Python scapy抓包程序-CSDN博客

本文介绍了如何使用Python的Scapy库进行网络抓包，包括解决Windows7环境下Scapy的安装问题，利用sniff函数进行数据包捕获，并探讨了Scapy不识别HTTP层的情况。同时，讨论了TCP的1500字节MTU限制及分片传输，通过Wireshark分析TCP分片并在回调函数中进行判断和记录。

尝试使用Python scapy 包中 sniff 函数写个简单的抓包程序，sniff 抓取数据包并写入本地文件

1. 安装scapy，windows7 系统需要先安装 npcap，pip 之后，简单尝试scapy命令，发现提示 warning: No route found ,网上都是ipv6的问题，自己尝试解决，运行scapy的conf.route命令，结果只有一个虚拟网卡，其他网卡信息没有读取，估计是npcap的问题，在安装npcap时提示win7需要kb4474419补丁，下载安装后问题解决。

2. 使用sniff函数，可以在filter 中定义抓取的条件，在抓取过程中使用回调函数完成写入文件操作。

3. sniff不会识别http层，需要安装scapy_http 包，pip安装后发现没有用，查看源码

bind_layers(TCP, HTTP, dport=80)
bind_layers(TCP, HTTP, sport=80)

原来是绑定了端口，看看源码大概是通过raw层头部信息来判断，如有get post字符的是http request。放弃http包，自己尝试写在回调函数中

4. tcp 传输过程中会有1500字节最大传输单元限制，包括tcp头部信息等内容，单次传输大概1480字节，分片传输后在重新组合。在抓包的数据中分辨不出来是http request还是http response，使用wireshark软件查看，这种分片情况会标记 tcp segment of a reassembled PDU，可以通过ip 端口等信息判断，对于同一源ip端口和目的源ip端口，相同的接收长度ack，发送长度seq不同的数据包为tcp分片传输。写入文件时标记[tcp segment]，上一数据包seq ack信息字典形式保存到内存中

源码如下

from scapy.all import *
from io import StringIO
import json
def fun_scapy():
    print('start sniff packet')
    if os.path