libpcap的一些主要函数和结构介绍

原贴：http://blog.csdn.net/petershina/article/details/17758827

http://bbs.csdn.net/topics/390758505

一）

数据结构

•1） typedef struct _ADAPTER ADAPTER //描述一个网络适配器；

•2） typedef struct _PACKET PACKET //描述一组网络数据报的结构；

•3） typedef struct NetType NetType //描述网络类型的数据结构；

•4） typedef struct npf_if_addr npf_if_addr //描述一个网络适配器的ip地址；

•5） struct bpf_hdr //数据报头部；

•6） struct bpf_stat //当前捕获数据报的统计信息。

函数

1）int pcap_findalldevs ( pcap_if_t ** alldevsp, char * errbuf)

功能：列出当前所有可用的网络设备（网卡）

所在头文件：pcap.h

参数说明： pcap_if_t ** alldevsp 指向pcap_if_t结构列表的指针的地址。实际使用时，声明一个pcap_if_t结构的指针（pcap_if_t * alldevsp），然后把该地址作为参数传入即可（&alldevsp）。
char * errbuf 错误缓冲区，要求长度至少为PCAP_ERRBUF_SIZE 字节

返回值： －1：出错，将会向错误缓冲中填充错误信息，错误信息为ASCII码，可以直接打印出来。

0：正确返回，可以使用alldevsp访问所有网络硬件

pcap_if的结构

Struct pcap_if {
struct pcap_if *next;
char *name;
chat *description;
struct pcap_addr address;
u_int flags;
}

也可以用pcap_if_t 代替pcap_if
2） pcap_t * pcap_open_live ( char * device, int snaplen, int promisc,int to_ms, char * errbuf );

获取一个包捕捉句柄，类似文件操作函数使用的文件句柄。
device指定网络接口设备名。
snaplen指定单包最大捕捉字节数。
promisc指定网络接口进入混杂模式。
to_ms指定毫秒级读超时，0可能代表永不超时。
errbuf包含失败原因。
如果调用失败返回NULL

3）void pcap_close ( pcap_t *p )

该函数用于关闭pcap_open_live()获取的包捕捉句柄，释放相关资源。
4int pcap_lookupnet ( char * device, bpf_u_int32 * netp, pf_u_int32 * maskp, char * errbuf );

该函数用于获取指定网络接口的IP地址、子网掩码。

5）int pcap_compile ( pcap_t * p, struct bpf_program * fp, char * str,int optimize

, bpf_u_int32 netmask );

该函数用于解析过滤规则串，填写bpf_program结构。str指向过滤规则串。
6）int pcap_setfilter ( pcap_t * p, struct bpf_program * fp );

该函数用于设置pcap_compile()解析完毕的过滤规则，完全可以自己提供过滤规则，无须pcap_compile()介入

7) int pcap_dispatch ( pcap_t * p, int cnt, pcap_handler callback, 
u_char * user );

  捕捉报文以及分发报文到预先指定好的处理函数(回调函数)。
pcap_dispatch()接收够cnt个报文便返回，如果cnt为-1意味着所有报文集中在一个缓冲区中。如果cnt为0，仅当发生错误、读取到EOF或者读超时到了(pcap_open_live中指定)才停止捕捉报文并返回。

8)int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user)；

这里pcap_loop的作用是抓包，每抓到一个包之后就调用callback函数来处理之，callback需要你自己编写，callback的类似于这种：

void PacketCallback(u_char *user, const struct pcap_pkthdr *h, const u_char *p)；

你给出的代码是定义了一个函数指针grinder_t的类型，就可以用grinder_t来声明函数指针了
grinder应该就是作为一个回调函数来处理pcap抓到的包

pcap_loop和callback之间参数存在联系，pcap_loop的最后一个参数user是留给用户使用的，当callback被调用的时候这个值会传递给callback的第一个参数(也叫user)，callback的最后一个参数p指向一块内存空间，这个空间中存放的就是pcap_loop抓到的数据包。callback的第二个参数是一个结构体指针，该结构体定义如下：
struct pcap_pkthdr {
struct timeval ts;   
bpf_u_int32 caplen;   
bpf_u_int32 len; 
};
这个结构体是由pcap_loop自己填充的，用来取得一些关于数据包的信息
所以，在callback函数当中只有第一个user指针是可以留给用户使用的，如果你想给callback传递自己参数，那就只能通过pcap_loop的最后一个参数user来实现了

