以下是一个使用 Python 和 Scapy 实现从网络数据包中提取邮件通信内容和附件内容并还原的示例代码。为了实现这一目标，我们需要捕获网络流量，并解析其中的 SMTP 协议数据包（或其他相关协议如 IMAP、POP3 等）。 ### 示例代码 ```python from scapy.all import sniff, TCP, IP, Raw import email from email.policy import default import os # 保存附件的目录 ATTACHMENT_DIR = "attachments" if not os.path.exists(ATTACHMENT_DIR): os.makedirs(ATTACHMENT_DIR) def extract_email_content(packet): """从数据包中提取邮件内容""" if packet.haslayer(Raw) and packet.haslayer(TCP): # 检查是否是SMTP端口 (通常是25, 或者其他自定义端口) if packet[TCP].dport == 25 or packet[TCP].sport == 25: try: # 尝试将原始负载解析为邮件内容 raw_payload = packet[Raw].load.decode('utf-8', errors='ignore') msg = email.message_from_string(raw_payload, policy=default) # 提取发件人、收件人和主题 print(f"From: {msg['From']}") print(f"To: {msg['To']}") print(f"Subject: {msg['Subject']}") # 提取正文 if msg.is_multipart(): for part in msg.iter_parts(): content_type = part.get_content_type() content_disposition = str(part.get("Content-Disposition")) if content_type == "text/plain" and "attachment" not in content_disposition: body = part.get_payload(decode=True).decode(part.get_content_charset(), errors='ignore') print(f"Body:\n{body}") elif "attachment" in content_disposition: # 保存附件 filename = part.get_filename() if filename: filepath = os.path.join(ATTACHMENT_DIR, filename) with open(filepath, 'wb') as f: f.write(part.get_payload(decode=True)) print(f"Attachment saved: {filepath}") else: body = msg.get_payload(decode=True).decode(msg.get_content_charset(), errors='ignore') print(f"Body:\n{body}") except Exception as e: print(f"Error processing packet: {e}") def sniff_emails(interface="eth0"): """嗅探指定接口上的邮件流量""" print(f"Sniffing emails on interface {interface}...") sniff(iface=interface, prn=extract_email_content, store=False) if __name__ == "__main__": # 替换为你的网络接口名称 sniff_emails(interface="eth0") ``` --- ### 代码解释 1. **模块导入**： - `scapy.all`：用于捕获和解析网络数据包。 - `email`：用于解析邮件内容。 - `os`：用于创建保存附件的目录。 2. **函数 `extract_email_content`**： - 检查数据包是否有 `Raw` 层和 `TCP` 层。 - 判断是否为目标端口（如 SMTP 的 25 端口）。 - 使用 `email.message_from_string` 解析邮件内容。 - 提取发件人、收件人、主题等信息。 - 如果邮件包含多部分（如正文和附件），分别处理每个部分。 - 对于附件，提取文件名并保存到本地目录。 3. **函数 `sniff_emails`**： - 使用 `sniff` 函数捕获指定网络接口上的数据包。 - 调用 `extract_email_content` 处理每个数据包。 4. **主程序**： - 设置网络接口（例如 `"eth0"`）。 - 开始嗅探邮件流量。 --- ### 注意事项 1. **权限问题**： - 运行此脚本需要管理员权限（Linux 上使用 `sudo`）。 - 确保你有合法权限捕获和分析网络流量。 2. **依赖安装**： - 安装 Scapy：`pip install scapy` - 安装 email 模块（通常已包含在标准库中）。 3. **适用场景**： - 此脚本适用于捕获和解析基于明文传输的邮件流量（如 SMTP）。 - 如果邮件使用加密（如 TLS/SSL），则需要额外的解密步骤。 --- ###