0

我有一些 pcap 文件，我需要从中提取一些信息，这些数据包是混合的，一些是原始 IP，另一些包含以太网帧。

我需要在解析之前有条件地检查数据包的类型，因为带有以太网帧的数据包可以被解析为：

for ts, buf in pkts:
    if buf contains_ethernet:
        eth = dpkt.ethernet.Ethernet(buf)
        if eth.type == dpkt.ethernet.ETH_TYPE_IP:
            ip = eth.data
        else:
            continue
    else:
        ip = dpkt.ip.IP(buf)

如何将其定义contains_ethernet为布尔值或条件？

4

1 回答 1

1

pcap 头文件定义了捕获的链接类型（以太网、原始 IP、...）

在处理数据包之前，您应该使用 dpkt.pcap.Reader() 对象的 datalink() 来获取 pcap 文件的链接类型。根据您的脚本示例：

if <<dpkt.pcap.Reader>>.datalink() == LINKTYPE_ETHERNET: ## Process Ethernet frame elif <<dpkt.pcap.Reader>>.datalink() == LINKTYPE_RAW: ## Processs Raw IP datagram else: ## Other link types

以下是链接类型列表：http ://www.tcpdump.org/linktypes.html

LINKTYPE_ETHERNET 用于以太网，LINKTYPE_RAW 用于原始 IP

于 2020-05-29T13:26:02.033 回答