Python使用Scapy抓取网络包并保存与解析PCAP文件

陈默

发布时间：2026-10-13 | 5人浏览过

原创

本文介绍如何使用Python的Scapy库进行网络抓包，并将捕获的数据包保存为PCAP文件。通过配置BPF过滤规则和回调函数，可实现对特定网络流量的筛选与处理。随后演示如何读取生成的PCAP文件，按会话（Session）划分数据，并提取TCP负载进行解析，为网络数据分析提供实用参考。

使用Scapy进行网络抓包与保存

首先进行网络抓包操作，这里采用Python中的scapy模块来实现。

在scapy中，sniff()函数用于捕获数据包。当该函数的参数指定为本地文件路径时，其作用是打开并读取指定的本地文件。

若sniff()函数的参数设置为BPF过滤规则以及一个回调函数，则程序将执行实时抓包操作。其中，回调函数的主要功能是对捕获到的每一个数据包进行后续处理。


import os
from scapy.all import *
 
pkts=[]
count=0
pcapnum=0
filename=''
 
def test_dump_file(dump_file):
  print "Testing the dump file..."
  
  if os.path.exists(dump_file):
    print "dump fie %s found." %dump_file
    pkts=sniff(offline=dump_file)
    count = 0
    while (count<=2):                   
      print "----Dumping pkt:%s----" %dump_file
      print hexdump(pkts[count])
      count +=1
  else:
    print "dump fie %s not found." %dump_file
 
def write_cap(x):
  global pkts
  global count
  global pcapnum
  global filename
  pkts.append(x)
  count +=1
  if count ==3:             <span style="font-family: Arial, Helvetica, sans-serif;">#每3个TCP操作封为一个包（为了检测正确性，使用时尽量增多）</span>
 
  
  pcapnum +=1
  pname="pcap%d.pcap"%pcapnum
  wrpcap(pname,pkts)
  filename ="./pcap%d.pcap"%pcapnum
  test_dump_file(filename)
  pkts=[]
  count=0
    
 
 
 
if __name__=='__main__':
  print "Start packet capturing and dumping ..."
  sniff(filter="dst net 127.0.0.1 and tcp",prn=write_cap)   #BPF过滤规则

PCAP文件的解析与会话处理

接下来是对已保存的pcap文件进行解析。程序会自动查找并处理下一个pcap文件，并根据源IP地址（src.ip）和目标IP地址（dst.ip）对数据包进行会话划分。


# -*- coding: cp936 -*-
import re
import zlib
import os
 
from scapy.all import *
num=1
a=rdpcap("pcap1.pcap")               #循环打开文件
while True:
  try:
    num+=1
    file_name="pcap%d.pcap" % num
    b=rdpcap(file_name)
    a=a+b
  except:
    break
    print "[*] Read pcap file ok"
  
 
 
print "[*] Begin to parse pcapfile..."
print a
try:
  #print "[*] OPen new pcap_file %s" % pcap_file
  sessions=a.sessions()
  for session in sessions:
    print "[*]New session %s" % session
    data_payload=""
    for packet in sessions[session]:
      try:
        data_payload +=str(packet[TCP].payload)
        print "[**] Data:%s" % data_payload
      except:
        pass
except:
  print "[*]no pcapfile..."

以上即为Python抓包保存为pcap文件并进行解析的完整实例分享，希望能为读者提供有价值的参考，并欢迎大家继续支持本站获取更多技术内容。