Windows下搭配npcap使用scapy sniff过滤时报tcpdump不可用如何解决

错误原因 #

该报错是因为Scapy在Windows环境下处理离线pcap的BPF过滤规则时，默认会尝试调用tcpdump程序完成过滤，而Windows系统原生没有内置tcpdump，仅安装Npcap并不会自带该程序，因此触发了找不到tcpdump的异常。

解决方法 #

方案1：直接在Python层过滤（无需额外安装程序，推荐） #

不需要依赖tcpdump，你可以先读取所有数据包，再用Scapy自带的层判断逻辑筛选目标包，修改后的代码如下：

from scapy.all import *

conf.use_pcap = True
conf.use_npcap = True # 启用Npcap支持，适配你安装的Npcap环境

pcap_file_path = r"C:\8OCT21_DDL_00001_20211008214804"

# 先读取所有符合count要求的包
all_packets = sniff(offline=pcap_file_path, count=10)
# 筛选UDP包，其他协议把UDP换成TCP/ICMP等即可
udp_packets = [pkt for pkt in all_packets if UDP in pkt]

udp_packets.summary()

如果需要更复杂的过滤规则，也可以直接在列表推导里加判断条件，比如要过滤源端口为53的UDP包，就写成if UDP in pkt and pkt[UDP].sport == 53。

方案2：配置Scapy调用TShark替代tcpdump（可保留原filter参数写法） #

如果你想继续使用sniff的filter参数写BPF过滤规则，可以借助Wireshark自带的TShark工具（兼容tcpdump的过滤逻辑）：

1. 打开Wireshark安装程序，确保勾选安装TShark组件，安装完成后把Wireshark的安装目录（默认是C:\Program Files\Wireshark\）添加到系统环境变量PATH，或者直接在代码里指定TShark的路径
2. 修改代码，添加TShark路径配置：

from scapy.all import *

conf.use_pcap = True
conf.use_npcap = True
# 把路径替换为你本地tshark.exe的实际路径
conf.prog.tcpdump = r"C:\Program Files\Wireshark\tshark.exe"

pcap_file_path = r"C:\8OCT21_DDL_00001_20211008214804"

packets = sniff(offline=pcap_file_path, 
                count=10,
                filter="udp")
packets.summary()

这样Scapy就会调用TShark完成过滤逻辑，不会再报找不到tcpdump的错误。

内容的提问来源于stack exchange，提问作者user2662241