scapy是python中功能强大的交互式数据包操作工具，可构造、发送、嗅探、解析各类协议包；安装后需管理员权限运行，支持抓取http包、自定义syn探测、保存/重放pcap文件及链式筛选分析。
用Scapy发送和捕获网络数据包
Scapy是Python中功能强大的交互式数据包操作工具，不依赖底层libpcap库（但推荐安装以支持混杂模式捕获），能构造、发送、嗅探、解析几乎所有常见协议的数据包。安装只需：pip install scapy。首次运行可能提示权限不足，Linux/macOS需加sudo，Windows建议以管理员身份运行终端。
快速抓一个HTTP请求包并解析
想看浏览器访问时发了什么？不用Wireshark，Scapy几行就能搞定。先开启嗅探，过滤目标端口或协议：
- packets = sniff(filter="tcp port 80", count=5) —— 抓5个TCP 80端口的包（HTTP明文）
- packets[0].show() —— 展示第一包各层字段（Ethernet/IP/TCP/RAW）
- packets[0][IP].src 获取源IP，packets[0][TCP].dport 获取目标端口
- 若含HTTP内容，可用 packets[0][Raw].load.decode('utf-8', errors='ignore') 尝试提取请求行或Host头
构造自定义TCP SYN包探测端口
Scapy不止能“看”，还能“说”。比如模拟三次握手的第一步，向某IP的22端口发SYN包：
- ip = IP(dst="192.168.1.100")
- tcp = TCP(dport=22, flags="S", seq=1000)
- pkt = ip/tcp —— 层叠构造，自动填充IP头校验和等
- ans, unans = sr(pkt, timeout=2, verbose=0) —— 发送并等待响应；ans里是收到SYN-ACK的包，说明端口开放
- 检查 ans[0][1][TCP].flags == 18（即0x12，SYN-ACK标志位）即可确认
保存与重放pcap文件便于分析
抓到的包可以存成标准pcap格式，用Wireshark打开对比，也方便后续脚本复用：
立即学习“Python免费学习笔记（深入）”；
- wrpcap("capture.pcap", packets) —— 保存为二进制pcap文件
- pkts = rdpcap("capture.pcap") —— 重新读入，类型仍是PacketList
- 支持切片：如 pkts[TCP] 筛出所有TCP包，pkts[DNS] 提取DNS查询
- 可链式处理：例如 [p[IP].src for p in pkts if IP in p and TCP in p and p[TCP].dport == 443] 快速统计HTTPS访问源IP
