原始套接字实例：MAC 头部报文分析

来源：互联网发布：适用于mac的壁纸编辑：程序博客网时间：2024/06/05 15:41

一、前导

通过http://blog.csdn.net/u013711616/article/details/52641113得知，我们可以通过原始套接字以及 recvfrom( ) 可以获取链路层的数据包，那我们接收的链路层数据包到底长什么样的呢？

二、链路层封包格式

这里写图片描述
三、MAC 头部（有线局域网）

这里写图片描述
注意：CRC、PAD 在组包时可以忽略

四、链路层数据包的其中一种情况：

unsigned char msg[1024] = {      //--------------组MAC--------14------      0xb8, 0x88, 0xe3, 0xe1, 0x10, 0xe6, // dst_mac: b8:88:e3:e1:10:e6      0xc8, 0x9c, 0xdc, 0xb7, 0x0f, 0x19, // src_mac: c8:9c:dc:b7:0f:19      0x08, 0x00,                         // 类型：0x0800 IP协议      // …… ……      // …… ……  };

五、接收的链路层数据包，并对其进行简单分析：

#include <stdio.h>  #include <string.h>  #include <stdlib.h>  #include <sys/socket.h>  #include <netinet/in.h>  #include <arpa/inet.h>  #include <netinet/ether.h>  int main(int argc,charchar *argv[])  {      int i = 0;      unsigned char buf[1024] = "";      int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));      while(1)      {          unsigned char src_mac[18] = "";          unsigned char dst_mac[18] = "";          //获取链路层的数据帧          recvfrom(sock_raw_fd, buf, sizeof(buf),0,NULL,NULL);          //从buf里提取目的mac、源mac          sprintf(dst_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[0], buf[1], buf[2], buf[3], buf[4], buf[5]);          sprintf(src_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[6], buf[7], buf[8], buf[9], buf[10], buf[11]);          //判断是否为IP数据包          if(buf[12]==0x08 && buf[13]==0x00)          {                 printf("______________IP数据报_______________\n");              printf("MAC:%s >> %s\n",src_mac,dst_mac);          }//判断是否为ARP数据包          else if(buf[12]==0x08 && buf[13]==0x06)          {              printf("______________ARP数据报_______________\n");              printf("MAC:%s >> %s\n",src_mac,dst_mac);          }//判断是否为RARP数据包          else if(buf[12]==0x80 && buf[13]==0x35)          {              printf("______________RARP数据报_______________\n");              printf("MAC:%s>>%s\n",src_mac,dst_mac);          }      }      return 0;  }

记得以管理者权限运行程序：
这里写图片描述
每个报文头部都有一个相应的结构体，通过这些结构体对报文进行相应的组包或拆包会方便很多。

ubuntu 12.04 中描述网络协议结构的文件如下：
这里写图片描述

六、以太网头部

#include <net/ethernet.h>）：

这里写图片描述

#include <stdio.h>  #include <string.h>  #include <stdlib.h>  #include <sys/socket.h>  #include <netinet/in.h>  #include <arpa/inet.h>  #include <netinet/ether.h>  #include <net/ethernet.h>         // 以太网头部 头文件      #include <netinet/ip.h>           // ip头部 头文件  // #include <net/if_arp.h>            // arp头部 头文件  int main(int argc,charchar *argv[])  {      int i = 0;      unsigned char buf[1024] = "";      int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));      while(1)      {          unsigned char src_mac[18] = "";          unsigned char dst_mac[18] = "";          //获取链路层的数据帧          recvfrom(sock_raw_fd, buf, sizeof(buf),0,NULL,NULL);          //从数据中提取mac首部信息(14个字节)          struct ether_header *ethdr = NULL;          ethdr = (struct ether_header *)buf;          //从buf里提取目的mac、源mac          sprintf(dst_mac,"%02x:%02x:%02x:%02x:%02x:%02x", ethdr->ether_dhost[0], ethdr->ether_dhost[1],ethdr->ether_dhost[2],ethdr->ether_dhost[3],ethdr->ether_dhost[4],ethdr->ether_dhost[5]);          sprintf(src_mac,"%02x:%02x:%02x:%02x:%02x:%02x", ethdr->ether_shost[0], ethdr->ether_shost[1],ethdr->ether_shost[2],ethdr->ether_shost[3],ethdr->ether_shost[4],ethdr->ether_shost[5]);          //判断是否为IP数据包          if( 0x0800 == ntohs(ethdr->ether_type) )          {                 printf("______________IP数据报_______________\n");              printf("MAC:%s >> %s\n",src_mac,dst_mac);          }//0x0806为ARP数据包, 0x8035为RARP数据包          else if( 0x0806 == ntohs(ethdr->ether_type) || 0x8035 == ntohs(ethdr->ether_type) )          {              printf("______________ARP数据报_______________\n");              printf("MAC:%s >> %s\n",src_mac,dst_mac);          }      }      return 0;  }

0 0