python - 不是 pcap 捕获文件(坏魔法)-scapy python

Question

我在尝试打开 .pcap 文件时遇到问题。在 scapy.utils 中有 RawPcapReader

    try:
        self.f = gzip.open(filename,"rb")
        magic = self.f.read(4)
    except IOError:
        self.f = open(filename,"rb")
        magic = self.f.read(4)
    if magic == "\xa1\xb2\xc3\xd4": #big endian
        self.endian = ">"
    elif  magic == "\xd4\xc3\xb2\xa1": #little endian
        self.endian = "<"
    else:
        raise Scapy_Exception("Not a pcap capture file (bad magic)")
    hdr = self.f.read(20)
    if len(hdr)<20:
        raise Scapy_Exception("Invalid pcap file (too short)")

我的 magic 的值为 "\n\r\r\n"但 RawPcapReader 期望 magic == "\xa1\xb2\xc3\xd4"或 magic == "\xd4\xc3\xb2\xa1".

你能告诉我可能是什么问题吗？使用 .pcap 文件？我正在使用 python 版本 2.7

Answer 1

"\n\r\r\n"(\x0A\x0D\x0D\x0A) 的神奇值表明你的文件实际上是 .pcapng 格式，而不是 libpcap

解决方法很简单

在 Wireshark 中“另存为”:Wireshark/tcpdump - pcap

或者使用 tshark:

$tshark -r old.pcapng -w new.pcap -F libpcap