在PCAP文件上使用BPF

Question

我写了一个代码，它在网络上嗅探数据包。然后根据MAC地址对其进行过滤并将其作为.pcap文件存储。现在我想为可以读取.pcap文件的代码添加一个函数，或者将包含sniffed数据包的对象再次过滤以获取ARP数据包。

我尝试使用PCAP库的bpf函数，但它没有帮助。任何其他方式，这可能工作？

Answer 1

如果你想要做这一切在Python中，我使用dpkt前，它工作得很好：https://code.google.com/p/dpkt/

我不知道它是否支持BPF的虽然。

Answer 2

打开与pcap_open_offline()的PCAP文件，编译滤波器"arp"与pcap_compile()，在pcap_t *过滤器与pcap_setfilter()设置为所得到的过滤器，然后读取来自pcap_t *的报文。