pyshark

هذا المستودع مخصص للإصدار القديم من pyshark، الذي يعمل على Python2.7+. يتلقى إصلاحات الأخطاء فقط بعد الإصدار 0.3.8. للإصدار الجديد الذي يُدعم فقط Python 3.5+، يُرجى استخدام المستودع الرئيسي

غلاف بايثون لـ tshark، يسمح بتحليل حزم بايثون باستخدام أدوات فك تشفير wireshark.

توثيق موسع: http://kiminewt.github.io/pyshark

هناك العديد من وحدات تحليل حزم بايثون، لكن هذه الوحدة مختلفة لأنها لا تقوم فعليًا بتحليل أي حزم، بل تستخدم ببساطة قدرة tshark (أداة سطر أوامر wireshark) على تصدير XML لاستخدامها في التحليل.

تتيح هذه الحزمة التحليل من ملف التقاط أو التقاط مباشر، باستخدام جميع أدوات فك تشفير wireshark المثبتة لديك. تم اختبارها على ويندوز/لينكس.

التثبيت

جميع المنصات

ما عليك سوى تشغيل الأمر التالي لتثبيت أحدث إصدار من pypi

pip install pyshark-legacy

أو التثبيت من مستودع git:

git clone https://github.com/KimiNewt/pyshark-legacy.git
cd pyshark/src
python setup.py install

ماك أو إس إكس

قد تحتاج إلى تثبيت libxml وهو أمر غير متوقع. إذا تلقيت خطأً من clang أو رسالة خطأ بخصوص libxml، فقم بتشغيل الأمر التالي:

xcode-select --install
pip install libxml

سترغب على الأرجح في قبول اتفاقية ترخيص المستخدم النهائي (EULA) لـ XCode لذا كن مستعدًا للنقر على مربع حوار "قبول" في واجهة المستخدم الرسومية.

الاستخدام

القراءة من ملف التقاط:

>>> import pyshark
>>> cap = pyshark.FileCapture('/tmp/mycapture.cap')
>>> cap
<FileCapture /tmp/mycapture.cap (589 packets)>
>>> print cap[0]
Packet (Length: 698)
Layer ETH:
        Destination: BLANKED
        Source: BLANKED
        Type: IP (0x0800)
Layer IP:
        Version: 4
        Header Length: 20 bytes
        Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00: Not-ECT (Not ECN-Capable Transport))
        Total Length: 684
        Identification: 0x254f (9551)
        Flags: 0x00
        Fragment offset: 0
        Time to live: 1
        Protocol: UDP (17)
        Header checksum: 0xe148 [correct]
        Source: BLANKED
        Destination: BLANKED
  ...

خيارات أخرى

param keep_packets: ما إذا كان يجب الاحتفاظ بالحزم بعد قراءتها عبر next(). يستخدم لتوفير الذاكرة عند قراءة ملفات التقاط كبيرة.
param input_file: إما مسار أو كائن يشبه الملف يحتوي على إما ملف التقاط حزم (PCAP، PCAP-NG..) أو tshark xml.
param display_filter: فلتر عرض (wireshark) لتطبيقه على ملف التقاط قبل قراءته.
param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنها تحتوي على معلومات قليلة جدًا.
param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > إصدار 2)
param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. الافتراضي هو WPA-PWK).
param tshark_path: مسار ثنائي tshark

القراءة من واجهة مباشرة:

>>> capture = pyshark.LiveCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>

for packet in capture.sniff_continuously(packet_count=5):
    print 'Just arrived:', packet

خيارات أخرى

param interface: اسم الواجهة للاستماع عليها. إذا لم يُعطَ، يأخذ أول واجهة متاحة.
param bpf_filter: فلتر BPF لاستخدامه على الحزم.
param display_filter: فلتر عرض (wireshark) لاستخدامه.
param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنها تحتوي على معلومات قليلة جدًا.
param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > إصدار 2)
param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. الافتراضي هو WPA-PWK).
param tshark_path: مسار ثنائي tshark
param output_file: حفظ الحزم الملتقطة أيضًا في هذا الملف.

