Python 原始套接字和流量嗅探-猿码集

1. 什么是原始套接字？

在网络通信中，原始套接字是一种让应用程序能够直接访问传输层以下的网络通信机制的技术。与传统的套接字不同，原始套接字在数据传输时不经过传输层的协议栈，而是直接通过网络接口进行数据的读写操作。这种技术通常被用来进行网络协议的实现以及网络攻防等方面的工作。

Python中提供了一个socket模块来支持原始套接字编程，我们可以使用这个模块来实现自己的网络协议栈，或者通过原始套接字进行网络嗅探等操作。

2. 原始套接字的工作原理

原始套接字的工作原理可以简单概括为以下几个步骤：

2.1 创建原始套接字


import socket
# 创建一个原始套接字
raw_socket = socket.socket(socket.AF_PACKET, socket.SOCK_RAW, socket.ntohs(0x0800))

这里我们使用Python的socket模块创建了一个原始套接字对象。其中，AF_PACKET参数表示我们要使用Linux原始套接字，SOCK_RAW参数表示我们要在传输层以下进行数据读写，ntohs(0x0800)参数表示我们要监听的网络协议是IPv4。

2.2 绑定网络接口


# 绑定网卡
raw_socket.bind(('eth0', 0x0800))

在Linux系统中，我们需要绑定一个网络接口来进行数据的接收和发送。这里我们将网卡名和要监听的协议号传给bind函数，就完成了绑定操作。

2.3 接收网络数据包


# 接收网络数据包
packet = raw_socket.recvfrom(65535)

使用recvfrom函数可以从原始套接字中读取接收到的数据包。这里我们读取的最大长度为65535个字节。

3. 使用原始套接字进行流量嗅探

流量嗅探是一种常见的网络技术，它可以通过监听网络上的数据包来分析网络通信内容，以便进行安全分析、网络管理等工作。在Python中，我们可以使用原始套接字来实现流量嗅探功能。

3.1 嗅探网络数据包


# 嗅探网络数据包
while True:
    packet = raw_socket.recvfrom(65535)
    print(packet)

这里我们使用一个无限循环来不断接收从原始套接字中读取到的网络数据包。每次读取到一个数据包后，我们将它打印出来。在实际应用中，我们可以根据需要对数据包进行进一步处理。

3.2 解析网络数据包

当我们从原始套接字中读取到网络数据包时，我们需要对它进行解析。这里我们以ICMP协议为例，讲解如何对网络数据包进行解析。

ICMP是Internet控制报文协议的缩写，它是TCP/IP协议族中非常重要的一个协议，主要用于网络设备之间进行错误消息传递和网络状况报告。

3.2.1 解析IPv4数据包

在IPv4网络中，网络数据包的首部通常由20个字节组成。首部包含了一些重要的信息，例如源IP地址、目的IP地址、协议号等。


def parse_ipv4_packet(packet):
    ipv4_header = packet[0][14:34]
    version = ipv4_header[0] >> 4
    header_len = ipv4_header[0] & 0xf
    total_len = ipv4_header[2] << 8 | ipv4_header[3]
    protocol = ipv4_header[9]
    src_addr = socket.inet_ntoa(ipv4_header[12:16])
    dst_addr = socket.inet_ntoa(ipv4_header[16:20])
    return version, header_len, total_len, protocol, src_addr, dst_addr

这里我们定义了一个parse_ipv4_packet函数，它接收一个数据包作为参数，并返回解析后的IPv4首部信息。我们首先设置了一个IPv4首部的切片，然后从中提取了一些重要的信息，例如版本号、首部长度、总长度、协议类型以及源IP地址和目的IP地址。

3.2.2 解析ICMP数据包

在IPv4网络中，ICMP协议的协议号为1。当我们接收到一个ICMP数据包时，需要对它进行解析，以获取其中的一些重要信息。


def parse_icmp_packet(packet):
    icmp_header = packet[0][34:42]
    icmp_type = icmp_header[0]
    icmp_code = icmp_header[1]
    icmp_checksum = icmp_header[2] << 8 | icmp_header[3]
    return icmp_type, icmp_code, icmp_checksum

这里我们定义了一个parse_icmp_packet函数，它接收一个数据包作为参数，并返回解析后的ICMP首部信息。我们使用一个切片来提取ICMP首部，并从其中提取了ICMP类型、代码以及校验和。

