我正在尝试分析使用tcpdump捕获的数据包文件。首先,我想使用5元组将数据包分类为流。然后,我需要获取每个流中每个数据包的大小和到达时间间隔。我尝试过Wireshark中的“Conversation list”,但它只提供流中数据包的数量,而不是有关流中每个数据包的信息。你有关于任何能够完成此任务的代码建议(C++或Shell脚本)吗? 谢谢
UmNyobe,
如果你还没有听说过Scapy,我相信它非常适合你想做的事情。例如,我使用Scapy编写了这个小片段来解析pcap字段,并给出了类似于你所讨论的内容。
#!/usr/bin/python -tt
from scapy import *
import sys
from datetime import datetime
'''Parse PCAP files into easy to read NETFLOW like output\n
Usage:\n
python cap2netflow.py <[ pcap filename or -l ]>\n
-l is live capture switch\n
ICMP packets print as source ip, type --> dest ip, code'''
def parse_netflow(pkt):
# grabs 'netflow-esqe' fields from packets in a PCAP file
try:
type = pkt.getlayer(IP).proto
except:
pass
snifftime = datetime.fromtimestamp(pkt.time).strftime('%Y-%m-%d %H:%M:%S').split(' ')[1]
if type == 6:
type = 'TCP'
if type == 17:
type = 'UDP'
if type == 1:
type = 'ICMP'
if type == 'TCP' or type == 'UDP':
print( ' '.join([snifftime, type.rjust(4, ' '), str(pkt.getlayer(IP).src).rjust(15, ' ') , str(pkt.getlayer(type).sport).rjust(5, ' ') , '-->' , str(pkt.getlayer(IP).dst).rjust(15, ' ') , str(pkt.getlayer(type).dport).rjust(5, ' ')]))
elif type == 'ICMP':
print(' '.join([snifftime, 'ICMP'.rjust(4, ' '), str(pkt.getlayer(IP).src).rjust(15, ' ') , ('t: '+ str(pkt.getlayer(ICMP).type)).rjust(5, ' '), '-->' , str(pkt.getlayer(IP).dst).rjust(15, ' '), ('c: ' + str(pkt.getlayer(ICMP).code)).rjust(5, ' ')]))
else:
pass
if '-l' in sys.argv:
sniff(prn=parse_netflow)
else:
pkts = rdpcap(sys.argv[1])
print(' '.join(['Date: ',datetime.fromtimestamp(pkts[0].time).strftime('%Y-%m-%d %H:%M:%S').split(' ')[0]]))
for pkt in pkts:
parse_netflow(pkt)
在此处获取Scapy
http://www.secdev.org/projects/scapy/
这个页面有很多链接指向有用的教程,记住Scapy可以做更多的事情,但要着重关注讲解pcap解析的部分。我曾经为一个企业开发了一个分析tcp dump的库,但是我不能直接给你。如果你没有找到你要的东西,我的回答可能会有所帮助。Tcpdump只是像玛特里奥什卡娃娃一样的嵌套网络数据,其中pcap层是由tcpdump添加的。
如果你只想处理捕获的数据,那么转储文件的格式在Libpcap文件格式中有详细说明。要获取每个数据包的大小和到达时间,需要使用此规范处理转储文件。
如果你需要更深入地分析,以下是按顺序排列的各个层:
每个层都有一个头部定义。因此,你需要找出你的pcap数据包含哪个协议栈,并解析头部以获取信息。
pcap_open_offline()
打开它。自己编写处理代码在大多数情况下都是浪费时间;使用libpcap还意味着,可以使用更新版本的libpcap读取许多pcap-ng文件。 - user8627875元组的成员是什么?如果流是TCP或UDP,则源和目标IP地址和端口号,加上可能用于区分两个端点之间多个流的数字将起作用;对于SCTP,它类似,尽管如果流是流,则可能需要更多。
如果5元组的成员都是Wireshark中的“命名字段”,则可以使用带有-T fields
选项的TShark,并使用-e
选项指定要打印的字段,并选择具有时间戳的字段(frame.time_epoch
会给您时间,以秒和自UNIX时代以来的小数表示),适当大小的字段(frame.len
为您提供链路层数据包中的原始字节数PLUS任何元数据,例如802.11无线电信息的radiotap头),以及其他字段,然后将TShark的输出馈送到执行所需处理的脚本或程序。这使得TShark可以处理协议层,因此您的程序只需要处理生成的数据。
new_packet
事件 钩子到以获取你提到的数字。 - mavam