使用dpkt(Python)解析pcap文件

Question

我正在尝试使用dpkt模块解析以前捕获的HTTP标头的跟踪:

import dpkt
import sys

f=file(sys.argv[1],"rb")
pcap=dpkt.pcap.Reader(f)


for ts, buf in pcap:
  eth=dpkt.ethernet.Ethernet(buf)
  ip=eth.data
  tcp=ip.data

if tcp.dport==80 and len(tcp.data)>0:
    try:
        http=dpkt.http.Request(tcp.data)
        print http.uri
    except:
        print 'issue'
        continue


  f.close()

虽然它似乎有效地解析了大多数数据包,但我收到了一些NeedData("标头的过早结束")异常.它们似乎是WireShark中的有效数据包,所以我对为什么抛出异常感到有点困惑.

一些输出:

/ec/fd/ls/GlinkPing.aspx?IG=4a06eefebcc1495f8f4de7cb41f0ce5c&CID=2265e1228f3451ff8011dcbe5e0cdff7&ID=API.YAds%2C5037.1&1307036510547
issue
issue #misses one packet here, two exceptions
/?ld=4vyO5h1FkjCNjBpThUTGnzF50sB7QUGL0Ok8YefDTWNmO6RXghgDqHXtcp1OqeXATbCAHliIkglLj95-VEwG6ZJN3fblgd3Lh5NvTp4mZPcBGXUyKqXn9FViBAsmt1T96oumpCL5gm7gZ3qlZqSdLNUWjpML_9I8FvB2TLKPSYcJmb_VwwvJhiHpiUIvrjRdzqdVVnuQZVjQmZIIlfaMq0LOmgew_plopjt7hYvOSzBi3VJl4bqOBVk3zdhIvgZK0SfJp3kEWTXAr2_UU_q9KHBpSTnvuhY2W1xo3K2BOHKGk1VAlMiWtWC_nUaJdZmhzzWfb6yRAmY3M9YkUzFGs9z10-70OszkkNpVMSS3-p7xsNXQnC3Zpaxks

感谢帮助; 也许需要一个替代的图书馆建议.

Answer 1

我在使用 HTTP 请求和 dpkt 时遇到了同样的问题。

问题在于 dpkt 的 HTTP 标头解析器使用了错误的逻辑。当 HTTP 不以\r\n\r\n. （正如你所说，有很多好的数据包\r\n\r\n最后没有。）

这是针对您的问题的错误报告。