Python 網路封包分析實戰技巧

網路封包分析是網路安全和網路管理的根本，理解網路流量的底層機制對於診斷網路問題、提升網路效能和防禦網路攻擊至關重要。本文介紹如何使用 Python 和 Scapy 這個強大的函式庫進行網路封包分析，從封包的基礎知識到進階的網路掃描和流量分析技術，提供實用的程式碼範例和詳細的解說，幫助讀者快速上手並應用於實際場景。涵蓋了 pcapy-ng 的安裝與使用、pcap 檔案解析、Scapy 的基本應用和進階功能，例如 sr、sr1、srp 等函式的使用、DNS 查詢、主機存活偵測等，並結合網路安全議題，探討如何利用這些技術進行網路偵察和安全測試。

重點回顧

1. 安裝與使用pcapy-ng：我們首先介紹瞭如何安裝pcapy-ng，並展示瞭如何使用它來擷取網路封包、解析封包標頭資訊，包括來源和目標MAC位址、IP標頭資訊等。

2. 解析pcap檔案：接著，我們探討瞭如何使用pcapy-ng讀取和分析.pcap檔案，這對於重複分析和研究網路流量至關重要。

3. Scapy簡介與應用：文章還介紹了Scapy，一個功能強大的Python模組，用於操作網路封包。我們展示瞭如何在Linux系統上安裝Scapy，並介紹了其豐富的功能，包括建立、修改、擷取和嗅探網路封包。

4. Scapy指令與功能：我們詳細列出了Scapy提供的多種指令，如ls()、send()、sr()、sniff()等，這些指令使得網路調查和安全測試變得更加靈活和強大。

隨著網路安全威脅的日益複雜，掌握網路封包分析和操作的技術變得越來越重要。未來，我們可以期待看到更多根據Python的網路安全工具和技術的發展。開發者可以利用pcapy-ng和Scapy等工具，建立出更為先進的網路監控和分析系統，以應對日益增長的網路安全挑戰。

實踐建議

對於希望深入網路安全領域的讀者，我們建議：

• 繼續探索pcapy-ng和Scapy的高階功能，例如自定義封包建構和複雜的網路協定分析。
• 實踐建立自己的網路分析工具，以加深對網路協定和安全機制的理解。
• 關注最新的網路安全威脅和防禦技術，不斷更新自己的知識和技能。

透過不斷的學習和實踐，我們可以更好地理解和應對網路安全挑戰，為構建更安全的網路環境做出貢獻。

解析網路流量：封包嗅探與分析技巧

在網路世界中，理解資料的傳輸方式至關重要。封包，作為網路通訊的根本，承載著所有資訊的流動。本篇文章將探討如何利用 Scapy 這個強大的 Python 函式庫，剖析網路封包，揭示網路通訊的奧秘。

Scapy：網路封包的魔法棒

Scapy 猶如一把網路瑞士刀，賦予我們創造、傳送、接收、修改，甚至偽造網路封包的能力。它不僅能深入分析封包的結構，還能模擬各種網路攻擊，成為網路安全研究的利器。

封包的解剖學：sr、sr1 與 srp

Scapy 提供了多種方法來與網路封包互動。sr() 函式允許我們傳送封包並接收回應，sr1() 則專注於接收第一個回應封包，而 srp() 則是在第二層網路（例如乙太網路）中運作。

以下範例展示如何使用 sr1() 建立並傳送 ICMP 封包：

from scapy.all import *

packet = IP(dst='www.python.org')/ICMP()
sr1(packet)

內容解密：

這段程式碼首先匯入 Scapy 函式庫，接著建立一個包含 IP 層和 ICMP 層的封包。IP(dst='www.python.org') 設定目標 IP 地址為 www.python.org，/ 運算元將 ICMP 層附加到 IP 層。最後，sr1(packet) 傳送封包並接收第一個回應。