二）

在函数 pcap_open_live(), pcap_open_dead(), pcap_open_offline(), pcap_setnonblock(), pcap_getnonblock(), pcap_findalldevs(), pcap_lookupdev(), 和 pcap_lookupnet() 中的errbuf假定至少有 PCAP_ERRBUF_SIZE 个字符。

typedef void(*) pcap_handler (u_char *user, const struct pcap_pkthdr *pkt_header, const u_char *pkt_data)
接受数据包的回调函数的原型

pcap_t * pcap_open_live (const char *device, int snaplen, int promisc, int to_ms, char *ebuf)
在网络中打开一个活动的捕获

pcap_t * pcap_open_dead (int linktype, int snaplen)
在还没开始捕获时，创建一个pcap_t的结构体

pcap_t * pcap_open_offline (const char *fname, char *errbuf)
打开一个 tcpdump/libpcap 格式的存储文件，来读取数据包

pcap_dumper_t * pcap_dump_open (pcap_t *p, const char *fname)
打开一个文件来写入数据包

int pcap_setnonblock (pcap_t *p, int nonblock, char *errbuf)
在阻塞和非阻塞模式间切换

int pcap_getnonblock (pcap_t *p, char *errbuf)
获得一个接口的非阻塞状态信息

int pcap_findalldevs (pcap_if_t **alldevsp, char *errbuf)
构造一个可打开的网络设备的列表 pcap_open_live()

void pcap_freealldevs (pcap_if_t *alldevsp)
释放一个接口列表，这个列表将被 pcap_findalldevs()返回

char * pcap_lookupdev (char *errbuf)
返回系统中第一个合法的设备

int pcap_lookupnet (const char *device, bpf_u_int32 *netp, bpf_u_int32 *maskp, char *errbuf)
返回接口的子网和掩码

int pcap_dispatch (pcap_t *p, int cnt, pcap_handler callback, u_char *user)
收集一组数据包

int pcap_loop (pcap_t *p, int cnt, pcap_handler callback, u_char *user)
收集一组数据包

u_char * pcap_next (pcap_t *p, struct pcap_pkthdr *h)
返回下一个可用的数据包

int pcap_next_ex (pcap_t *p, struct pcap_pkthdr **pkt_header, const u_char **pkt_data)
从一个设备接口，或从一个脱机文件中，读取一个数据包

void pcap_breakloop (pcap_t *)
设置一个标志位，这个标志位会强制 pcap_dispatch() 或 pcap_loop() 返回，而不是继续循环。

int pcap_sendpacket (pcap_t *p, u_char *buf, int size)
发送一个原始数据包

void pcap_dump (u_char *user, const struct pcap_pkthdr *h, const u_char *sp)
将数据包保存到磁盘

long pcap_dump_ftell (pcap_dumper_t *)
返回存储文件的文件位置

int pcap_compile (pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask)
编译数据包过滤器，将程序中高级的过滤表达式，转换成能被内核级的过滤引擎所处理的东西。 (参见 过滤表达式语法)

int pcap_compile_nopcap (int snaplen_arg, int linktype_arg, struct bpf_program *program, char *buf, int optimize, bpf_u_int32 mask)
在不需要打开适配器的情况下，编译数据包过滤器。这个函数能将程序中高级的过滤表达式，转换成能被内核级的过滤引擎所处理的东西。 (参见过滤表达式语法)

int pcap_setfilter (pcap_t *p, struct bpf_program *fp)
在捕获过程中绑定一个过滤器

void pcap_freecode (struct bpf_program *fp)
释放一个过滤器

int pcap_datalink (pcap_t *p)
返回适配器的链路层

int pcap_list_datalinks (pcap_t *p, int **dlt_buf)
列出数据链

int pcap_set_datalink (pcap_t *p, int dlt)
将当前pcap描述符的数据链的类型，设置成dlt给出的类型。返回-1表示设置失败。

int pcap_datalink_name_to_val (const char *name)
转换一个数据链类型的名字，即将具有DLT_remove的DLT_name，转换成符合数据链类型的值。转换是区分大小写的，返回-1表示错误。

const char * pcap_datalink_val_to_name (int dlt)
将数据链类型值转换成合适的数据链类型的名字。返回NULL表示转换失败。

const char * pcap_datalink_val_to_description (int dlt)
将数据链类型值转换成合适的数据链类型的简短的名字。返回NULL表示转换失败。

int pcap_snapshot (pcap_t *p)
返回发送给应用程序的数据包部分的大小(字节)

