需要帮助输出源和目标端口号给用户，使用Python读取pcap文件和dpkt

Question

大家好，这是我第一次使用Python编程语言进行PCAP编程，这是大学的一项任务，除了一个小细节，我大部分都得到了完成任务所需的一切。

我只需要获得与IP地址关联的源和目标端口号（例如HTTP端口80）的输出。

我很高兴答案是指向正确的方向，以帮助我为自己解决问题。否则，如果它更容易被回答，我想对所使用的内容及其如何解决问题进行基本解释，以便我在学习和研究中进行更多未来的PCAP编程时能更好地理解它。

这是在运行FreeBSD 10.3的Unix系统上使用的

我已经尝试使用dpkt.tcp，dpkt.udp，dpkt.ip库以及尝试了一些套接字库来查看我是否可以实现我正在寻找的结果，但没有太多运气。老实说，我不确定我需要用什么。

编辑：我确实尝试使用tcp.sport和tcp.dport，仍然没有运气。

主要关注领域是我添加评论的地方。

import datetime
import time
import sys
import dpkt
import socket

def printPcap(pcap):
    for (ts,buf) in pcap:
        try:
            eth = dpkt.ethernet.Ethernet(buf)
            if eth.type == dpkt.ethernet.ETH_TYPE_IP:
                ip = eth.data
                ipsrc = socket.inet_ntoa(ip.src)        
                ipdst = socket.inet_ntoa(ip.dst)

                srcport = ??? ###Stuck here for source port
                dstport = ??? ###Stuck here for destination port

                if ip.p == dpkt.ip.IP_PROTO_TCP:        
                    TCP = ip.data
                    iptype = 'tcp'
                elif ip.p == dpkt.ip.IP_PROTO_UDP:   
                    UDP = ip.data
                    iptype = 'udp'
                len = str(ip.len)
                ttl = str(ip.ttl)

                ###My current output
                print '[' +str(datetime.datetime.utcfromtimestamp(ts))+ '] - ' \
                        +ipsrc+ ':' +srcport+ ' -> ' +ipdst+ ':' +dstport+ \
                        ' ('+iptype+', len='+len+', ttl='+ttl+')'

        except:
            pass

样本预期输出：

[2018-08-16 02:48:10.238506] - 172.16.11.2:61016 -> 172.16.10.2:80 (tcp, len=52, ttl=63)

Answer 1

问题是你的print语句是假的，但是你用“bare except”隐藏了它。正是出于这个原因，使用bare except被认为是python中非常糟糕的练习。另见这个问题的答案：Should I always specify an exception type in `except` statements?

具体来说，您的print语句正在尝试将整数连接到无效的字符串。

所以，修复，并与：

                if ip.p == dpkt.ip.IP_PROTO_TCP:
                    TCP = ip.data
                    iptype = 'tcp'
                    srcport = TCP.sport
                    dstport = TCP.dport
                elif ip.p == dpkt.ip.IP_PROTO_UDP:
                    UDP = ip.data
                    iptype = 'udp'
                    srcport = UDP.sport
                    dstport = UDP.dport

这个打印声明，它的工作原理：

                print("[{}] - {}:{} -> {}:{} ({}, len={}, ttl={})".format(
                      datetime.datetime.utcfromtimestamp(ts), ipsrc, srcport,
                      ipdst, dstport, iptype, len, ttl))

最后，至少，我会将您的except子句更改为类似的内容，以便在将来检测此类问题：

        except Exception as exc:
            print("Exception: {}".format(exc))

（请注意，我在这里使用了python3兼容的打印函数语法，这也适用于python2的print语句。）

编辑： 还有一件事发生在我身上。如果遇到的第一个IP数据包既不是TCP也不是UDP，则不会定义srcport和dstport，这将导致AttributeError异常。离开那个让你清理。

Answer 2

也许使用ip.data获取TCP数据包和sport和/或dport？

ip = eth.data

if ip.p == dpkt.ip.IP_PROTO_TCP:
    tcp = ip.data
    print('source port: {}, dest port: {}'.format(tcp.sport, tcp.dport))