python - Scapy - 如何剖析以太网拖车字段

Question

我正在使用 F5 Networks Big-IP 产品，该产品附加了一个自定义以太网 II 尾帧以进行调试。我正在尝试使用 Scapy 为这个预告片绑定(bind)一个新图层，但我无法这样做。

我可以在 Padding 字段中看到感兴趣的有效负载，但使用 bind_layers 并不能正确剖析所需的 Padding 部分。

class MyEthTrailer(Packet):
    name = "Ethernet Trailer"
    fields_desc = [ ####Fields Mapping Section ]
    def dissect(self, s):
        self.payl,self.pad = self.extract_padding(s)
        s = self.do_dissect(self.pad)

我正在考虑的一个解决方案是创建一个新的以太网替换类(或重载)，然后我可以引用典型的以太网有效负载和我的新预告片。但我不是 super Python/scapy 程序员，我不确定这是否是最佳选择。

这就是我应用 bind_layers(TCP,MyEthTrailer) 后 Scapy 当前映射我的数据包的方式。我应该解析的信息在 Padding 类中

<Ether  dst=00:00:00:00:00:00 src=00:00:00:00:00:01 type=0x8100 |<Dot1Q  prio=0L id=0L vlan=01L type=0x800 |<IP  version=4L ihl=5L tos=0x0 len=67 id=1 flags=DF frag=0L ttl=255 proto=tcp chksum=0x01 src=10.0.0.1 dst=10.0.1.1 options=[] |<TCP  sport=1111 dport=https seq=1 ack=1 dataofs=5L reserved=0L flags=PA window=4380 chksum=0xb718 urgptr=0 options=[] |<MyEthTrailer  |<Padding  load='\xPayload of MyEtherTrailer' |>>>>>>

[更新-1]

我可以通过调用强制解码 TCP SYN 数据包:

packet[TCP].decode_payload_as(MyEthTrailer)

但是，bind_layers 方法似乎不能自动工作，并且这不适用于更复杂的数据包，因为它混合了 TCP 填充和 MyEthTrailer 有效负载。

[更新-2]

我让它部分工作，但每个数据包都需要正确转换，然后我可以读取预告片有效负载并对其进行解码。例如，如果一个数据包是 TCP/DNS/MyEthTrailer，这将起作用。如果我不知道它是 DNS，并且它没有正确设置，它仍然混合在 TCP 有效负载和填充中。

感谢您的帮助。

Answer 1

我可以通过重载我的新自定义类 MyEthTrailer 的 pre_dissect 函数来做到这一点。我尝试解析具有填充的最后一层的有效负载，并验证它是否具有正确的长度。
这是处理两件事:
第 1 部分解剖部分

class MyEthTrailer(Packet):
    def pre_dissect(self,s):
        verify_if_payload_is_mine_and_assign_fields()

第 2 部分手动强制有效载荷解码

_debug=True

if re.match(r'F5\-Pseudo-\pkt.+tcpdump',str(packets[0][Raw])):
        if re.match(r'.+CMD\:.+\-s0.+VER\:.+',str(packets[0][Raw])): has_F5_trailer=True
        if re.match(r'.+CMD\:.+\:nnn.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=3
        elif re.match(r'.+CMD\:.+\:nn.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=2
        elif re.match(r'.+CMD\:.+\:n.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=1
        else:
            if _debug: print "No F5 EthTrailer F5_Noise_level visible from packets[0]"
    if has_F5_trailer:
        #Skip the F5 first packet, which only contains the info. 
        for pk in packets[1:]:
            try:
                if isinstance(pk.lastlayer(),Padding):
                    pk.lastlayer().underlayer.decode_payload_as(MyEthTrailer)
            except:
                #Errorhandling

如果有人感兴趣，我会将整个解决方案发布到 Github 并在此处更新。