网络通信编程笔记（二）：pcap库使用

  Libpcap是Packet Capture Libray的英文缩写，即数据包捕获函数库。该库提供的C函数接口用于捕捉经过指定网络接口的数据包，该接口应该是被设为混杂模式。这个在原始套接子中有提到。

  著名的软件TCPDUMP就是在Libpcap的基础上开发而成的。Libpcap提供的接口函数实现和封装了与数据包截获有关的过程。

  Libpcap提供了用户级别的网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap可以在绝大多数Linux平台上运行。在Windows平台上，也有一款与其功能类似的开发库：Wincap。

  它的工作在上层应用程序与网络接口之间。

  主要功能：

• 数据包捕获：捕获流经网卡的原始数据包
• 自定义数据包发送：构造任何格式的原始数据包
• 流量采集与统计：采集网络中的流量信息
• 规则过滤：提供自带规则过滤功能，按需要选择过滤规则

  它的应用范围非常广泛，典型应用包括玩罗协议分析器，网络流量发生器，网络入侵检测系统，网络扫描器和其他安全工具。

  作为捕捉网络数据包的库，它是一个独立于系统的用户级的API接口，为底层网络检测提供了一个可移植的框架。

  一个包的捕捉分为三个主要部分，包括面向底层包捕获、面向中间层的数据包过滤和面向应用层的用户接口。这与Linux操作系统对数据包的处理流程是相同的（网卡->网卡驱动->数据链路层->IP层->传输层->应用程序）。包捕获机制是在数据链路层增加一个旁路处理（并不干扰系统自身的网络协议栈的处理），对发送和接收的数据包通过Linux内核做过滤和缓冲处理，最后直接传递给上层应用程序。

  下面介绍Libpcap的抓包流程：

1. 查找网络设备：目的是发现可用的网卡，实现的函数为pcap_lookupdev()，如果当前有多个网卡，函数就会返回一个网络设备名的指针列表。
2. 打开网络设备：利用上一步中的返回值，可以决定使用哪个网卡，通过函数pcap_open_live()打开网卡，返回用于捕捉网络数据包的秒数字。
3. 获得网络参数：这里是利用函数pcap_lookupnet()，可以获得指定网络设备的IP地址和子网掩码。
4. 编译过滤策略：Lipcap的主要功能就是提供数据包的过滤，函数pcap_compile()来实现。
5. 设置过滤器：在上一步的基础上利用pcap_setfilter()函数来设置。
6. 利用回调函数，捕获数据包：函数pcap_loop()和pcap_dispatch()来抓去数据包，也可以利用函数pcap_next()和pcap_next_ex()来完成同样的工作。
7. 关闭网络设备：pcap_close()函数关系设备，释放资源。