3.3 使用解析函数进行数据分析

当我们完成了对IPv4与ICMP数据包的解析函数后，我们可以通过已经嗅探到的网络数据包，从中提取出所有的ICMP数据包，并对这些数据包进行解析，以进一步分析它们的内容。


# 监听网络数据包
while True:
    packet = raw_socket.recvfrom(65535)
    parsed_ipv4 = parse_ipv4_packet(packet)
    if parsed_ipv4[3] == 1:
        parsed_icmp = parse_icmp_packet(packet)
        print(parsed_ipv4, parsed_icmp)

这里我们在循环体中，首先调用parse_ipv4_packet函数，解析出数据包的IPv4首部信息。接着，我们判断协议类型是否为ICMP，如果是则调用parse_icmp_packet函数，解析出数据包的ICMP首部信息，并将两者打印出来。

4. 使用Python scapy进行流量分析

除了使用原始套接字进行网络嗅探外，我们还可以使用Python的强大网络分析库scapy来对网络数据包进行分析。scapy为我们提供了丰富的工具和函数，可以大大简化我们的网络分析工作。

4.1 安装和导入scapy

在使用scapy进行流量分析前，我们需要先安装它。可以通过pip工具来进行安装。

pip install scapy

安装完成后，我们可以在Python中导入scapy库，并开始使用它。


from scapy.all import *

4.2 使用scapy进行网络嗅探

使用scapy进行网络嗅探非常简单，只需要调用sniff函数即可。例如，我们可以在命令行中执行以下命令：


sudo scapy
sniff(filter="icmp", prn=lambda x: x.show())

这里我们使用了sudo命令来以管理员身份运行scapy。在sniff函数中，我们设置了一个过滤器，只监听ICMP网络数据包，并使用show函数显示接收到的每个数据包的详细信息。

4.3 使用scapy进行流量生成

除了流量嗅探外，scapy还提供了流量生成的功能，可以模拟网络流量进行测试或攻击。

4.3.1 发送ARP请求

发送ARP请求是scapy中最常见的一种流量生成方式。我们可以使用ARP请求来获取局域网中的设备信息。


import os
from scapy.all import *
def get_mac_address(ip):
    # 发送ARP请求，获取MAC地址
    arp = Ether(dst="ff:ff:ff:ff:ff:ff") / ARP(op=1, pdst=ip)
    result = srp(arp, timeout=3, verbose=False)
    # 将响应中的MAC地址返回给调用方
    for sent, received in result:
        return received.hwsrc
    
mac_addr = get_mac_address('192.168.0.1')
print(mac_addr)

这里我们定义了一个get_mac_address函数，它接收一个IP地址作为参数，并返回对应的MAC地址。我们使用srp函数发送ARP请求，并在响应中获取到对应的MAC地址。

4.3.2 发送TCP SYN包

TCP SYN包是一种常见的网络攻击手段，可以用来进行端口扫描、漏洞利用等操作。在scapy中，我们可以使用TCP()函数来构造需要发送的TCP数据包。


import os
from scapy.all import *
def syn_scan(ip, port):
    # 构造TCP SYN包
    syn_packet = IP(dst=ip) / TCP(sport=RandShort(), dport=port, flags="S")
    # 发送并获取响应
    result = sr1(syn_packet, timeout=3, verbose=False)
    # 判断响应是否为SYN-ACK
    if result and result.getlayer(TCP).flags == "SA":
        return "open"
    else:
        return "closed"
result = syn_scan('192.168.0.1', 80)
print(result)

这里我们定义了一个syn_scan函数，它接收一个IP地址和端口号作为参数，用于扫描IP地址对应的机器上是否开放了指定的端口。我们首先使用IP()函数构造了一个目标为指定IP地址的IP数据包，然后使用TCP()函数构造了一个端口为指定端口号的TCP数据包，并设置其标志为SYN。接着，我们使用sr1函数发送构造好的数据包，并等待响应。最后，我们判断响应中的TCP标志是否为SYN-ACK，如果是则表示对应的端口是开放状态。

总结

本文讲解了Python中如何使用原始套接字和scapy库进行网络嗅探和流量分析。原始套接字是一种可以让应用程序直接访问传输层以下网络协议的技术，可以用于实现自己的网络协议栈，或者进行网络攻防等工作；scapy是一个强大的网络分析库，提供了丰富的工具和函数，可以大大简化我们的网络分析工作，可以用于流量嗅探、生成、篡改等操作。

需要注意的是，在进行网络嗅探和流量分析时，请务必遵守相关的法律法规和道德规范，不得用于非法用途。

Python 原始套接字和流量嗅探