linux - 如何从 pcap 中提取特定的子层？

Question

如何从 pcap 文件中提取特定的子层？例如，所有数据包都包含这些层:Ethernet、IP、SCTP，...我需要从 中提取数据包的十六进制代码code>SCTP 层上。我可以使用以下命令使用 tshark 提取数据包:

tshark -x -r mylog.pcap

但输出的十六进制数据包包含所有层，包括Ethernet 和IP。如何在提取的输出中排除 Ethernet 和 IP 层？

Answer 1

您可以使用 python + scapy使用 p.getlayer(SCTP) 或任何其他层在每个数据包中选择给定层。

你的pcap文件的内容可以是read使用:

capture=rdpcap("/path/to/mylog.pcap")

用类似的东西处理

for pkt in capture:
   print pkt.getlayer(SCTP)

打开一个文件:

>>> a=rdpcap("/spare/captures/isakmp.cap")
>>> a
<isakmp.cap: UDP:721 TCP:0 ICMP:0 Other:0>

检查 http://www.secdev.org/projects/scapy/doc/usage.html#index-9