kiminewt/pysharktshark用のPythonラッパーで、Wiresharkのディセクタを使用したPythonパケット解析を可能にします。
tshark の Python ラッパー。Wireshark のディセクタを使用して Python でパケット解析を可能にします。
拡張ドキュメント: http://kiminewt.github.io/pyshark
コントリビューター募集中 - 様々な理由により、現在パッケージのメンテナンスと機能強化に時間を割くのが難しい状況です。プルリクエストはすべて確認します。興味があり、適任と思われる方は、プロジェクトに参加していただけると嬉しいです。[email protected] までご連絡ください。
Python のパケット解析モジュールはいくつか存在しますが、このモジュールは実際にパケットを解析するのではなく、tshark（Wireshark のコマンドラインユーティリティ）が XML をエクスポートする機能を利用して解析を行います。
このパッケージは、キャプチャファイルまたはライブキャプチャからの解析を、インストールされているすべての Wireshark ディセクタを使用して行うことができます。Windows/Linux でテスト済みです。
Python 3.7 以上に対応しています。サポートされていない Python 2 バージョンは pyshark-legacy として存在します。
最新の tshark / Wireshark のすべてのバージョンをサポートしていますが、古いバージョンでは一部の機能が利用できない場合があります。
最新版を pypi からインストールするには、以下を実行してください。
pip install pyshark
または、git リポジトリからインストール:
git clone https://github.com/KimiNewt/pyshark.git
cd pyshark/src
python setup.py install
libxml のインストールが必要になる場合があります（予期しないかもしれません）。clang からのエラーや libxml に関するエラーメッセージが表示された場合は、以下を実行してください。
xcode-select --install
pip install libxml
XCode の使用許諾契約書（EULA）に同意する必要がある可能性が高いので、GUI で「同意する」ダイアログをクリックできるように準備しておいてください。
>>> import pyshark
>>> cap = pyshark.FileCapture('/tmp/mycapture.cap')
>>> cap
<FileCapture /tmp/mycapture.cap (589 packets)>
>>> print cap[0]
Packet (Length: 698)
Layer ETH:
Destination: BLANKED
Source: BLANKED
Type: IP (0x0800)
Layer IP:
Version: 4
Header Length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00: Not-ECT (Not ECN-Capable Transport))
Total Length: 684
Identification: 0x254f (9551)
Flags: 0x00
Fragment offset: 0
Time to live: 1
Protocol: UDP (17)
Header checksum: 0xe148 [correct]
Source: BLANKED
Destination: BLANKED
...
>>> capture = pyshark.LiveCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>
for packet in capture.sniff_continuously(packet_count=5):
print('Just arrived:', packet)
>>> capture = pyshark.LiveRingCapture(interface='eth0')
>>> capture.sniff(timeout=50)
>>> capture
<LiveCapture (5 packets)>
>>> capture[3]
<UDP/HTTP Packet>
for packet in capture.sniff_continuously(packet_count=5):
print('Just arrived:', packet)
>>> capture = pyshark.RemoteCapture('192.168.1.101', 'eth0')
>>> capture.sniff(timeout=50)
>>> capture
データは複数の方法でアクセスできます。パケットはレイヤーに分割されており、まず適切なレイヤーに到達し、次にフィールドを選択します。
以下のすべてが機能します:
>>> packet['ip'].dst
192.168.0.1
>>> packet.ip.src
192.168.0.100
>>> packet[2].src
192.168.0.100
レイヤーがパケットに含まれているかどうかをテストするには、その名前を使用します:
>>> 'IP' in packet
True
すべての可能なフィールド名を確認するには、packet.layer.field_names 属性（例: packet.ip.field_names）またはインタプリタのオートコンプリート機能を使用します。
フィールドの元のバイナリデータや、その見やすい説明を取得することもできます:
>>> p.ip.addr.showname
Source or Destination Address: 10.0.0.10 (10.0.0.10)
# And some new attributes as well:
>>> p.ip.addr.int_value
167772170
>>> p.ip.addr.binary_value
b'\n\x00\x00\n'
Pyshark は WEP、WPA-PWD、WPA-PSK 標準を使用したトレースの自動復号をサポートしています（デフォルトは WPA-PWD）。
>>> cap1 = pyshark.FileCapture('/tmp/capture1.cap', decryption_key='password')
>>> cap2 = pyshark.LiveCapture(interface='wi0', decryption_key='password', encryption_type='wpa-psk')
サポートされている暗号化標準のタプル SUPPORTED_ENCRYPTION_STANDARDS が各キャプチャクラスに存在します。
>>> pyshark.FileCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')
>>> pyshark.LiveCapture.SUPPORTED_ENCRYPTION_STANDARDS
('wep', 'wpa-pwd', 'wpa-psk')
Pyshark のディスプレイフィルターは、アプリケーションに特化したトラフィックの分析に役立ちます。BPF フィルターは Wireshark のディスプレイフィルターほど柔軟性がありません。
>>> cap1 = pyshark.FileCapture('/tmp/capture1.cap', display_filter="dns")
>>> cap2 = pyshark.LiveCapture(interface='en0', display_filter="tcp.analysis.retransmission")
このプロジェクトは MIT ライセンスの下で提供されています。このプロジェクトへのコントリビューションは、同じライセンスの下で受け付けられます。