每次写博客都是源于纳闷，python解析pcap这么常用的例子网上竟然没有，全是一堆命令行执行的python，能用吗？玩呢？ pip安装scapy，然后解析pcap： import scapy from scapy.all import * from scapy.utils import PcapReader packets=rdpcap(./test.pcap) for data in packets: if 'UDP' in data: s = repr(data) print(s) print(data['UDP'].sport) break 打

PCAP 是一个数据包抓取库， 很多软件都是用它来作为数据包抓取工具的。 WireShark 也是用PCAP 库来抓取数 据包的。PCAP 抓取出来的数据包并不是原始的网络字节流，而是对其进行从新组装，形成一种新的数据格式。

到目前为止的工作： 我能够解析简单的 pcap 文件并将流信息传递给 R。有一些棘手的数据包头（例如 802.1q VLAN 和其他）我还无法解析。 R 接口的工作原理如下： read_pcap_file(filename, print_debug_info) 这将创建在 C 世界中可用的流表。 我现在只支持解析 1 个 pcap 文件。 get_flow_table() 这会打印每个流带有 flow_id 的流表。 flow <- get_flow_info(flow_id) 这会在 R 中为特定流创建流数据帧。 作为如何访问/绘制流信息的示例，我提供了两个函数 plot_flow_initiator_seq (flow) & plot_flow_responder_seq (flow) 这些在 x 轴上绘制时间戳，在 y 轴上绘制 tcp 序列 num，用于流的两个方向（发起者 =

盖帽 gopcap 是的纯 Go 实现。 Pcap 是标准的开源数据包捕获格式，由 C 库定义。 例子 gopcap API 非常简单： pcapfile, _ := os.Open("file.cap") parsed, err := gopcap.Parse(pcapfile) 有关更多示例，请参阅 API 文档。 特征 完全同步的 API，很容易实现异步。 有效利用内存。 没有外部依赖。 贡献 gopcap 欢迎贡献，包括错误修复和新功能（尽管新功能的机会显然相当有限！）。 任何功能请求都应认真考虑对 API 的影响。 API 的清晰度高于新功能，因此任何使 API 复杂化的功能都必须为库增加重要的价值才能被接受。 如果您想做出贡献，请执行以下操作： 通过在 GitHub 上检查未解决和已关闭的问题，检查您的想法是否尚未被提出。 从 GitHub 分叉存储库并进行更改。

1.pcap文件转化成csv文件 2.首先下载一下winpcap软件，安装任意位置运行一下 3.直接解压下来，放到D盘，进入bin文件，双击CICFlowMeter.bat就可以了

读取PCAP的类 文件格式参考 http://www.ebnd.cn/2009/09/07/file-format-analysis-of-wireshark-pcap/ 稍微整理了下

具备WIRESHARK的大部分功能，主要是指针的偏移来完成的。对初学者有一定的帮助。

PYTHON首先要安装scapy模块 PY3的安装scapy-python3，使用PIP安装就好了,注意,PY3无法使用pyinstaller打包文件,PY2正常 PY2的安装scapy，比较麻烦 from scapy.all import * pcaps = rdpcap(file.pcap) pcaps便是解析后的类似结构体的东西了 packet=pcaps[0] #第1个数据包结构 packet.time#数据包时间戳 packet[Raw].load#PY3读取节点数据方法,packet[IP].src;pac

PCAPFlowParser 用于从PCAP文件生成流特征的解析器 基于ISCXFlowMeter项目。 特征 无双向 超时输入（以秒为单位） 来自捕获的报头的在线数据包的长度，以获取数据包的实际大小（解决了由于已从捕获的数据包中删除了有效负载而从匿名数据获取有效负载大小的问题） PCAP文件应按字母顺序排列。 根据文件数在左边添加前导零，例如，用pcap001代替pcap1 安装与执行 先决条件 数据包捕获（PCAP）库： 对于Linux，请安装libpcap $ sudo apt-get install libpcap-dev 对于Windows，请安装 安装 让我们假设： 项目PCAPFlowParser已从$PROJECT_PATH下载。 变量$LINUX_WIN表示操作系统的名称，即linux或win 。 因此，在下文中，变量$JNETPCAP_HOME是指

验证码