如何使用python從pcap文件中過濾字符串？

Question

我有一些大的pcap文件（每個〜100MB），我想過濾掉包含字典文件（txt）中字符串的數據包。 字典文件的格式如下：

line 1: word1
line 2: word2
line 3: word3
line 4: word4

因此，如果word1存在於pcap文件中的任何位置（應該在TCP有效負載中？），我想刪除該字符串，或者只是想從pcap文件中刪除該數據包。 有什么方法可以有效地做到這一點（足夠快）嗎？

Answer 1

我自己解決了這個問題。 對於其他用戶，Tshark在搜索tcp流中的字符串時可能很有用。 如果要搜索字符串並要輸出源和目標的ip地址，則可以使用以下命令：

tshark -r <capture-file> -T fields -e ip.src -e ip.dst -e data |\
 grep `echo -n "<ascii-string>" | xxd -p` |\
 cut -f 1,2

因此，要實現我所希望的問題，以下bash腳本可能會很有用：

value=`cat bad_words.txt`

for i in ${value[@]}; do tshark -r my_test.pcap -T fields -e ip.src -e ip.dst -e data |\
 grep `echo -n $i | xxd -p` |\
 cut -f 1| uniq > $i; echo $i; done