Pyshark——安装、解析pcap文件

1、简介

• PyShark是一个用于网络数据包捕获和分析的Python库，基于著名的网络协议分析工具Wireshark和其背后的libpcap/tshark库。它提供了一种便捷的方式来处理网络流量，适用于需要进行网络监控、调试和研究的场景。以下是PyShark的一些关键特性和使用方法的介绍：
• 主要特性
  • 捕获网络流量：可以捕获实时的网络流量，也可以读取已经捕获的pcap文件。
  • 协议解码：能够解析多种网络协议（如TCP、UDP、HTTP等），并提取具体的协议字段。
  • 过滤数据包：支持使用Wireshark/Tshark的显示过滤器语法来过滤数据包。
  • 高效处理：可以逐个数据包地处理，也可以批量处理数据包，适用于大规模流量分析。

2、安装

• 安装Pyshark。

• pip install pyshark

• 【注】PyShark依赖于TShark。TShark是Wireshark的命令行版本，提供了强大的数据包捕获和分析功能。PyShark通过调用TShark来捕获和解析网络流量，因此在使用PyShark之前，需要确保TShark已正确安装并可在系统路径中访问。
• 配置Wireshark环境变量。
  • 
• 打开终端验证。

  • tshark -v

  • 
• 修改Pyshark库的配置文件。D:\App\Anaconda3\envs\fuzz\Lib\site-packages\pyshark\config.ini（找到pyshark库的下载位置）
  • 注释掉原来的tshark_path路径，添加现有的路径。
  • 

3、解析pcap文件

• 准备一个pcap文件，输出该文件中的所有FTP消息。

  • import pyshark
    
    # 读取PCAP文件
    pcap_file = 'captured_packets.pcap'  # 替换为你的PCAP文件路径
    cap = pyshark.FileCapture(pcap_file)
    
    # 遍历数据包并提取FTP数据包
    ftp_packets = []
    for packet in cap:
        if 'FTP' in packet:
            ftp_packets.append(packet)
    
    # 输出FTP数据包
    for ftp_packet in ftp_packets:
        print(ftp_packet)

  • 
• 输出每条FTP请求或响应的功能码和含义：

  • import pyshark
    
    # 读取PCAP文件
    pcap_file = 'captured_packets.pcap'  # 替换为你的PCAP文件路径
    cap = pyshark.FileCapture(pcap_file)
    
    # 遍历数据包并提取FTP数据包
    ftp_packets = []
    for packet in cap:
        if 'FTP' in packet:
            ftp_packets.append(packet)
    
    # 输出FTP数据包
    for ftp_packet in ftp_packets:
        # 打印整个FTP层信息
        for layer in ftp_packet.layers:
            if layer.layer_name == 'ftp':
                if layer.get_field("request") == 'True':
                    print("request:")
                    print(f"    request_command: {layer.get_field('request_command')}")
                    print(f"    request_arg: {layer.get_field('request_arg')}")
                if layer.get_field("request") == 'False':
                    print("response:")
                    print(f"    response_code: {layer.get_field('response_code')}")
                    print(f"    response_arg: {layer.get_field('response_arg')}")

  •