python scapy 捕获与解析数据包的源码解析

scapy 是一个python编写的功能强大的网络数据包操作库，可以仿造，捕获和解析大量不同协议类型的数据包。

1 scapy 安装与交互使用

可参考 http://scapy.readthedocs.io/en/latest/usage.html

注意事项：

安装 graphviz 和 ImageMagick
>>> yum install graphviz
>>> pip install graphviz
>>> yum install ImageMagick

p = rdpcap('test.cap') # 手册中使用了 readpcap 接口没有定义；
p.conversations(type='jpg', target="> test.jpg")

详细请参考 http://blog.csdn.net/chirebingxue/article/details/50393755

2 sniff 捕获数据包

使用 scapy，可以很容易的捕获特定数据包，达到 tcpdump 和 tshark 在数据捕获方面的效果。可以按照端口，捕获一个或多个端口的数据包。如果不给定端口，默认会捕获所有端口的数据。

sniff(count=0, store=1, offline=None, prn=None, lfilter=None, L2socket=None, timeout=None, opened_socket=None, stop_filter=None, iface=None, *arg, **karg)

返回PacketList类型的数据包对象；

count: 要捕获数据包的总数. 0 表示无限制；
store: 是否要保存捕获的数据包；
prn: 回调函数，会作用于每个数据包
             ex: prn = lambda x: x.summary()
lfilter: 过滤函数，不满足条件的数据包会被丢弃；
             ex: lfilter = lambda x: x.haslayer(Padding)
offline: 从pcap文件中读取数据包；
timeout: 捕获指定时间内的数据包；
L2socket: 通过给定的 L2socket 进行数据捕获；
opened_socket:  通过给定的 socket 进行数据捕获；
stop_filter: 过滤函数，满足条件后将结束数据捕获；
                 ex: stop_filter = lambda x: x.haslayer(TCP)
iface: 指定端口或端口数组

注意： lfiter 是回调函数，filter 是BPF 字符串，不要混淆！

sniff 接口源码： /python/site-packages/scapy/sendrecv.py
可阅读源码理解sniff的工作逻辑。

sniff 使用示例：

>>> sniff(filter="icmp and host 66.35.250.151",count=2)
>>> sniff(iface="wifi0",prn=lambdax:x.summary())
>>> sniff(iface="eth1",prn=lambdax:x.show())
>>> sniff(iface=["eth1","eth2"],prn=lambdax:x.sniffed_on+": "+x.summary())
>>> sniff(filter="icmp and host 66.35.250.151", count=2)
>>> pkts = sniff(offline="temp.cap")

使用自定义回调函数；

#! /usr/bin/env python
from scapy.all import *
def arp_monitor_callback(pkt):
    if ARP in pkt and pkt[ARP].op in (1,2): #who-has or is-at
        return pkt.sprintf("%ARP.hwsrc% %ARP.psrc%")

sniff(prn=arp_monitor_callback, filter="arp", store=0)

filter 的规则使用 Berkeley Packet Filter（BPF）语法！
过滤规则有三种类型的限定词，分别为 type，dir，和proto
1 type： 可以是host，net，port

host foo
net 128.3
port 20

用以限定——主机，网络，端口

2 dir 方向限定词：src，dst

’src foo’, ’dst net 128.3’, ’src or dst port ftp-data’

限定数据流的方向；src 192.168.10.11，表示所有从主机192.168.10.11发出的数据包。

3 proto 协议限定词：ether，fddi，ip，arp，rarp，decnet，tcp，udp等等

’ether src foo’, ’arp net 128.3’, ’tcp port 21’

4 逻辑连接符： and(&&), or(|), not(!)

