用Scapy找出fast-flux流量

最新推荐文章于 2023-05-11 14:33:12 发布

zwlww1

最新推荐文章于 2023-05-11 14:33:12 发布

阅读量536

点赞数

本文介绍了一种从PCAP文件中解析DNS记录的方法，通过Scapy库读取并处理数据包，提取DNS请求与响应中的域名及其对应IP地址，并建立索引字典进行统计。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

#!/usr/bin/python
#coding=utf-8
from scapy.all import *

dnsRecords = {}
'''
解析pcap文件中所有含DNSRR的数据包，提取分别含有查询的域名和对应的IP的rrname和rdata变量，然后建立一个索引字典并对字典中未出现的IP添加到数组中。
'''
def handlePkt(pkt):
    # 判断是否含有DNSRR
    if pkt.haslayer(DNSRR):
        rrname = pkt.getlayer(DNSRR).rrname
        rdata = pkt.getlayer(DNSRR).rdata
        #记录是否存在
        if dnsRecords.has_key(rrname):
            if rdata not in dnsRecords[rrname]:
                dnsRecords[rrname].append(rdata)
        else:
            dnsRecords[rrname] = []
            dnsRecords[rrname].append(rdata)

def main():
    pkts = rdpcap('fastFlux.pcap')
    for pkt in pkts:
        handlePkt(pkt)
    for item in dnsRecords:
        print "[+] " + item + " has " + str(len(dnsRecords[item])) + " unique IPs."
        # for i in dnsRecords[item]:
        #   print "[*] " + i
        # print

if __name__ == '__main__':
    main()