mcpField
A
analyzing-network-packets-with-scapy

analyzing-network-packets-with-scapy

github.com/mukul975安全35.2k443 次安装8 周前更新
代码仓库

关于 analyzing-network-packets-with-scapy

一项使用 Scapy 检查和构造网络数据包的安全分析技能。面向事件响应人员和 SOC 分析师，涵盖 pcap 分析、流量统计、异常检测及授权数据包测试。

主要功能

  1. 01离线解析 pcap 和 pcapng
  2. 02提取协议层与字段
  3. 03统计流量和端口分布
  4. 04检测 SYN 洪泛和 DNS 异常
  5. 05构造自定义探测数据包
  6. 06生成结构化 JSON 报告

适用场景

  1. 01在事件调查中分析数据包捕获文件
  2. 02识别 SYN 洪泛或 DNS 外传迹象
  3. 03使用授权的自定义探测包测试网络

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-network-packets-with-scapy

安装后在 Claude Code 中输入/analyzing-network-packets-with-scapy确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 Scapy 分析网络数据包

概述

Scapy 是一个 Python 数据包操作库，可在细粒度协议层上构造、发送、嗅探和解析网络数据包。本技能介绍如何使用 Scapy 执行与安全相关的任务，包括构造 TCP/UDP/ICMP 数据包、分析 pcap 文件、提取协议字段、实现 SYN 扫描、分析 DNS 查询，以及检测异常流量模式，例如异常分片的数据包或格式错误的标头。

适用场景

  • 调查需要使用 Scapy 分析网络数据包的安全事件时
  • 为此领域构建检测规则或威胁狩猎查询时
  • SOC 分析师需要此类分析的结构化流程时
  • 验证对相关攻击技术的安全监控覆盖情况时

前置条件

  • 安装了 scapy 库的 Python 3.8+（pip install scapy）
  • 执行原始套接字操作（嗅探、发送）所需的 root/管理员权限
  • 用于数据包捕获的 Npcap（Windows）或 libpcap（Linux）
  • 已获授权，可在目标网络上执行数据包操作

步骤

  1. 使用 rdpcap() 读取并解析 pcap/pcapng 文件，以进行离线分析
  2. 提取协议层（IP、TCP、UDP、DNS、HTTP）及字段值
  3. 计算流量统计信息：通信最频繁的主机、协议分布、端口频率
  4. 通过分析 TCP 标志比例检测 SYN 洪泛模式
  5. 通过分析查询长度和熵，识别 DNS 数据外泄指标
  6. 构造自定义探测数据包，用于经授权的网络测试
  7. 将调查结果导出为结构化 JSON 报告

预期输出

JSON 报告，包含数据包统计信息、协议分布、最常见的源/目标 IP、检测到的异常（SYN 洪泛、DNS 隧道指标、分片攻击）以及逐流摘要。

评论

支持 Markdown