int pcap_is_swapped (pcap_t *p)
当前存储文件使用与当前系统不同的字节序列时，返回true

int pcap_major_version (pcap_t *p)
返回正在用来写入存储文件的pcap库的主要版本号

int pcap_minor_version (pcap_t *p)
返回正在用来写入存储文件的pcap库的次要版本号

FILE * pcap_file (pcap_t *p)
返回一个脱机捕获文件的标准流

int pcap_stats (pcap_t *p, struct pcap_stat *ps)
返回当前捕获的统计信息

void pcap_perror (pcap_t *p, char *prefix)
在标准错误输出台打印最后一次pcap库错误的文本信息，前缀是prefix。

char * pcap_geterr (pcap_t *p)
返回最后一次pcap库错误的文本信息

char * pcap_strerror (int error)
提供这个函数，以防 strerror() 不能使用。

const char * pcap_lib_version (void)
返回一个字符串，这个字符串保存着libpcap库的版本信息。注意，它除了版本号，还包含了更多的信息。

void pcap_close (pcap_t *p)
关闭一个和p关联的文件，并释放资源

FILE * pcap_dump_file (pcap_dumper_t *p)
返回一个由 pcap_dump_open()打开的存储文件的标准输入输出流

int pcap_dump_flush (pcap_dumper_t *p)
将输出缓冲写入存储文件，这样，任何使用 pcap_dump() 存储，但还没有写入文件的数据包，会被立刻写入文件。返回-1表示出错，返回0表示成功。

void pcap_dump_close (pcap_dumper_t *p)
关闭一个存储文件

Windows平台专用的扩展函数
本节中的函数是从libpcap扩展而来，为了提供更强大的功能（比如远程数据捕获，数据包缓存尺寸变化或高精度的数据包注入）。然而，目前，这些函数只能用于Windows平台。

PAirpcapHandle pcap_get_airpcap_handle (pcap_t *p)
返回一个和适配器相关联的AirPcap句柄。这个句柄可以被用来改变和CACE无线技术有关的设置。

bool pcap_offline_filter (struct bpf_program *prog, const struct pcap_pkthdr *header, const u_char *pkt_data)
当给定的过滤器应用于一个脱机数据包时，返回true

int pcap_live_dump (pcap_t *p, char *filename, int maxsize, int maxpacks)
将捕获保存到文件

int pcap_live_dump_ended (pcap_t *p, int sync)
返回内核堆处理的状态。例如，告诉我们由 pcap_live_dump() 定义的限制条件是否已经满足。

pcap_stat * pcap_stats_ex (pcap_t *p, int *pcap_stat_size)
返回当前捕获的统计信息。

int pcap_setbuff (pcap_t *p, int dim)
设置与当前适配器关联的内核缓存大小

int pcap_setmode (pcap_t *p, int mode)
将接口p的工作模式设置为mode

int pcap_setmintocopy (pcap_t *p, int size)
设置内核一次调用所受到的最小数据总数

HANDLE pcap_getevent (pcap_t *p)
返回与接口p关联的事件句柄

pcap_send_queue * pcap_sendqueue_alloc (u_int memsize)
分配一个发送队列

void pcap_sendqueue_destroy (pcap_send_queue *queue)
销毁一个发送队列

int pcap_sendqueue_queue (pcap_send_queue *queue, const struct pcap_pkthdr *pkt_header, const u_char *pkt_data)
将数据包加入到发送队列

u_int pcap_sendqueue_transmit (pcap_t *p, pcap_send_queue *queue, int sync)
将一个发送队列发送至网络

int pcap_findalldevs_ex (char *source, struct pcap_rmtauth *auth, pcap_if_t **alldevs, char *errbuf)
创建一个网络设备列表，它们可以由 pcap_open()打开。

int pcap_createsrcstr (char *source, int type, const char *host, const char *port, const char *name, char *errbuf)
接收一组字符串(hot name,port,...)，并根据新的格式，返回一个完整的源字符串(比如：'rpcap://1.2.3.4/eth0')

int pcap_parsesrcstr (const char *source, int *type, char *host, char *port, char *name, char *errbuf)
解析一个源字符串，并返回分离出来的内容。

pcap_t * pcap_open (const char *source, int snaplen, int flags, int read_timeout, struct pcap_rmtauth *auth, char *errbuf)
打开一个用来捕获或发送流量(仅WinPcap)的通用源。

pcap_samp * pcap_setsampling (pcap_t *p)
为数据包捕获定义一个采样方法

SOCKET pcap_remoteact_accept (const char *address, const char *port, const char *hostlist, char *connectinghost, struct pcap_rmtauth *auth, char *errbuf)
阻塞，直到网络连接建立。(仅用于激活模式)

int pcap_remoteact_close (const char *host, char *errbuf)
释放一个活动连接 (仅用于激活模式).

void pcap_remoteact_cleanup ()
清除一个正在用来等待活动连接的socket

int pcap_remoteact_list (char *hostlist, char sep, int size, char *errbuf)
返回一个主机名，这个主机和我们建立了活动连接。(仅用于激活模式)