pyshark

غلاف بايثون لـ tshark، يسمح بتحليل حزم بايثون باستخدام محللات wireshark.

الوثائق الموسعة: http://kiminewt.github.io/pyshark

نبحث عن مساهمين - لأسباب مختلفة، أجد صعوبة في إيجاد وقت لصيانة وتحسين الحزمة في الوقت الحالي. سيتم مراجعة أي طلبات سحب، وإذا كان أي شخص مهتمًا ومناسبًا، سيسعدني إدراجه في المشروع. لا تتردد في مراسلتي على البريد الإلكتروني [email protected].

هناك العديد من وحدات تحليل حزم بايثون، هذه الوحدة مختلفة لأنها لا تحلل أي حزم بالفعل، بل تستخدم ببساطة قدرة tshark (أداة سطر الأوامر wireshark) على تصدير XML لاستخدام تحليله.

تسمح هذه الحزمة بالتحليل من ملف التقاط أو التقاط مباشر، باستخدام جميع محللات wireshark المثبتة لديك. تم اختبارها على ويندوز/لينكس.

التثبيت

دعم الإصدارات

Python 3.7+ مدعوم. يوجد إصدار Python 2 غير مدعوم باسم pyshark-legacy.

يدعم جميع الإصدارات الحديثة من tshark / wireshark ولكن بعض الميزات قد لا تكون متاحة في الإصدارات الأقدم.

جميع المنصات

قم بتشغيل ما يلي لتثبيت أحدث إصدار من pypi

pip install pyshark

أو التثبيت من مستودع git:

git clone https://github.com/KimiNewt/pyshark.git
cd pyshark/src
python setup.py install

Mac OS X

قد تضطر إلى تثبيت libxml وهو أمر غير متوقع. إذا تلقيت خطأ من clang أو رسالة خطأ حول libxml، فقم بتشغيل ما يلي:

xcode-select --install
pip install libxml

ربما يتعين عليك قبول اتفاقية ترخيص مستخدم (EULA) لـ XCode لذا كن مستعدًا للنقر على مربع حوار "قبول" في الواجهة الرسومية.

الاستخدام

القراءة من ملف التقاط:

>>> import pyshark
>>> cap = pyshark.FileCapture('/tmp/mycapture.cap')
>>> cap
<FileCapture /tmp/mycapture.cap (589 packets)>
>>> print cap[0]
Packet (Length: 698)
Layer ETH:
        Destination: BLANKED
        Source: BLANKED
        Type: IP (0x0800)
Layer IP:
        Version: 4
        Header Length: 20 bytes
        Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00: Not-ECT (Not ECN-Capable Transport))
        Total Length: 684
        Identification: 0x254f (9551)
        Flags: 0x00
        Fragment offset: 0
        Time to live: 1
        Protocol: UDP (17)
        Header checksum: 0xe148 [correct]
        Source: BLANKED
        Destination: BLANKED
  ...

خيارات أخرى

• param keep_packets: ما إذا كان سيتم الاحتفاظ بالحزم بعد قراءتها عبر next(). يستخدم للحفاظ على الذاكرة عند قراءة ملفات التقاط كبيرة.
• param input_file: إما مسار أو كائن يشبه الملف يحتوي على ملف التقاط حزم (PCAP، PCAP-NG..) أو XML الخاص بـ TShark.
• param display_filter: مرشح عرض (wireshark) لتطبيقه على ملف التقاط قبل قراءته.
• param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنه يتضمن معلومات قليلة جدًا.
• param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > version 2)
• param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
• param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. القيمة الافتراضية هي WPA-PWK).
• param tshark_path: مسار ثنائي tshark

القراءة من واجهة مباشرة:

>>> capture = pyshark.LiveCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>

for packet in capture.sniff_continuously(packet_count=5):
    print('Just arrived:', packet)

خيارات أخرى

• param interface: اسم الواجهة للاستماع عليها. إذا لم يتم تحديده، يأخذ أول واجهة متاحة.
• param bpf_filter: مرشح BPF لاستخدامه على الحزم.
• param display_filter: مرشح عرض (wireshark) لاستخدامه.
• param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنه يتضمن معلومات قليلة جدًا.
• param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > version 2)
• param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
• param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. القيمة الافتراضية هي WPA-PWK).
• param tshark_path: مسار ثنائي tshark
• param output_file: حفظ الحزم الملتقطة بشكل إضافي في هذا الملف.

