在 python 中解析大型 tcpdump 文件

Question

我有一个大的 tcpdump 捕获（在 .dump 文件中包含 > 1gb 的数据），我想对其进行解析以获取一些统计信息，例如发送流量所涉及的不同 IP 的数量等。我想知道是否有没有一种干净的方法可以通过 python 访问二进制跟踪文件中的此类数据？ 我尝试这样做的方式是运行 tcpdump -r something.dump > myfile.out 然后尝试使用 python 代码解析 myfile.out 以获取我想要的数据。但是上面的命令需要很长时间才能完成，并且希望使用更好的方法来完成此操作。

编辑：Wireshark 在尝试打开文件时内存不足。

Answer 1

看看dpkt module。它应该能够按需解析 pcap 文件。 Jon Oberheide 在 pcap 数据包捕获文件中有一个很棒的 blog post showing how you can access the parsed representation of packets。