Fedorax

Wiresharkでダンプしたパケット(cap,pcap）ファイルをPerlを使って解析するツール

事前にNet::Pcap(要libpcap),NetPacketをCpanからインストールしておいてください。

#/usr/bin/perl --
# 環境に合わせてperlのパスをあわせてください。
use strict;
use Net::Pcap;                      # .capおよび.pcapを開くためのライブラリ
use NetPacket::Ethernet qw(:ALL);   # Ethernet（データリンク層）からの解析
use NetPacket::IP;                  # IPフレームからの解析
use NetPacket::ICMP;　　　　　　　　# ICMPフレームからの解析
use NetPacket::TCP;　　　　　　　　 # TCPフレームからの解析
use NetPacket::UDP;     　　　　　　# UDPフレームからの解析

my $input_file;   # ファイルが格納される変数
my $pcap;         # Net::Pcapのオブジェクト格納関数
my %header;       # ヘッダを格納するハッシュ変数
my $packet;       # パケットを格納する変数
my $err;          # エラーオブジェクト
my $pkt_cnt = 0;  # パケットカウント

$input_file = $ARGV[0]; #引数からファイルパスを格納
if(! -f $input_file){                      #input_fileが存在するか確認
   print "Can not exist ".$input_file."
";
   exit(1);
}

$pcap = Net::Pcap::open_offline($input_file, $err) or die "Can not open ".$input_file." using Pcap";
#open_onlineを利用した場合,イーサネットのデバイスを指定するとイーサネットから開きます。

while($packet = Net::Pcap::next($pcap, \%header)){　#pcapのライブラリから1行づつ読み込み
       &parse_packet($packet,\%header);             #parse_packet関数を利用
}
Net::Pcap::close($pcap);  #pcapオブジェを閉じる
# Main部分はここまで。
sub parse_packet {
   my($packet, $header) = @_;   #引数から格納
   $eth_obj = NetPacket::Ethernet->decode($packet); #パケットからデータリンク層にデコード

　 $ip_obj = NetPacket::IP->decode($eth_obj->{data}); #データリンク層からIPフレームにデコード
   $src_ip = $ip_obj->{src_ip};
   $dest_ip = $ip_obj->{dest_ip};

   $time = $header->{tv_sec};
   $len = $header->{len};

   $proto = $ip_obj->{proto};

   print "From :".$src_ip." To:".$dest_ip."
";
   print $time."
";
   print "Length :".$len;

   if($proto == 1){
      #ICMPフレーム;
      $icmp_obj = NetPacket::ICMP->decode($ip_obj->{data});
   }
   elsif($proto == 4){
      #IPフレーム
   }
   elsif($proto == 6){
　　　#TCPフレーム
      $tcp_obj   = NetPacket::TCP->decode($ip_obj->{data});
      $src_port  = $tcp_obj->{src_port};
      $dest_port = $tcp_obj->{dest_port};
      $flags     = $tcp_obj->{flags};
   }
   elsif($proto == 17){
      #UDPフレーム
      $udp_obj   = NetPacket::UDP->decode($ip_obj->{data});
      $src_port  = $udp_obj->{src_port};
      $dest_port = $udp_obj->{dest_port};
      $flags     = $udp_obj->{flags};
   }
   else{
      print "Proto: ".$ip_obj->{proto}."
";
   }
}

詳細は
http://search.cpan.org/~saper/Net-Pcap-0.16/Pcap.pm
http://search.cpan.org/~yanick/NetPacket-0.41.1/