Python 没有根的 Scapy 嗅探

Question

我想知道是否有可能运行 Scapy 的 'sniff(...)' 没有 root 权限。

它用在应用程序中，其中捕获了某些包。但我不想运行整个应用程序具有 root 权限或更改 scapy 本身的任何内容。

提前致谢！

编辑：

我使用以下代码进行测试：

from scapy.all import *

def arp_monitor_callback(pkt):
    if ARP in pkt and pkt[ARP].op in (1,2): #who-has or is-at
        return pkt.sprintf("%ARP.hwsrc% %ARP.psrc%")

sniff(prn=arp_monitor_callback, filter="arp", store=0)

我只能使用 sudo 运行它。

我尝试使用 sudo setcap 'cap_net_admin=+eip' test.py 设置功能。但它没有显示任何效果。即使 all 功能也无济于事。

Answer 1

您需要为二进制文件设置功能运行连接您的脚本，即：python 和 tcpdump 如果您希望能够以 ./test.py 的形式执行脚本：

setcap cap_net_raw=eip /usr/bin/pythonX.X
setcap cap_net_raw=eip /usr/bin/tcpdump

其中 X.X 是您用于运行脚本的 python 版本。

（请注意，您系统上的路径可能不同）

请注意，这允许任何人在您的系统上打开原始套接字。

Answer 2

虽然提供的解决方案在技术上是正确的，但由于直接在 /usr/bin 中的二进制文件上设置文件功能，它有一个缺点，即允许系统中的任何人打开原始套接字。

实现预期结果的另一种方法 - 脚本运行只是 CAP_NET_RAW - 是使用环境功能。这可以通过利用一个小的辅助二进制文件来完成，该二进制文件将环境功能和 exec() 设置为 python 解释器。有关参考，请参阅 this gist。

使用参考实现，假设将正确的文件功能分配给 ./ambient:

$ sudo setcap 'cap_net_raw=p' ambient

您的脚本将启动为：

$ ./ambient -c '13' /usr/bin/python ./test.py

请注意：

13 是 CAP_NET_RAW 根据 capability.h
环境功能自内核 4.3 起可用
您可以使用 pscap 来验证进程是否在其有效集中启动时具有所需的功能

为什么这个方法有效？

环境能力在 exec() 调用中保留（因此传递给所有随后创建的子进程）并在它们的有效集合中提升，例如由 python 脚本调用的二进制文件或 tcpdump 调用的 python 解释器。这当然是一种简化，有关功能集之间转换的完整描述，请参阅 capabilities(7)

Python 没有根的 Scapy 嗅探

Python Scapy sniff without root

sniffing

scapy

python-2.7

linux-capabilities