取。一般，我们使用0xa1b2c3d4
Major：        2B，0×02 00:当前文件主要的版本号
Minor：        2B，0×04 00当前文件次要的版本号
ThisZone：    4B 时区。GMT和本地时间的相差，用秒来表示。如果本地的时区是GMT，那么这个值就设置为0.这个值一般也设置为0 SigFigs：4B时间戳的精度；全零
SnapLen：    4B最大的存储长度（该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535； 例如：想获取数据包的前64字节，可将该值设置为64）
LinkType：    4B链路类型
常用类型：
0           BSD loopback devices, except for later OpenBSD
1           Ethernet, and Linux loopback devices
6           802.5 Token Ring
7           ARCnet
8           SLIP
9           PPP
10          FDDI
100         LLC/SNAP-encapsulated ATM
101         “raw IP”, with no link
102         BSD/OS SLIP
103         BSD/OS PPP
104         Cisco HDLC
105         802.11
108         later OpenBSD loopback devices (with the AF_value in network byte order)
113         special Linux “cooked” capture
114         LocalTalk

 现在我们分别用python来解析(注意解析时，每一层代码都只拆分出上层数据，然后交给上层自己处理,)

.pcap文件头处理 ==> .pcap包处理 ==> 链路层==> 网络层==> 传输层==> 应用层

1.pcap.py 文件头处理

解析文件头以及众多包,拿到包数据但不细节，解析包的工作我们放到包处理来做，同时考虑到文件通常很大，我们用生成器来处理遍历操作

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
__author__ = "[email protected]"
from pcap.proc.packet import Packet
from pcap.proc.util import BytesBuffer
from pcap.proc.util import BytesOrder


class PcapHead(object):
    """pcap文件头 24B"""
    _magic_number = None
    _version_major = None
    _version_minor = None
    _thiszone = None
    _sigfigs = None
    _snaplen = None
    _link_type = None

    def __init__(self, data):
        assert len(data) == 24
        self._magic_number = data[:4]
        if PcapHead.signature(self._magic_number) is False:
            raise Exception("不支持的文件格式")
        self._version_major = BytesOrder.bytes2int(data[4:6])
        self._version_minor = BytesOrder.bytes2int(data[6:8])
        self._thiszone = BytesOrder.bytes2int(data[8:12])
        self._sigfigs = BytesOrder.bytes2int(data[12:16])
        self._snaplen = BytesOrder.bytes2int(data[16:20])
        self._link_type = BytesOrder.bytes2int(data[20:24])

    def __str__(self):
        return "order:%s magor:%d minor:%d zone:%d sig:%d snap_len:%d type:%d" % (
            BytesOrder.order, self._version_major, self._version_minor, self._thiszone, self._sigfigs, self._snaplen,
            self._link_type)

    @staticmethod
    def signature(data):
        """验证签名同时确定排序,虽然还无法读取到大小端但不影响"""
        sig = BytesOrder.bytes2int(data)
        if sig == 0xa1b2c3d4:
            BytesOrder.order = "big"
            return True
        elif sig == 0xd4c3b2a1:
            BytesOrder.order = "little"
            return True
        return False


class Pcap(object):
    """.pcap解析类"""
    __head = None
    __ret = 0

    def parse(self, file, buffSize=2048):
        """
        解析pcap文件,返回值为一个生成器 yield
        :param file:缓冲文件大小
        :param buffSize:
        :return:返回一个生成器（用于处理大包）
        """
        assert file != ""
        _buff = BytesBuffer()
        _packet = None
        ret = 0