網路偵測：srp 與 ARP 的完美結合

srp() 函式搭配 Ether 和 ARP 層，可以有效偵測網段中的活躍主機。以下程式碼片段示範如何掃描子網路中的主機：

from scapy.all import *

answer, unanswer = srp(Ether(dst="ff:ff:ff:ff:ff:ff")/ARP(pdst="192.168.1.0/24"), timeout=2)
answer.summary()

內容解密：

這段程式碼利用廣播 MAC 地址 ff:ff:ff:ff:ff:ff 和子網路 IP 範圍 192.168.1.0/24 建立 ARP 請求封包，srp() 函式傳送封包並接收回應，answer.summary() 顯示活躍主機的 MAC 地址和 IP 地址。

DNS 查詢：揭開網域名稱解析的面紗

Scapy 也能執行 DNS 查詢，取得網域名稱伺服器資訊。以下程式碼展示如何查詢特定網域名稱的 nameserver：

from scapy.all import *

def queryDNS(dnsServer, domain):
    packet_dns = IP(dst=dnsServer)/UDP(dport=53)/DNS(rd=1, qd=DNSQR(qname=domain))
    response_packet = sr1(packet_dns, verbose=1)
    print(response_packet.show())
    return response_packet[DNS].summary()

if __name__ == "__main__":
    print(queryDNS("8.8.8.8", "www.python.org"))

內容解密：

這個函式建立一個 DNS 查詢封包，指定 DNS 伺服器和目標網域名稱。rd=1 表示遞迴查詢，qd=DNSQR(qname=domain) 設定查詢的網域名稱。sr1() 函式傳送封包並接收回應，response_packet.show() 顯示回應封包的詳細資訊，response_packet[DNS].summary() 則提供 DNS 回應的摘要。

主機存活偵測：ICMP 與 TCP SYN Ping

Scapy 提供兩種方法偵測主機是否存活：ICMP 和 TCP SYN Ping。

ICMP 偵測：

import sys
from scapy.all import *

target = sys.argv[1]
icmp = IP(dst=target)/ICMP()
recv = sr1(icmp, timeout=10)
if recv is not None:
    print("Target IP is live")
else:
    print("No response received")

內容解密：

這段程式碼建立 ICMP 封包並傳送到目標主機，如果在指定逾時時間內收到回應，則表示主機存活。否則，表示沒有收到回應。

TCP SYN Ping：

import sys
from scapy.all import *

target = sys.argv[1]
syn = IP(dst=target)/TCP(dport=80, flags='S')
recv = sr1(syn, timeout=10)
if recv is not None:
    print("Target IP is live")
else:
    print("No response received")

內容解密：

這段程式碼建立 TCP SYN 封包並傳送到目標主機的 80 連線埠。如果收到回應（通常是 SYN-ACK），則表示主機存活。否則，表示沒有收到回應。

網路分析的深度探索：Scapy 技術實務與應用

在前述的網路掃描與分析基礎上，Scapy 提供了更為豐富的功能來深入探索網路世界。本文將進一步闡述 Scapy 在網路分析中的進階應用，包括複雜的埠口掃描技術、網路偵測機制，以及如何透過 Scapy 進行高效的網路診斷。

進階埠口掃描技術

埠口掃描是網路偵察的重要組成部分。除了基本的 SYN 掃描外，Scapy 還支援多種掃描技術，如 TCP 連線掃描、UDP 掃描和 FIN 掃描等。這些技術能夠幫助安全研究人員更全面地瞭解目標主機的網路服務和潛在漏洞。

以下是一個使用 Scapy 進行 TCP 連線掃描的範例：

from scapy.all import *

def tcp_connect_scan(target, ports):
    for port in ports:
        packet = IP(dst=target)/TCP(dport=port, flags="S")
        response = sr1(packet, timeout=1, verbose=0)
        if response and response.haslayer(TCP) and response.getlayer(TCP).flags == 0x12:
            # 如果收到 SYN-ACK，回傳 RST 結束連線
            sr(IP(dst=target)/TCP(dport=port, flags="R"), timeout=1, verbose=0)
            print(f"Port {port} is open")
        else:
            print(f"Port {port} is closed")

tcp_connect_scan("192.168.1.1", [21, 22, 80, 443])