代码分析见网址：http://www.cnblogs.com/coder2012/archive/2013/04/13/3012390.html

libpcap从eth0（参数可选）抓取发往192.168.10.0/24网段的udp包程序

#include <pcap.h>#include <time.h>#include <stdlib.h>#include <stdio.h>#include <sys/socket.h>#include <arpa/inet.h>#include <libnet.h>int sockfd4=0;struct sockaddr_in servaddr4;socklen_t addr_len =sizeof(struct sockaddr_in);/*以太网头*/struct sniff_ethernet{        u_char ether_dhost[ETHER_ADDR_LEN];        u_char ether_shost[ETHER_ADDR_LEN];        u_short ether_type;};/*IP头*/struct sniff_ip{        u_char ip_vhl;        u_char ip_tos;        u_short ip_len;        u_short ip_id;        u_short ip_off;        #define IP_RF 0x8000        #define IP_DF 0x4000        #define IP_MF 0x2000        #define IP_OFFMASK 0x1fff        u_char ip_ttl;        u_char ip_p;        u_short ip_sum;        struct in_addr ip_src,ip_dst;};/*UDP报头*/struct sniff_udp{        u_short udp_sport;        u_short udp_dport;        u_short udp_len;        u_short udp_sum;};/************************************************************* 功能：回调函数，处理抓到的数据包 第一个参数是pcap_loop的最后一个参数，当收到足够数量的包后pcap_loop会调用callback回调函数（本函数中为getPacket），同时将pcap_loop()的user参数传递给它， 第二个参数是收到的数据包的pcap_pkthdr类型的指针， 第三个参数是收到的数据包数据 **************************************************************/void getPacket(u_char * arg, const struct pcap_pkthdr * pkthdr, const u_char * packet){int * id = (int *)arg; printf("id: %d\n", ++(*id));/*包计数*/printf("Packet length: %d\n", pkthdr->len);/*理论包长度*/printf("Number of bytes: %d\n", pkthdr->caplen);/*真正捕获包长度*/printf("Recieved time: %s", ctime((const time_t *)&pkthdr->ts.tv_sec));/*包时间戳 *//*两位16进制数输出，每输出16个换行*/int i;for(i=0; i<pkthdr->len; ++i){printf(" %02x", packet[i]);if( (i + 1) % 16 == 0 ){printf("\n");}}printf("\n");struct sniff_ethernet *ethernet;/*以太帧包头*/struct sniff_ip *ip;            /*ip包头*/    struct sniff_udp *udp;          /*udp包头*/    u_char *payload;                /*数据包负载的数据*/    int payload_size;               /*数据包负载的数据大小*/    ethernet=(struct sniff_ethernet*)(packet);                                                                /*指向以太网头*/    ip=(struct sniff_ip*)(packet + sizeof(struct sniff_ethernet));                                            /*指向IP头*/    udp=(struct sniff_udp*)(packet + sizeof(struct sniff_ethernet)+sizeof(struct sniff_ip));                  /*指向udp头*/    payload=(u_char *)(packet+sizeof(struct sniff_ethernet)+sizeof(struct sniff_ip)+sizeof(struct sniff_udp));/*指向负载*/payload_size=ntohs(udp->udp_len)-sizeof(struct sniff_udp);                                                /*算出负载长度*/    printf("len:%d,srcport:%d,dstport:%d\n",payload_size,ntohs(udp->udp_sport),ntohs(udp->udp_dport));        /*打印负载长度，udp的源端口和目的端口*/    sendto(sockfd4,ip,payload_size+sizeof(struct sniff_ip)+sizeof(struct sniff_udp),0,(struct sockaddr *)&servaddr4,addr_len);/*将IP包从sockfd4发送到servaddr4*/}int main(int argc ,char* argv[]){char errBuf[PCAP_ERRBUF_SIZE], * devStr;/*定义存储错误信息的字符串，执行嗅探的设备*//*下面这个函数会返回指定接口的pcap_t类型指针，后面的所有操作都要使用这个指针。    第一个参数是第一步获取的网络接口字符串，可以直接使用硬编码。第二个参数是对于每个数据包，从开头要抓多少个字节，我们可以设置这个值来只抓每个数据包的头部，而不关心具体的内容。典型的以太网帧长度是1518字节，但其他的某些协议的数据包会更长一点，但任何一个协议的一个数据包长度都必然小于65535个字节。第三个参数指定是否打开混杂模式(Promiscuous Mode)，0表示非混杂模式，任何其他值表示混合模式。如果要打开混杂模式，那么网卡必须也要打开混杂模式，可以使用如下的命令打开eth0混杂模式：ifconfig eth0 promisc第四个参数指定需要等待的毫秒数，超过这个数值后，第3步获取数据包的这几个函数就会立即返回。0表示一直等待直到有数据包到来。第五个参数是存放出错信息的数组*/pcap_t * device = pcap_open_live(argv[1], BUFSIZ, 1, 0, errBuf);if(!device){printf("error: pcap_open_live(): %s\n", errBuf);exit(1);}/* construct a filter libpcap利用BPF来过滤数据包。过滤数据包需要完成3件事：a) 构造一个过滤表达式　　b) 编译这个表达式，语法高级容易　　c) 应用这个过滤器*/struct bpf_program filter;pcap_compile(device, &filter, "udp and dst net 192.168.10.0/24", 1, 0);pcap_setfilter(device, &filter);    /*建立本地sockfd4，目的为本地5012端口的servaddr4的UDP发送端*/sockfd4=socket(AF_INET,SOCK_DGRAM,0);bzero(&servaddr4,sizeof(servaddr4));servaddr4.sin_family=AF_INET;servaddr4.sin_port=htons(5012);inet_pton(AF_INET,"127.0.0.1",&servaddr4.sin_addr);int id = 0;/*包编号，会传递给回调函数*//* wait loop forever *//*第一个参数是返回的pcap_t类型的指针  第二个参数是需要抓的数据包的个数，一旦抓到了cnt个数据包，pcap_loop立即返回。负数的cnt表示pcap_loop永远循环抓包，直到出现错误。  第三个参数是一个回调函数指针(getPacket)*/pcap_loop(device, -1, getPacket, (u_char*)&id);pcap_close(device);/*释放网络接口*/return 0;}