2022/06/01Scapy

抓包

sniff(filter="",iface="any",prn=function,count=N)
#filter过滤器
#iface网卡
#prn调用函数
#count监听数量

filter

filter采用伯克利包过滤的方法，该方法有三种限定符：Type（对象，默认为host）、Dir（传输方向）、Proto（协议）。

host 192.168.1.1
过滤目的IP地址或者源地址为192.168.1.1的数据包

dst host 192.168.1.1
src host 192.168.1.1
过滤目的（源）地址为192.168.1.1的数据包

ether host aa:aa:aa:aa:aa:aa
过滤目的MAC地址或者源地址为aa:aa:aa:aa:aa:aa的数据包

ether dst aa:aa:aa:aa:aa:aa
ether src aa:aa:aa:aa:aa:aa
过滤目的（源）MAC地址为aa:aa:aa:aa:aa:aa的数据包

dst net 192.168.1.0/24
src net 192.168.1.0/24
过滤IPv4的目的（源）地址为192.168.1.0/24这个范围的数据包
net 192.168.1.0/24

dst port 8080
src port 8080
过滤TCP或者UDP且目的（源）端口是8080的数据包
port 8080

iface

iface用来指定要使用的网卡，默认为上网使用的网卡
Linux下使用ip addr或者ifconfig来查看网卡
lo和eth0就是网卡，正常选择eth0
Windows使用ipconfig查看
如果连接的是wifi，选择WLAN
有线可能要选择一下本地连接* 1之类的

prn

prn表示对捕获的包进行处理的函数的名字（回调函数）

def packet_callback(pkt):
	print(pkt.summary)
	
sniff(prn=packet_callback)

也可以用Lambda表达式

sniff(filter="icmp",prn=lambda x:x.summary())

count

count指定要监听数据包的数量

sniff(count=10)

综合实例

sniff(filter="icmp and host 192.168.1.1",prn=lambda x:x.summary(),count=50)

启动程序，在cmd里面ping一下就能看见打印的信息了

很小的概率会出错，监听到了超过四个数据包