pyshark使用教程

安装

pip install pyshark
1

使用

例如：分析现有的pcap文件：

import pyshark

pcap = pyshark.FileCapture("test1.pcap", tshark_path="/Applications/Wireshark.app/Contents/MacOS/tshark")
1
2
3

两个参数分别指定输入文件和 tshark 路径

然后，就可以使用循环遍历pcap文件（也可以使用下标）：

for p in pcap:
    print(p)
1
2

输出的结构和wireshark看到的保持一致，结果如下：

如果想单独看IP层或者TCP or UDP层的话，只需要：

print(pcap[0].ip)
1

输出：

以IP层为例，如果想单独提取其中的某个参数：

print(pcap[0].ip.src)
print(pcap[0].ip.ttl)
print(pcap[0].ip.version)
print(pcap[0].ip.proto)
1
2
3
4

输出如下：

如何看pcap对象有哪些可用的字段？对pcap对象使用 dir() 函数即可：

print(dir(pcap[0]))
1

结果如下：

同理，如何看某一层有哪些可用的字段？以IP层为例：

print(dir(pcap[0].ip))
1

输出如下：

总结

日常使用的话还可以，但速度比较一般