在 python 中解析原始 .pcap 流

Question

首先让我描述一下我的项目的架构。我通过使用 tcpdump ... | nc <vm_addr> 1111 从路由器转储数据包，将它们转换为虚拟机，虚拟机有很多内存用于此目的。

在虚拟机上，我计划使用我的 python 脚本读取数据包，然后根据数据包使用的端口对数据包进行排序。

我想知道哪种方法最好，因为大多数 python pcap 库都可以从文件中读取，但不能从套接字或文件处理程序中读取。

Answer 1

pypcap怎么样？

$ sudo apt-get install libpcap-dev

$ pip install pypcap

套接字可以像文件一样读写。参见 this Whosebug question。对于突发流量，实现循环和一些（StringIO 或文件）缓冲可能是个好主意。