Python提取裸IPv4报文并转PCAP的技术问题求助

正确提取裸IPv4报文的Python脚本 #

首先确保提取的报文格式正确，这是后续转换成功的前提：

def extract_ip_packets(input_file, output_file):
    with open(input_file, 'rb') as f_in, open(output_file, 'wb') as f_out:
        data = f_in.read()
        offset = 0
        total_len = len(data)
        
        while offset <= total_len - 20:  # IPv4报文最小长度为20字节
            if data[offset] == 0x45:  # IPv4版本+首部长度标识
                # 按网络字节序（大端）解析IP总长度（第3、4字节）
                ip_len = int.from_bytes(data[offset+2:offset+4], byteorder='big')
                # 校验剩余数据是否足够容纳完整报文
                if offset + ip_len > total_len:
                    print(f"警告：偏移{offset}处剩余数据不足，跳过该报文")
                    offset += 1
                    continue
                # 提取完整报文并写入输出文件
                packet = data[offset:offset+ip_len]
                f_out.write(packet)
                print(f"提取报文：偏移{offset}，长度{ip_len}")
                offset += ip_len
            else:
                offset += 1

if __name__ == "__main__":
    extract_ip_packets("raw_ip_data", "extracted_ip_packets.raw")

脚本关键注意点 #

• 必须用byteorder='big'解析IP长度，因为IP协议使用网络字节序，误用小端会导致长度计算错误，提取的报文损坏。
• 加入剩余数据校验，避免越界读取无效数据。
• 找到有效报文起始后直接按IP长度跳转，避免重复扫描提升效率。

解决text2pcap写入0个报文的问题 #

核心原因与解决方案 #

text2pcap默认假设输入是以太网帧格式，而我们的输入是裸IP报文，必须明确指定链路层类型：

text2pcap -l 0 extracted_ip_packets.raw converted.pcap

参数说明：

• -l 0：指定链路层类型为RAW IP（对应DLT_RAW，值为0），告知text2pcap直接解析裸IP报文，无需以太网帧头。

额外排查步骤 #

1. 先检查extracted_ip_packets.raw的文件大小，若为0说明脚本提取失败，回到第一步排查逻辑。
2. 用十六进制编辑器查看提取文件的开头，确认存在连续的0x45标识，确保有有效报文。
3. 启用verbose模式查看详细错误：

text2pcap -v -l 0 extracted_ip_packets.raw converted.pcap

根据输出的报错信息（如报文长度不匹配、格式损坏等），针对性调整提取脚本或转换参数。

内容的提问来源于stack exchange，提问作者user23508164