2014年2月の #ssmjp での発表資料。 dpkt の紹介。

1. import dpktしたよ
2014/02/28 #ssmjp @th0x0472
1

2. パケットみてますか？
Wireshark
tshark
tcpdump
Network Monitor
etc...
2

3. 今日報告すること
pcapファイルを読んで何かするなら
Python + dpkt もよいですよ。
3

4. dpktってなに？
公式サイトによると
"Fast, simple packet creation and parsing.
We have no docs, but only sample code for
now. "
4

5. ソースみてみる
% pwd
~/dpkt-1.8
% find ./ -name '*py' | wc -l
72
% find ./ -name '*py' | xargs grep -v '^$' | wc -l
7318
5

6. 入手＆導入
dpktで検索すればイッパツ。
Debian系ならパッケージある。
それで入れるのがお手軽。
最近のMac向けのパッケージはないみたい。
Windowsは試してない。（やる気もない）
6

7. 僕が出来るコト
pcapを読む。
読んでパケットをごにょごにょする。
7

8. これはムリ
pcap-ng を読み書きできない。
最近のWireshark/tshark使うときはまった。
tshark -F pcap -w <filename>
通信はできない。
8

9. 使用例１
pcapファイル内の全パケットを順に読んで、
code blockに通す
主流ぽい。
スクリプトにするならこうかな。
9

10. コードの例
import dpkt
p = dpkt.pcap.Reader(open(filename,'rb'))
for t,buf in p:
eth = dpkt.ethernet.Ethernet(buf)
ip = eth.data
...
10

11. コードの説明
for t,buf in p:
t にタイムスタンプが入る
buf にパケットデータがはいる
（Ｌ２だからフレームと言うべき？）
あとは好きに出来る
11

12. 使用例２
pcapファイルを読んで、任意のパケットを
アレコレ好きに出来る
目当てのパケットが決まっていたり、
お試し（試行錯誤）する場合おすすめ
インタプリタで使うのがおすすめ
12

13. コードの例
>>> import dpkt
>>> p = dpkt.pcap.Reader(open(filename,'rb'))
>>> p.readpkts()
13

14. コードの説明
p.readpkts()
各パケットのタイムスタンプと
パケットデータのタプルのリスト
[(ts1,pdata1), (ts2,pdata2), ...]
14

15. コードの説明
p.readpkts()[n][1] で、pcapファイル中 n番目の
パケットデータにアクセスできる
（リストのカウント０始まりだからｎ番目
じゃなくてｎ−１番目じゃね？とか細かいこ
とは（ここでは）気にしない）
15

16. デモをやりました
16

17. おまけ
Python だけなの？
→ PerlもRubyも、pcapを読み書きするための
ライブラリはありました。
でもそれ以上はしらべてません。
17

18. おまけ
lbpcap...
→使用例２のインタプリタで１つ取り出し
てごにょごにょがやりたかったんですよぅ
18

19. おまけ
pcapファイル中のパケットの情報の
集計する、統計とるなら、
tshark + Excel の方が・・・
→ そうですね。
19

20. おしまい
ご清聴ありがとうございました。
20