### 使用 Python 处理和打包 PCAP 文件 #### 1. 打包 PCAP 文件的基础概念 PCAP 是一种用于存储网络数据包的标准文件格式。要创建一个新的 PCAP 文件或将现有数据写入到新的 PCAP 文件中，可以使用 `struct` 库手动构建 PCAP 文件头和数据包包头[^1]。 以下是通过 Python 创建一个简单的 PCAP 文件的示例： ```python import struct from datetime import datetime def create_pcap_file(filename, packets): # 定义全局头部 (Global Header) global_header = ( b'\xd4\xc3\xb2\xa1' # Magic number b'\x02\x00' # Major version b'\x04\x00' # Minor version b'\x00\x00\x00\x00' # GMT to local correction b'\x00\x00\x00\x00' # Accuracy of timestamps b'\xff\xff\x00\x00' # Max length of captured packets b'\x01\x00\x00\x00' # Data link type (Ethernet) ) with open(filename, 'wb') as f: # 写入全局头部 f.write(global_header) for packet in packets: timestamp_sec = int(packet['timestamp']) timestamp_usec = int((packet['timestamp'] - timestamp_sec) * 1e6) packet_data = packet['data'] # 构建包头部 (Packet Header) packet_header = struct.pack( '=IIII', timestamp_sec, timestamp_usec, len(packet_data), len(packet_data) ) # 写入包头部和数据 f.write(packet_header) f.write(packet_data.encode()) # 示例数据包列表 packets = [ {'timestamp': datetime.now().timestamp(), 'data': 'First Packet'}, {'timestamp': datetime.now().timestamp() + 1, 'data': 'Second Packet'} ] create_pcap_file('output.pcap', packets) ``` 此代码片段展示了如何定义并写入 PCAP 的全局头部以及单个数据包的数据部分[^1]。 --- #### 2. 常见的第三方库支持 除了手动编写外，还可以利用一些成熟的第三方库简化操作过程。常用的库如下： ##### a. **Scapy** Scapy 是一个强大的交互式数据包操控程序，能够轻松地读取、修改和生成 PCAP 文件。 - Scapy 提供了内置函数 `wrpcap()` 和 `rdpcap()` 来分别保存和加载 PCAP 数据[^2]。 示例代码： ```python from scapy.all import Ether, IP, TCP, wrpcap # 创建自定义数据包 pkt1 = Ether(dst="ff:ff:ff:ff:ff:ff") / IP(src="192.168.1.1", dst="192.168.1.2") / TCP(dport=80) / "GET / HTTP/1.1" pkt2 = Ether(dst="ff:ff:ff:ff:ff:ff") / IP(src="192.168.1.2", dst="192.168.1.1") / TCP(sport=80) / "HTTP/1.1 OK" # 将多个数据包保存至 PCAP 文件 packets = [pkt1, pkt2] wrpcap("custom_output.pcap", packets) ``` ##### b. **PyShark** PyShark 是基于 tshark 工具的一个封装库，主要用于解析已有的 PCAP 文件。虽然 PyShark 更适合于解码而非编码，但它也可以间接完成某些打包需求[^3]。 安装命令： ```bash pip install pyshark ``` --- #### 3. 转换 PCAP 到其他格式 如果目标是从 PCAP 文件转换成其他形式（如 JSON 或 CSV），则可以通过以下方式实现： ##### 方法一：使用 Scapy 导出为 JSON Scapy 支持将数据包序列化为字典结构，从而方便导出为 JSON 格式。 示例代码： ```python import json from scapy.all import rdpcap # 加载已有 PCAP 文件中的数据包 packets = rdpcap("input.pcap") # 将每个数据包转为字典 json_packets = [] for packet in packets: layer_dict = {} if packet.haslayer(IP): ip_layer = packet.getlayer(IP) layer_dict["src"] = ip_layer.src layer_dict["dst"] = ip_layer.dst if packet.haslayer(TCP): tcp_layer = packet.getlayer(TCP) layer_dict["sport"] = tcp_layer.sport layer_dict["dport"] = tcp_layer.dport json_packets.append(layer_dict) # 输出为 JSON 文件 with open("output.json", "w") as f: json.dump(json_packets, f, indent=4) ``` ##### 方法二：使用 Pandas 转换为 CSV Pandas 可以帮助快速整理复杂的数据集，并将其保存为表格型文件。 示例代码： ```python import pandas as pd from scapy.all import rdpcap packets = rdpcap("input.pcap") data = [] for packet in packets: row = { "Source": None, "Destination": None, "Protocol": None, "Length": len(packet) } if packet.haslayer(IP): row["Source"] = packet[IP].src row["Destination"] = packet[IP].dst row["Protocol"] = packet[IP].proto data.append(row) df = pd.DataFrame(data) df.to_csv("output.csv", index=False) ``` --- #### 总结 无论是手动还是借助工具，Python 都提供了灵活的方式来处理 PCAP 文件。对于简单场景可直接调用标准库；而对于更复杂的任务，则推荐采用功能丰富的外部库如 Scapy 或 PyShark。