القراءة من واجهة مباشرة باستخدام مخزن مؤقت حلقي

>>> capture = pyshark.LiveRingCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>

for packet in capture.sniff_continuously(packet_count=5):
    print 'Just arrived:', packet

خيارات أخرى

param ring_file_size: حجم ملف الحلقة بالكيلوبايت، الافتراضي هو 1024
param num_ring_files: عدد ملفات الحلقة للاحتفاظ بها، الافتراضي هو 1
param ring_file_name: اسم ملف الحلقة، الافتراضي هو /tmp/pyshark.pcap
param interface: اسم الواجهة للاستماع عليها. إذا لم يُعطَ، يأخذ أول واجهة متاحة.
param bpf_filter: فلتر BPF لاستخدامه على الحزم.
param display_filter: فلتر عرض (wireshark) لاستخدامه.
param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنها تحتوي على معلومات قليلة جدًا.
param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > إصدار 2)
param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. الافتراضي هو WPA-PWK).
param tshark_path: مسار ثنائي tshark
param output_file: حفظ الحزم الملتقطة أيضًا في هذا الملف.

القراءة من واجهة مباشرة عن بعد:

>>> capture = pyshark.RemoteCapture('192.168.1.101', 'eth0')
>>> capture.sniff(timeout=50)
>>> capture

خيارات أخرى

param remote_host: المضيف البعيد للالتقاط عليه (IP أو اسم المضيف). يجب أن يكون rpcapd قيد التشغيل.
param remote_interface: الواجهة البعيدة على الجهاز البعيد للالتقاط عليها. لاحظ أنه في ويندوز ليس اسم العرض للجهاز بل اسم الواجهة الحقيقي (أي \Device\NPF_..).
param remote_port: المنفذ البعيد الذي تستمع عليه خدمة rpcapd
param bpf_filter: فلتر BPF (tcpdump) لتطبيقه على ملف التقاط قبل القراءة.
param only_summaries: إنتاج ملخصات حزم فقط، أسرع بكثير ولكنها تحتوي على معلومات قليلة جدًا.
param disable_protocol: تعطيل اكتشاف بروتوكول (tshark > إصدار 2)
param decryption_key: المفتاح المستخدم لتشفير وفك تشفير حركة المرور الملتقطة.
param encryption_type: معيار التشفير المستخدم في حركة المرور الملتقطة (يجب أن يكون إما 'WEP' أو 'WPA-PWD' أو 'WPA-PWK'. الافتراضي هو WPA-PWK).
param tshark_path: مسار ثنائي tshark

الوصول إلى بيانات الحزمة:

يمكن الوصول إلى البيانات بعدة طرق. تنقسم الحزم إلى طبقات، أولاً عليك الوصول إلى الطبقة المناسبة ثم يمكنك تحديد الحقل الخاص بك.

جميع ما يلي يعمل:

>>> packet['ip'].dst
192.168.0.1
>>> packet.ip.src
192.168.0.100
>>> packet[2].src
192.168.0.100

لاختبار ما إذا كانت طبقة موجودة في حزمة، يمكنك استخدام اسمها:

>>> 'IP' in packet
True

لعرض جميع أسماء الحقول الممكنة، استخدم الخاصية packet.layer.field_names (أي packet.ip.field_names) أو وظيفة الإكمال التلقائي في المفسر الخاص بك.

يمكنك أيضًا الحصول على البيانات الثنائية الأصلية لحقل، أو وصف جميل له:

>>> p.ip.addr.showname
Source or Destination Address: 10.0.0.10 (10.0.0.10)
# وبعض السمات الجديدة أيضًا:
>>> p.ip.addr.int_value
167772170
>>> p.ip.addr.binary_value
'\n\x00\x00\n'

فك تشفير التقاط الحزم

يدعم Pyshark فك التشفير التلقائي للتتبع باستخدام معايير WEP وWPA-PWD وWPA-PSK (WPA-PWD هو الافتراضي).

>>> cap1 = pyshark.FileCapture('/tmp/capture1.cap', decryption_key='password')
>>> cap2 = pyshark.LiveCapture(interface='wi0', decryption_key='password', encryption_type='wpa-psk')

توجد مجموعة من معايير التشفير المدعومة، SUPPORTED_ENCRYPTION_STANDARDS، في كل فئة التقاط.

>>> pyshark.FileCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')
>>> pyshark.LiveCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')

الترخيص

هذا المشروع مرخص بموجب MIT. المساهمات في هذا المشروع مقبولة بموجب نفس الترخيص.

pyshark-legacy

الأكثر شعبية

pyshark

التثبيت

جميع المنصات

ماك أو إس إكس

الاستخدام

القراءة من ملف التقاط:

خيارات أخرى

القراءة من واجهة مباشرة:

خيارات أخرى

القراءة من واجهة مباشرة باستخدام مخزن مؤقت حلقي

خيارات أخرى

القراءة من واجهة مباشرة عن بعد:

خيارات أخرى

الوصول إلى بيانات الحزمة:

فك تشفير التقاط الحزم

الترخيص