Экспортированный захват linux в готовом режиме scapy не открывается в wirehark

Я понятия не имею, в чем проблема, но ее можно решить следующим образом:

wireshark(pkt for pkt in pkts) # don't supply a list but rather a generator

Это также выводит следующее сообщение:

ВНИМАНИЕ: PcapWriter: неизвестный тип LL для генератора. Использование типа 1 (Ethernet)

По-видимому, функция wireshark не обрабатывает захват в готовом режиме Linux это хорошо. Эта странная ситуация может быть связана со следующим отрывком из вики scapy:

Помните, что Wireshark работает с пакетами уровня 2 (обычно называемыми «фреймами»). Поэтому нам пришлось добавить заголовок Ether() к нашим ICMP-пакетам. Передача только IP-пакетов (уровень 3) в Wireshark даст странные результаты.

Мы также можем обойти эту проблему, создав фиктивный уровень Ethernet, если нас не волнует кадр уровня 2:

pkts = [Ether(src=pkt[0].src)/pkt[1:] for pkt in pkts]

EDIT - после дальнейших исследований и анализа исходного кода scapy я понял, почему передача объекта-генератора, похоже, решает эту проблему.

Функция wireshark создает временный файл, содержащий пакеты, и запускает Wireshark с этим файлом. Тип ссылки, который должен быть указан в заголовке этого файла, извлекается следующим образом:

if self.linktype == None:
    if type(pkt) is list or type(pkt) is tuple or isinstance(pkt,BasePacketList):
        pkt = pkt[0]
    try:
        self.linktype = conf.l2types[pkt.__class__]
    except KeyError:
        warning("PcapWriter: unknown LL type for %s. Using type 1 (Ethernet)" % pkt.__class__.__name__)
        self.linktype = 1

При передаче объекта генератора первый оператор if оценивается как False (что, очевидно, является ошибкой), и возникает исключение при попытке доступа к conf.l2types[pkt.__class__], поскольку pkt.__class__ равно <type 'generator'>. Таким образом, выполняется исключение блока кода try-except, а тип ссылки указывается равным 1.

Однако при передаче реального списка первый оператор if оценивается как True, а первый пакет списка извлекается и используется для доступа к conf.l2types, то есть:

In [2]: conf.l2types
Out[2]: 
   0x1 <-  Dot3                 (802.3)
   0x1 <-> Ether                (Ethernet)
   0xc  -> IP                   (IP)
  0x17  -> Ether                (Ethernet)
  0x1f <-> IPv6                 (IPv6)
  0x65 <-> IP                   (IP)
  0x69 <-> Dot11                (802.11)
  0x71  -> CookedLinux          (cooked linux)
  0x77 <-> PrismHeader          (Prism header)
  0x7f <-> RadioTap             (RadioTap dummy)
  0x90 <-> CookedLinux          (cooked linux)
  0xc0 <-> PPI                  (Per-Packet Information header (partial))
 0x304  -> Ether                (Ethernet)
 0x321  -> Dot11                (802.11)
 0x322  -> PrismHeader          (Prism header)
 0x323  -> RadioTap             (RadioTap dummy)

Поскольку pkts[0].__class__ равно scapy.layers.l2.CookedLinux, тип ссылки установлен на 0x90, а не на 0x71 (похоже, это еще одна ошибка), из-за которой Wireshark не может проанализировать файл.

Поэтому я думаю, что лучшим подходом было бы копирование функции wireshark scapy с небольшим изменением, позволяющим пользователю явно указывать тип ссылки:

def wireshark(*args, **kwargs):
    """Run wireshark on a list of packets"""
    f = scapy.all.get_temp_file()
    scapy.all.wrpcap(f, *args, **kwargs)
    subprocess.Popen([scapy.all.conf.prog.wireshark, "-r", f])

wireshark(pkts, linktype=0x71)

РЕДАКТИРОВАНИЕ. Теперь я заметил, что проблема сопоставления типов ссылок уже сообщено и исправлено компанией secdev. Однако он еще не достиг python-scapy. Я также создал новый выпуск на недопустимая обработка объекта генератора в PcapWriter.

(libpcap: захват IrDA имеет пакет с недопустимым полем sll_protocol)

В Linux IrDA используется что-то похожее на заголовок готового режима Linux, но это не то же самое:

• заголовок готового режима Linux с типом заголовка канального уровня 113;
• заголовок Linux IrDA с типом заголовка канального уровня 144.

Я не знаю, что заставило вашу программу выбрать 144, а не 113; был ли ваш входной файл файлом IrDA Linux, а не подготовленным файлом захвата Linux?