libpcap的主要函数详解

libpcap的抓包框架涉及的主要函数

1）查找网络设备

      函数名称：char *pcap_lookupdev(char *errbuf)

      函数功能：

             参数1：errbuf用来存放相关错误的消息

      返回值：

                    成功：返回网络设备名指针device

                    出错：则返回NULL，同时errbuf中存放相关的错误消息。

                

2）获取网络号和掩码

      函数名称：int pcap_lookupnet(char *device, bpf_u_int32 *netp,bpf_u_int32 *maskp, char *errbuf)

      函数功能：获得指定网络设备的网络号和掩码。

      参数说明

                 参数1：网络设备名指针device 

                 参数2：netp参数是bpf_u_int32指针，

                 参数3：maskp参数是bpf_u_int32指针，

                 参数4：存放出错信息

      返回值：如果函数出错，则返回-1，同时errbuf中存放相关的错误消息。

3）获取会话句柄（设备描述符）

      函数名称：pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms, char *ebuf)

      函数功能：获得用于捕获网络数据包的数据包捕获描述字。

      参数说明：

              参数1：device指定打开的网络设备名指针

              参数2：snaplen定义捕获数据的最大字节数。

              参数3：Promisc 指定是否将网络接口置于混杂模式。

              参数4：to_ms 指*定超时时间（毫秒）

              参数5：ebuf   保存错误信息的数组

       返回值： 

                     成功：返回网卡会话句柄  P 

4）创建一个新的会话句柄

      函数名称：pcap_t* pcap_open_dead(int linktype,int snaplen);

      函数功能：获得指定网络设备的网络号和掩码。

      参数说明

                 参数1：网络设备名指针device 

                 参数2：netp参数是bpf_u_int32指针，

                 参数3：maskp参数是bpf_u_int32指针，

                 参数4：存放出错信息

      返回值：如果函数出错，则返回-1，同时errbuf中存放相关的错误消息。

5）打开以前保存捕获数据包文件

     函数名称：pcap_t *pcap_open_offline(char *fname, char *ebuf)

     函数功能：打开以前保存捕获数据包的文件，用于读取。

    参数说明： fname参数指定打开的文件名。该文件中的数据格式与tcpdump和tcpslice兼容。”-“为标准输入。ebuf参数则仅在pcap_open_offline()函数出错返回NULL时用于传递错误消息。

    返回值：

                成功则返回网卡会话句柄 P

6)捕获和处理数据包
       函数名称：int pcap_dispatch(pcap_t *p,  int cnt, pcap_handler callback,  u_char *user) 
       函数功能：捕获并处理数据包。 
       参数说明：

               参数1：网卡回话句柄

               参数2：cnt指定函数返回前所处理数据包的最大值。cnt=  -1表示在一个缓冲区中处理所有的数据包。cnt=0表示处理所有数据包，直到产生以下错误之一：读取到EOF；超时读取。

               参数3：callback是一个毁掉函数指针，它的形式如下：

                         void  callback( u_char * userarg , const struct  pcap_pkthdr *  pkthdr , const u_char * packet  )

                        参数1：userarg一个从pcap_dispatch()函数的user参数传递过来的u_char指针，

                        参数2：一个pcap_pkthdr结构的指针 

                        参数3：一个数据包大小的u_char指针。

                参数4：参数user是用户自定义的参数，用于传递给回调函数 ，常置为NULL

       返回值：如果成功则返回读取到的字节数。读取到EOF时则返回零值。出错时则返回-1，此时可调用pcap_perror()或pcap_geterr()函数获取错误消息。

 7)捕获和处理数据包（基于回调函数）

        函数名称 int pcap_loop(pcap_t * p, int cnt, pcap_handler callback, u_char * user)

           参数1：会话句柄
           参数2：是需要抓的数据包的个数，一旦抓到了cnt个数据包，pcap_loop立即返回。负数的cnt表示pcap_loop永远循环抓包，直到出现错误。
           参数3：callback是一个回调函数指针，它必须是如下的形式：

                       void callback(u_char * userarg, const   struct  pcap_pkthdr  * pkthdr,  const   u _char  * packet    )                                                    

                        参数1：是pcap_loop的最后一个参数，当收到足够数量的包后pcap_loop会                            
                                        调用callback回调函数，同时将pcap_loop()的user参数传递给它。
                        参数2：是收到的数据包的pcap_pkthdr类型的指针
                        参数3：是收到的数据包数据
            参数4：参数user是用户自定义的参数，用于传递给回调函数 ，常置为NULL

 struct pcap_pkthdr {
　　 struct timeval ts; /* 时间戳 */
　　 bpf_u_int32 caplen; /* 已捕捉部分的长度 */
　　 bpf_u_int32 len; /* 该包的脱机长度 */
　　 };

