使用python抓取經過本機網卡流量

背景：

經過流量劫持后，我們的本機IP就成為了其他設備的網關地址。想查看別人發了什么信息、從哪里來、到哪去，勢必要進行流量分析。

又或者我實在是閑的蛋疼無聊，想看下我網卡都經過了什么流量

第一步：

　　獲取本機IP地址：

# 監聽主機（獲取本機ip）
host = socket.gethostbyname(socket.getfqdn(socket.gethostname()))　　

第二步：

　　創建原始套接字， 然后綁定在公開接口上。

　　os.name=="nt"代表windows系統，==“posix”代表linux系統

# 創建原始套接字， 然后綁定在公開接口上
if os.name == "nt":
    socket_protocol = socket.IPPROTO_IP
else:
    socket_protocol = socket.IPPROTO_ICMP
    
sniffer = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket_protocol)
sniffer.bind((host, 0))

第三步：

　　捕獲數據並設置混雜模式

# 設置在捕獲的數據包中包含的IP頭
sniffer.setsockopt(socket.IPPROTO_IP, socket.IP_HDRINCL, 1)
    
# 在windows平台上， 我們需要設置IOCTL以啟用混雜模式
if os.name == "nt":
    sniffer.ioctl(socket.SIO_RCVALL, socket.RCVALL_ON)

第四步：

　　使用ip解析報文

class IP(Structure):
    _fields_ = [
            ("ihl",            c_ubyte, 4),
            ("version",        c_ubyte, 4),
            ("tos",            c_ubyte),
            ("len",            c_ushort),
            ("id",             c_ushort),
            ("offset",         c_ushort),
            ("ttl",            c_ubyte),
            ("protocol_num",   c_ubyte),
            ("sum",            c_ushort),
            ("src",             c_ulong),
            ("dst",             c_ulong)
        ]
    
    def __new__(self, socket_buffer=None):
        return self.from_buffer_copy(socket_buffer)
    
    
    def __init__(self, socket_buff=None):
        # 協議字段與協議名稱對應
        self.protocol_map = {1:'ICMP', 2:'IGMP', 3:'GGP', 4:'IP', 6:'TCP', 17:'UDP', 41:'IPV6'}
        
        # 可讀性更強的ip地址
        self.src_address = socket.inet_ntoa(struct.pack("<L", self.src))
        self.dst_address = socket.inet_ntoa(struct.pack("<L", self.dst))
        
        # 協議類型
        try:
            self.protocol = self.protocol_map[self.protocol_num]
        except:
            self.protocol = str(self.protocol_num)

 

完整代碼：

#-*- encoding:utf-8 -*-
'''
Created on 2018年12月8日

@author: perilong
'''

from ctypes import *
import os
import socket
import struct
from scapy.sendrecv import sniff


# IP頭定義
class IP(Structure):
    _fields_ = [
            ("ihl",            c_ubyte, 4),
            ("version",        c_ubyte, 4),
            ("tos",            c_ubyte),
            ("len",            c_ushort),
            ("id",             c_ushort),
            ("offset",         c_ushort),
            ("ttl",            c_ubyte),
            ("protocol_num",   c_ubyte),
            ("sum",            c_ushort),
            ("src",             c_ulong),
            ("dst",             c_ulong)
        ]
    
    def __new__(self, socket_buffer=None):
        return self.from_buffer_copy(socket_buffer)
    
    
    def __init__(self, socket_buff=None):
        # 協議字段與協議名稱對應
        self.protocol_map = {1:'ICMP', 2:'IGMP', 3:'GGP', 4:'IP', 6:'TCP', 17:'UDP', 41:'IPV6'}
        
        # 可讀性更強的ip地址
        self.src_address = socket.inet_ntoa(struct.pack("<L", self.src))
        self.dst_address = socket.inet_ntoa(struct.pack("<L", self.dst))
        
        # 協議類型
        try:
            self.protocol = self.protocol_map[self.protocol_num]
        except:
            self.protocol = str(self.protocol_num)
            
if __name__ == "__main__":
    # 監聽主機（獲取本機ip）
    host = socket.gethostbyname(socket.getfqdn(socket.gethostname()))
    
    # 創建原始套接字， 然后綁定在公開接口上
    if os.name == "nt":
        socket_protocol = socket.IPPROTO_IP
    else:
        socket_protocol = socket.IPPROTO_ICMP
    
    sniffer = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket_protocol)
    sniffer.bind((host, 0))
    
    # 設置在捕獲的數據包中包含的IP頭
    sniffer.setsockopt(socket.IPPROTO_IP, socket.IP_HDRINCL, 1)
    
    # 在windows平台上， 我們需要設置IOCTL以啟用混雜模式
    if os.name == "nt":
        sniffer.ioctl(socket.SIO_RCVALL, socket.RCVALL_ON)
        
    try:
        while True:
            # 讀取數據包
            raw_buffer = sniffer.recvfrom(65565)[0]
            
            # 將緩沖區前的20個字段按IP頭進行解析
            ip_header = IP(raw_buffer[0:20])
            
            # 輸出協議和通信雙方ip地址
            print "Protocol: %s %s -> %s" % (ip_header.protocol, ip_header.src_address, ip_header.dst_address)
    
    # 出來CTRL-C
    except KeyboardInterrupt:
        # 如果運行在windows上，關閉混雜模式
        if os.name == "nt":
            sniffer.ioctl(socket.SIO_RCVALL, socket.RCVALL_OFF)

 

輸出結果：

注：家用電腦包比較單一。如果是公共場合或者公司電腦，你會發現各種各樣的協議和IP地址

 

參考資料： python黑帽子

　　　　　協議字段---https://blog.csdn.net/zhou1021jian/article/details/80337308