內容解密：

此程式碼實作了 TCP 連線掃描（也稱為全開掃描）。它向目標主機的指定埠傳送 SYN 封包，如果收到 SYN-ACK 回應，則表示該埠開放。接著，掃描器會傳送 RST 封包來重置連線，以避免建立完整的 TCP 連線。此方法雖然準確，但容易被防火牆和入侵檢測系統記錄。

網路層級的偵測與診斷

Scapy 不僅能夠進行埠口掃描，還能夠用於網路層級的偵測與診斷。例如，透過建構特定的 ICMP 封包，可以進行網路連通性測試和路由追蹤。

以下是一個使用 Scapy 進行 traceroute 的範例：

from scapy.all import *

def scapy_traceroute(target):
    ttl = 1
    while True:
        packet = IP(dst=target, ttl=ttl)/ICMP()
        reply = sr1(packet, verbose=0)
        if reply is None:
            print(f"{ttl}: *")
        elif reply.haslayer(ICMP) and reply.getlayer(ICMP).type == 11:
            print(f"{ttl}: {reply.src}")
        elif reply.haslayer(ICMP) and reply.getlayer(ICMP).type == 0:
            print(f"{ttl}: {reply.src} (Reached destination)")
            break
        else:
            print(f"{ttl}: Unknown response")
        ttl += 1

scapy_traceroute("8.8.8.8")

內容解密：

此程式碼實作了一個簡單的 traceroute 功能。透過逐步增加 IP 封包的 TTL 值，並觀察回應，可以追蹤資料包到達目標主機所經過的路由節點。當 TTL 到達目標主機時，會收到 ICMP 回應，表明已到達目的地。

網路流量分析與監控

Scapy 也支援對網路流量進行捕捉和分析。透過 sniff 功能，可以監控網路介面上的封包，並根據自定義的規則進行處理。

from scapy.all import *

def packet_callback(packet):
    if packet.haslayer(TCP):
        print(f"TCP Packet: {packet[IP].src} -> {packet[IP].dst}")

sniff(prn=packet_callback, count=10)

內容解密：

此程式碼定義了一個回呼函式 packet_callback，用於處理捕捉到的封包。當捕捉到 TCP 封包時，列印出源 IP 和目的 IP。sniff 函式用於捕捉網路封包，並將每個封包傳遞給回呼函式進行處理。

結語

Scapy 以其靈活性和強大的功能，在網路分析和安全研究領域佔據重要地位。無論是進行埠口掃描、網路偵測，還是流量分析，Scapy 都能提供高效、精準的工具。透過本文介紹的技術實務，研究人員和開發者能夠更好地掌握 Scapy 的應用，提升網路安全防護和故障診斷的能力。

@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle

title Python 網路封包分析實戰技巧

package "資料庫架構" {
    package "應用層" {
        component [連線池] as pool
        component [ORM 框架] as orm
    }

    package "資料庫引擎" {
        component [查詢解析器] as parser
        component [優化器] as optimizer
        component [執行引擎] as executor
    }

    package "儲存層" {
        database [主資料庫] as master
        database [讀取副本] as replica
        database [快取層] as cache
    }
}

pool --> orm : 管理連線
orm --> parser : SQL 查詢
parser --> optimizer : 解析樹
optimizer --> executor : 執行計畫
executor --> master : 寫入操作
executor --> replica : 讀取操作
cache --> executor : 快取命中

master --> replica : 資料同步

note right of cache
  Redis/Memcached
  減少資料庫負載
end note

@enduml

流程解密：

此圖展示了使用 Scapy 進行埠口掃描的基本流程。根據不同的掃描需求，可以選擇適當的掃描型別，並透過分析回應來判斷目標主機的埠狀態。最終，將掃描結果輸出，以供進一步分析和處理。