8) 捕获和处理数据包（基于非回调函数 ）（此处是二级指针）

       函数名称： int  pcap_next_ex(pcap_t *p, struct pcap_pkthdr  ** pkt_header, const  u_char  **  pkt_data) 
       函数功能：从interface或离线记录文件获取一个报文

       参数说明：  

                        参数 p:网卡会话句柄

                        参数2：一个pcap_pkthdr  * 结构 ，保存报文头

                        参数3：一个 u_char * 指针 ，保存报文内容 

        参数定义： struct pcap_pkthdr *pkt_header  ;   const u_char *pkt_data;     要传递&pkt_header  和&pkt_data  这样的参数下去。

        返回值：  

                        返回 1：表示成功。 读取数据包没有出现错误

                        返回 0：如果pcap_open_live()设置的timeout时间到了。此时，ptk_header和pkt_data不会指向一个合法的数据包。

                        返回 -1：读取数据包出现错误

                        返回 -2：从一次离线捕捉中读取数据遇见了EOF。

9)捕获数据包
       函数名称：u_char *pcap_next ( pcap_t *p , struct pcap_pkthdr *h ) 
       函数功能：返回指向下一个数据包的u_char指针

       参数1：网卡会话句柄

       参数2：指向一个包括了当前数据包总体信息（被捕获是的时间、包的长度、其被指定的部分长度）的结构体的指针。

 10)输出数据包到文件
      函数名称：void pcap_dump(u_char *user, struct pcap_pkthdr *h,u_char *sp) 
      函数功能：向调用pcap_dump_open()函数打开的文件输出一个数据包。该函数可作为pcap_dispatch()函数的回调函数。
      参数说明: 

      参数1: 所建立的文件pcap_dump_open()的返回值,要进行强制转换.;

      参数2: 数据包特有的内容.;

      参数 3: 数据包内容指针

11）保存数据包到文件

      函数名称：pcap_dumper_t *pcap_dump_open(pcap_t *p, char *fname)

      函数功能：打开用于保存捕获数据包的文件，使用pcap_next_ex（）函数捕获包，并调用pcap_dump（）函数把数据包写入文件中。

      参数说明：

              参数 1：  p为网卡会话句柄。

              参数2： fname参数指定打开的文件名，存盘的文件名，为”-“时表示标准输出。

     返回值：

             如果返回NULL，则可调用pcap_geterr()函数获取错误消息。

12)过滤通信

       函数名称：int pcap_compile(pcap_t *p, struct bpf_program *fp,char *str, int optimize, bpf_u_int32 netmask)
       函数功能：编译字串至过滤程序，将str参数指定的字符串编译到过滤程序中。 

       参数说明：

            参数1：网卡会话句柄要使用函数pcap_open_dead（）新建一个。

            参数2：fp是一个bpf_program结构的指针，在pcap_compile()函数中被赋值。

            参数3：optimize参数控制结果代码的优化。

            参数4：netmask参数指定本地网络的网络掩码。

13)过滤通信
       函数名称：int pcap_setfilter(pcap_t *p, struct bpf_program *fp) 
       函数功能：指定一个过滤程序。 
       参数说明：fp参数是bpf_program结构指针，通常取自pcap_compile()函数调用。
       返回值：出错时返回-1；成功时返回0

14)获取数据链路层类型
      函数名称：int pcap_datalink(pcap_t *p) 
      函数功能：返回数据链路层类型，例如DLT_EN10MB

15)获取快照参数值
      函数名称：int pcap_snapshot(pcap_t *p) 
      函数功能：返回pcap_open_live被调用后的snapshot参数值

16)检测字节顺序
     函数名称：int pcap_is_swapped(pcap_t *p) 
     函数功能：返回当前系统主机字节与被打开文件的字节顺序是否不同

17)获取主版本号
    函数名称：int pcap_major_version(pcap_t *p) 
    函数功能：返回写入被打开文件所使用的pcap函数的主版本号

18)获取 辅版本号
    函数名称：int pcap_minor_version(pcap_t *p) 
    函数功能：返回写入被打开文件所使用的pcap函数的辅版本号

19)结构赋值
   函数名称：int pcap_stats(pcap_t *p, struct pcap_stat *ps) 
   函数功能：向pcap_stat结构赋值。成功时返回0。这些数值包括了从开始捕获数据以来至今共捕获到的数据包统计。如果出错或不支持数据包统计，则返回-1，且可调用pcap_perror()或pcap_geterr()函数来获取错误消息。

20)获取打开文件名
    函数名称：FILE *pcap_file(pcap_t *p) 
    函数功能：返回被打开文件的文件名。

21)获取描述字号码
    函数名称：int pcap_fileno(pcap_t *p) 
    函数功能：返回被打开文件的文件描述字号码。

 22)显示错误消息
    函数名称：void pcap_perror(pcap_t *p, char *prefix) 
    函数功能：在标准输出设备上显示最后一个pcap库错误消息。以prefix参数指定的字符串为消息头。