Question

我正在尝试使用dpkt库从pcap文件列表中检索5元组信息。要使用VLAN标记解析PPPoE数据包，我会编写这样的代码（仅用于测试）：

import dpkt
import socket

def decode(pc):
    for ts, pkt in pc:
        eth = dpkt.ethernet.Ethernet(pkt)
        pppoe = dpkt.pppoe.PPPoE(eth.data)
        ip = pppoe.data
        if ip.p == dpkt.ip.IP_PROTO_UDP:
            udp = ip.data
            yield(ip.src, udp.sport, ip.dst, udp.dport, ip.v)
        else: pass

def test():
    pc = dpkt.pcap.Reader(open('epon.pcap','rb'))
    for src, sport, dst, dport, ip_version in decode(pc):
        print "from", socket.inet_ntoa(src),":",sport, " to ",socket.inet_ntoa(dst),":",dport

test()

结果是错误，这意味着解析是错误的：

AttributeError: 'str' object has no attribute 'p'

那么正确的代码应该是什么样的呢？我是一个Python初学者，dpkt源代码真的让我很困惑......

Answer 1

你拥有的捕获在vlan（堆积的vlan）中有一个vlan。

如果不修改dpkt库，则需要手动解析第二个VLAN。

你将遇到的另一个问题是pppoe的有效负载是ppp而不是ip。

您可以将代码更改为以下内容：

import struct

...

def decode(pc):
for ts, pkt in pc:
    eth = dpkt.ethernet.Ethernet(pkt)
    if eth.type == dpkt.ethernet.ETH_TYPE_8021Q:
         eth.tag, eth.type = struct.unpack('>HH', eth.data[:4])
         eth.data = eth.data[4:]
    pppoe = dpkt.pppoe.PPPoE(eth.data)
    ppp = pppoe.data
    ip = ppp.ip
    if ip.p == dpkt.ip.IP_PROTO_UDP:
        udp = ip.data
        yield(ip.src, udp.sport, ip.dst, udp.dport, ip.v)
    else: pass

使用dpkt解析PPPoE数据包

1 个答案: