使用Scapy构建NIDS时遇IndexError: Layer [None] not found错误

错误根源 #

你碰到的IndexError: Layer [None] not found，核心问题是代码错误地将当前IP包的payload（实际是TCP层或应用层数据）当成了IP数据包集合。比如你捕获的数据包是Ether / IP / TCP / Raw，packet[IP].payload指向的是TCP层，TCP的payload是应用层Raw数据，根本不是IP包，遍历它时尝试访问prev_packet[IP]自然会触发找不到IP层的错误。

另外代码还有几个逻辑漏洞：

• dur = packet.time：packet.time是单包的捕获时间，不是TCP流的持续时长，不能直接用来计算速率、负载等指标。
• spkts = len(packet[TCP].payload)：TCP payload的长度是字节数，不是数据包数量。
• dpkts的计算逻辑完全错误，单包无法判断反向流的包数量。

修复后的代码 #

要正确计算抖动（jitter）和流量特征，必须跟踪同一条TCP流的历史数据包。我们可以用字典记录每个流的时间戳历史，修正后的代码如下：

from scapy.all import *
from scapy.layers.inet import IP, TCP

features_list = []
# 用(源IP,源端口,目的IP,目的端口)作为键，记录每个TCP流的历史捕获时间戳
flow_timestamps = {}

def packet_handler(packet):
    print(packet.summary())

    if packet.haslayer(IP) and packet.haslayer(TCP):
        ip_layer = packet[IP]
        tcp_layer = packet[TCP]
        flow_key = (ip_layer.src, tcp_layer.sport, ip_layer.dst, tcp_layer.dport)
        
        # 初始化当前流的时间戳列表
        if flow_key not in flow_timestamps:
            flow_timestamps[flow_key] = []
        flow_timestamps[flow_key].append(packet.time)
        
        # 计算流的持续时长（当前包时间 - 流第一个包时间）
        dur = packet.time - flow_timestamps[flow_key][0] if len(flow_timestamps[flow_key]) >=1 else 0
        
        proto = ip_layer.proto
        service = tcp_layer.sport
        state = tcp_layer.flags
        # 当前包的发送方向字节数
        sbytes = len(tcp_layer.payload) if tcp_layer.payload else 0
        dbytes = 0  # 反向流字节数需跟踪反向流，暂设0
        
        # 速率计算：避免除零错误
        rate = sbytes / dur if dur != 0 else 0
        
        sttl = ip_layer.ttl
        dttl = 0  # 反向TTL需跟踪反向流
        
        sload = sbytes / dur if dur != 0 else 0
        dload = 0
        
        # 当前流已捕获的包数
        spkts = len(flow_timestamps[flow_key])
        dpkts = 0  # 反向流包数需跟踪反向流
        
        sloss = 0  # 丢包率需基于预期包数，暂不实现
        dloss = 0
        
        sinpkt = dur / (spkts -1) if spkts >1 else 0
        dinpkt = 0
        
        # 计算抖动：基于流中相邻包的时间差平均值
        sjit = 0
        if len(flow_timestamps[flow_key]) >=2:
            time_diffs = []
            for i in range(1, len(flow_timestamps[flow_key])):
                diff = abs(flow_timestamps[flow_key][i] - flow_timestamps[flow_key][i-1])
                time_diffs.append(diff)
            sjit = sum(time_diffs) / len(time_diffs) if time_diffs else 0
        djit = 0
        
        swin = tcp_layer.window
        stcpb = tcp_layer.seq
        dtcpb = tcp_layer.ack
        dwin = 0  # 反向窗口需跟踪反向流
        
        tcprtt = 0  # RTT需跟踪SYN-ACK握手包，暂设0
        synack = 1 if (tcp_layer.flags.S and tcp_layer.flags.A) else 0
        ackdat = 1 if (tcp_layer.flags.A and tcp_layer.flags.P) else 0
        smean = len(tcp_layer.payload) if packet.haslayer(Raw) else 0
        
        # 将特征存入列表
        features_list.append({
            "dur": dur,
            "proto": proto,
            "service": service,
            "state": state,
            "spkts": spkts,
            "dpkts": dpkts,
            "sbytes": sbytes,
            "dbytes": dbytes,
            "rate": rate,
            "sttl": sttl,
            "dttl": dttl,
            "sload": sload,
            "dload": dload,
            "sloss": sloss,
            "dloss": dloss,
            "sinpkt": sinpkt,
            "dinpkt": dinpkt,
            "sjit": sjit,
            "djit": djit,
            "swin": swin,
            "stcpb": stcpb,
            "dtcpb": dtcpb,
            "dwin": dwin,
            "tcprtt": tcprtt,
            "synack": synack,
            "ackdat": ackdat,
            "smean": smean
        })

interface = 'Wi-Fi'

print(f"Starting packet capture on interface {interface}...")
sniff(iface=interface, prn=packet_handler, store=0)

核心修复点 #

1. 流跟踪机制：新增flow_timestamps字典，记录每个TCP流的历史捕获时间，用于计算流持续时长、抖动等关键指标。
2. 抖动计算修正：基于流中相邻数据包的时间差平均值计算抖动，彻底抛弃错误的payload遍历逻辑。
3. 除零保护：所有除法操作都增加了非零判断，避免运行时崩溃。
4. 变量逻辑修正：调整spkts、dur等变量的定义，使其符合流量特征的实际含义。

内容的提问来源于stack exchange，提问作者Carlson