python读取数据流_python3+pyshark读取wireshark数据包并追踪telnet数据流

一、程序说明

本程序有两个要点，第一个要点是读取wireshark数据包(当然也可以从网卡直接捕获改个函数就行)，这个使用pyshark实现。pyshark是tshark的一个python封装，至于tshark可以认为是命令行版的wireshark，随wireshark一起安装。

第二个要点是追踪流，追踪流在wireshark中是“tcp.stream eq 70”之类的形式，但是70这类值暂是不知道具体怎么计算出来的,但从网上资料看，是依据[IP address A, TCP port A, IP address B, TCP port B]四元组计算出来的，只要这四个值一样那么计算出来的tcp.stream也就一样，就认为是同一个流。那么，反过来也就是说“tcp.stream eq 70”这种形式，其实等价于"ip.addr == ip_a and tcp.port == port_a and ip.addr == ip_b and tcp.port == port_b"的形式，我们这里就是用这种形式来追踪telnet流。

至于为什么一再强调是追踪telnet流而不是追踪流，是因为感觉各应用层协议没有统一获取应用层协议内容的方法，比如这里通过tmp_packet[highest_layer_name].get_field('data')形式读取telnet数据的，但http则得用tmp_packet['http'].file_data读取，ftp等其他协议又要通过其他不同属性来获取。

另外还要说明的一点是，数据包的每次过滤主要是借助写display_filter重新读取数据包文件，而不是将所有数据包读入后自己写代码进行过滤(就实际来看这种方法比借助写display_