详细请参考 http://www.cnblogs.com/JohnABC/p/5914543.html

3 PacketList 常用接口与源码分析

PacketList类源码： /python/site-packages/scapy/plist.py

>>> pkts = sniff(filter='ip src host 200.200.200.44'， count=10)
>>> pkts.summary()
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "15.9.0.20.in-addr.arpa." 
Ether / IP / UDP / DNS Qry "www.baidu.com." 
Ether / IP / ICMP 200.200.200.44 > 61.135.169.125 echo-request 0 / Raw
Ether / IP / UDP / DNS Qry "125.169.135.61.in-addr.arpa." 
Ether / IP / ICMP 200.200.200.44 > 61.135.169.125 echo-request 0 / Raw

如上所示，pkts是一个PacketList对象，pkts.res 是一个由packet组成的list。在对数据包组进行遍历时，会用到。

summary 接口：

 91     def summary(self, prn=None, lfilter=None):
 92         """prints a summary of each packet
 93 prn:     function to apply to each packet instead of lambda x:x.summary()
 94 lfilter: truth function to apply to each packet to decide whether it will be displayed"""
 95         for r in self.res:                                                                                                                                                               
 96             if lfilter is not None:
 97                 if not lfilter(r):
 98                     continue
 99             if prn is None:
100                 print self._elt2sum(r)
101             else:
102                 print prn(r)

默认会调用私有方法 _elt2sum() 打印出包信息，也可以自定义回调处理函数，summary会打印自定义函数的返回结果，也可以添加过滤函数。

filter() : 根据返回过滤后的数据包 list。
make_table(): 将数据包信息按照定义的格式打印为数据表；

>>> ans.make_table( lambda (s,r): (s.dst, s.ttl, r.src) )
216.15.189.192 216.15.189.193 216.15.189.194 216.15.189.195
1 192.168.8.1 192.168.8.1 192.168.8.1 192.168.8.1
2 81.57.239.254 81.57.239.254 81.57.239.254 81.57.239.254
3 213.228.4.254 213.228.4.254 213.228.4.254 213.228.4.254
4 213.228.3.3 213.228.3.3 213.228.3.3 213.228.3.3
5 193.251.254.1 193.251.251.69 193.251.254.1 193.251.251.69
6 193.251.241.174 193.251.241.178 193.251.241.174 193.251.241.178

conversations()：绘制捕获后数据的会话图；

284     def conversations(self, getsrcdst=None,**kargs):
285         """Graphes a conversations between sources and destinations and display it
286         (using graphviz and imagemagick)
287         getsrcdst: a function that takes an element of the list and
288                    returns the source, the destination and optionally
289                    a label. By default, returns the IP source and
290                    destination from IP and ARP layers
291         type: output type (svg, ps, gif, jpg, etc.), passed to dot's "-T" option
292         target: filename or redirect. Defaults pipe to Imagemagick's display program
293         prog: which graphviz program to use"""
294         if getsrcdst is None:
295             def getsrcdst(pkt):
296                 if 'IP' in pkt:
297                     return (pkt['IP'].src, pkt['IP'].dst)
298                 if 'ARP' in pkt:
299                     return (pkt['ARP'].psrc, pkt['ARP'].pdst)
300                 raise TypeError()
301         conv = {}
302         for p in self.res:
303             p = self._elt2pkt(p)
304             try:
305                 c = getsrcdst(p)
306             except:
307                 # No warning here: it's OK that getsrcdst() raises an
308                 # exception, since it might be, for example, a
309                 # function that expects a specific layer in each
310                 # packet. The try/except approach is faster and
311                 # considered more Pythonic than adding tests.
312                 continue
313             if len(c) == 3:
314                 conv.setdefault(c[:2], set()).add(c[2])
315             else:
316                 conv[c] = conv.get(c, 0) + 1
317         gr = 'digraph "conv" {\n'
318         for (s, d), l in conv.iteritems():
319             gr += '\t "%s" -> "%s" [label="%s"]\n' % (
320                 s, d, ', '.join(str(x) for x in l) if isinstance(l, set) else l
321             )
322         gr += "}\n"        
323         return do_graph(gr, **kargs)

getsrcdst 是提取会话的源点与目的点的函数，如上所示默认情况是使用以下函数：

294         if getsrcdst is None:
295             def getsrcdst(pkt):
296                 if 'IP' in pkt:
297                     return (pkt['IP'].src, pkt['IP'].dst)
298                 if 'ARP' in pkt:
299                     return (pkt['ARP'].psrc, pkt['ARP'].pdst)
300                 raise TypeError()

以 IP 源地址与目的地址为结果！graphviz的详细介绍请参考：
http://blog.csdn.net/chirebingxue/article/details/50393755