使用scapy基于包时间戳的Pcap文件重放

Question

我有一个pcap文件（~90M），我想重放这个文件。我遇到了scapy，它提供了读取pcap文件并重放它的方法。我试着用两种方法重放数据包

sendp(rdpcap(<filename>)

以及

pkts = PcapReader(<filename>);
for pkt in pkts:
     sendp(pkt)

第一个游戏我内存出错，python进程的内存消耗上升到3gig，最后死掉了。但是第二个选项对我来说很好，因为它没有将整个文件读入内存。我有三个问题

1. 90M pcap文件是否太大而无法重播？

2. 每当我们使用tcpdump/wireshark时，每个包都有与其相关联的时间戳。假设数据包1在时间T时到达，数据包2在时间T+10时到达，那么scapy会以类似的方式重放数据包吗？第一个数据包在时间T时到达，第二个数据包在时间T+10时到达？或者它会一直循环发送，我想稍后是PcapReader的情况。

3. 如果上述问题的答案是否定的（只是在循环中重放，不考虑包的到达时间），我们是否还有其他的python库可以为我做这项工作？即使是python对我来说也不是限制。

Answer 1

1. 不，它不应该占用3GB的内存。我经常在只有2GB内存的机器上打开更大的pcap文件。试着做pkts = rdpcap(<filename>)看看需要多少内存，然后从那里开始。如果问题仍然存在，您可能希望尝试不同版本的scapy。

2. 不，sendp()默认情况下不会这样做。您可以尝试realtime参数（在控制台上键入help(sendp)）。但总的来说，根据我的经验，scapy不太擅长保持准确的时间。

3. tcpreplay（linux CLI工具）是我使用的。它有很多选择，包括各种时间保持机制。