القراءة من واجهة مباشرة باستخدام مخزن مؤقت حلقي

>>> capture = pyshark.LiveRingCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>

for packet in capture.sniff_continuously(packet_count=5):
    print('Just arrived:', packet)

خيارات أخرى

• param ring_file_size: حجم ملف الحلقة بالكيلوبايت، القيمة الافتراضية هي 1024
• param num_ring_files: عدد ملفات الحلقة للاحتفاظ بها، القيمة الافتراضية هي 1
• param ring_file_name: اسم ملف الحلقة، القيمة الافتراضية هي /tmp/pyshark.pcap
• param interface: اسم الواجهة للاستماع عليها. إذا لم يتم تحديده، يأخذ أول واجهة متاحة.
• param bpf_filter: مرشح BPF لاستخدامه على الحزم.
• param display_filter: مرشح عرض (wireshark) لاستخدامه.
• param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنه يتضمن معلومات قليلة جدًا.
• param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > version 2)
• param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
• param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. القيمة الافتراضية هي WPA-PWK).
• param tshark_path: مسار ثنائي tshark
• param output_file: حفظ الحزم الملتقطة بشكل إضافي في هذا الملف.

القراءة من واجهة عن بعد مباشرة:

>>> capture = pyshark.RemoteCapture('192.168.1.101', 'eth0')
>>> capture.sniff(timeout=50)
>>> capture

خيارات أخرى

• param remote_host: المضيف البعيد للالتقاط عليه (IP أو اسم المضيف). يجب أن يكون rpcapd قيد التشغيل.
• param remote_interface: الواجهة البعيدة على الجهاز البعيد للالتقاط عليها. لاحظ أنه على ويندوز ليس اسم عرض الجهاز بل اسم الواجهة الحقيقي (أي \Device\NPF_..).
• param remote_port: المنفذ البعيد الذي تستمع عليه خدمة rpcapd
• param bpf_filter: مرشح BPF (tcpdump) لتطبيقه على ملف التقاط قبل القراءة.
• param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنه يتضمن معلومات قليلة جدًا.
• param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > version 2)
• param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
• param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. القيمة الافتراضية هي WPA-PWK).
• param tshark_path: مسار ثنائي tshark

الوصول إلى بيانات الحزمة:

يمكن الوصول إلى البيانات بعدة طرق. تنقسم الحزم إلى طبقات، أولاً يجب الوصول إلى الطبقة المناسبة ثم يمكنك تحديد حقلها.

كل ما يلي يعمل:

>>> packet['ip'].dst
192.168.0.1
>>> packet.ip.src
192.168.0.100
>>> packet[2].src
192.168.0.100

لاختبار ما إذا كانت طبقة موجودة في حزمة، يمكنك استخدام اسمها:

>>> 'IP' in packet
True

لرؤية جميع أسماء الحقول الممكنة، استخدم السمة packet.layer.field_names (أي packet.ip.field_names) أو وظيفة الإكمال التلقائي في المترجم الخاص بك.

يمكنك أيضًا الحصول على البيانات الثنائية الأصلية لحقل، أو وصف جميل له:

>>> p.ip.addr.showname
Source or Destination Address: 10.0.0.10 (10.0.0.10)
# And some new attributes as well:
>>> p.ip.addr.int_value
167772170
>>> p.ip.addr.binary_value
b'\n\x00\x00\n'

فك تشفير التقاط الحزم

يدعم Pyshark فك التشفير التلقائي للتتبعات باستخدام معايير WEP و WPA-PWD و WPA-PSK (WPA-PWD هو الافتراضي).

>>> cap1 = pyshark.FileCapture('/tmp/capture1.cap', decryption_key='password')
>>> cap2 = pyshark.LiveCapture(interface='wi0', decryption_key='password', encryption_type='wpa-psk')

مجموعة من معايير التشفير المدعومة، SUPPORTED_ENCRYPTION_STANDARDS، موجودة في كل فئة التقاط.

>>> pyshark.FileCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')
>>> pyshark.LiveCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')

القراءة من ملف باستخدام مرشح عرض

يمكن أن تكون مرشحات عرض Pyshark مفيدة في تحليل حركة المرور المركزة على التطبيقات. لا توفر مرشحات BPF نفس المرونة التي توفرها مرشحات عرض Wireshark.

>>> cap1 = pyshark.FileCapture('/tmp/capture1.cap', display_filter="dns")
>>> cap2 = pyshark.LiveCapture(interface='en0', display_filter="tcp.analysis.retransmission")

الترخيص

هذا المشروع مرخص تحت MIT. المساهمات في هذا المشروع مقبولة تحت نفس الترخيص.