Question

ValueError：以下代码的tcpdump标头错误无效。

import dpkt

f = open('a.pcap')
pcap = dpkt.pcap.Reader(f)

for (src, sport, dst, dport, data) in udp_iterator(pc):

        if dport == 53:
            dns = dpkt.dns.DNS(data)
            if dns.opcode != dpkt.dns.DNS_QUERY:
                print "A DNS packet was sent to the nameserver, but the opcode was %d instead of DNS_QUERY (this is a software error)" % dns.opcode
            if dns.qr != dpkt.dns.DNS_Q:
                print "A DNS packet was sent to the name server, but dns.qr is not 0 and should be.  It is %d" % dns.qr
          print "DNS Query was: ", dns.qd[0].name
            print "ID is: ", dns.id
            print "Hello Dns query is ", dns.qr
            print  "Hello Query Type is ", dns.qd[0].type , type_table[dns.qd[0].type]
            print "Hello DNS Query was: ", dns.qd

帮助将受到高度赞赏。使用mergecap生成pcap，然后使用dpkt解析它，但错误显示如下：

File "/usr/local/lib/python2.7/dist-packages/dpkt/pcap.py",
    in __init__
    raise ValueError('invalid tcpdump header')
ValueError: invalid tcpdump header

Answer 1

使用＆＃34; capinfos a.pcap＆＃34;验证文件类型。并看第二行。

如果第一个文件以pcapng格式保存，mergecap将使用此格式作为输出文件。

根据man文件：

＆＃34;设置输出捕获文件的文件格式。 Mergecap可以用多种格式编写文件; mergecap -F提供可用输出格式的列表。 默认使用第一个输入文件的文件格式。＆＃34;

要解决此问题，您可以使用-F pcap。它看起来像这样：

mergecap first.pcap second.pcap -w output.pcap -F pcap

使用dpkt解析时使用mergecap生成的pcap导致无效的tcpdump标头

1 个答案: