python - 解包 TCP 片段给出不正确的结果

Question

我的数据包嗅探器有问题。目标端口和源端口在我的嗅探器中似乎是错误的。在 wireshark 中，端口与我的嗅探器完全不同。没有结果包含预期来自 TLS 的端口 443。 (整个 tcp 片段可能是错误的。)

是不是跟路由器有关系？
我也知道在 Windows 中进行嗅探存在一些问题。还是我的解包代码错了？我是否缺少 ip-header 和 tcp-fragment 之间的一些偏移量？

socket 代码:https://pastebin.com/tMuHgz0R

解包码:https://pastebin.com/9ZVfYNEE (完整代码)

  # Unpack tcp fragment
    def tcp_fragment(raw_data):
        tcp_header = struct.unpack('!HHLLBBHHH', raw_data[:20])
        source_port = tcp_header[0]
        destionation_port = tcp_header[1]
        sequence_number = tcp_header[2]
        acknowledgement_number = tcp_header[3]
        offset = tcp_header[4] >> 4
        reserved = tcp_header[4] & 0xF
        flags = get_tcp_flags(tcp_header[5])
        window = tcp_header[6]
        checksum = tcp_header[7]
        pointer = tcp_header[8]

        return {
            TCP_SOURCE_PORT: source_port,
            TCP_DESTINATION_PORT: destionation_port,
            TCP_SEQUENCE_NUMBER: sequence_number,
            TCP_ACKNOWLEDGEMENT_NUMBER: acknowledgement_number,
            TCP_OFFSET: offset,
            TCP_RESERVED: reserved,
            TCP_FLAGS: flags,
            TCP_WINDOW: window,
            TCP_CHECKSUM: checksum,
            TCP_POINTER: pointer,
            TCP_PAYLOAD_DATA: raw_data[20:]
        }

TCP header 结果:https://pastebin.com/7xhaEGer

相同数据包的 Wireshark 结果:

在此先感谢您提供的任何帮助。

Answer 1

好的，所以我设法解决了它。这是一个非常愚蠢的错误。我在解包 tcp 时忘记考虑 ip-header 位。

固定代码看起来像这样:

# Unpack tcp & ip
def ip_tcp(raw_data):
    iph = ip_header(raw_data)
    iph_length = iph[IP_IHL] * 4

    tcp = tcp_fragment(raw_data, iph_length)

    return (iph, tcp)


# Unpack tcp fragment
def tcp_fragment(raw_data, iph_length):
    tcp_header = struct.unpack('!HHLLBBHHH', raw_data[iph_length:iph_length + 20])
    source_port = tcp_header[0]
    destionation_port = tcp_header[1]
    sequence_number = tcp_header[2]
    acknowledgement_number = tcp_header[3]
    offset = tcp_header[4] >> 4
    reserved = tcp_header[4] & 0xF
    flags = get_tcp_flags(tcp_header[5])
    window = tcp_header[6]
    checksum = tcp_header[7]
    pointer = tcp_header[8]

    return {
        TCP_SOURCE_PORT: source_port,
        TCP_DESTINATION_PORT: destionation_port,
        TCP_SEQUENCE_NUMBER: sequence_number,
        TCP_ACKNOWLEDGEMENT_NUMBER: acknowledgement_number,
        TCP_OFFSET: offset,
        TCP_RESERVED: reserved,
        TCP_FLAGS: flags,
        TCP_WINDOW: window,
        TCP_CHECKSUM: checksum,
        TCP_POINTER: pointer,
        TCP_PAYLOAD_DATA: raw_data[iph_length + 20:]
    }