Linux 网络编程―― libpcap 详解

概述

libpcap 是一个网络数据包捕获函数库，功能非常强大，Linux 下著名的 tcpdump 就是以它为基础的。

libpcap主要的作用

1）捕获各种数据包，列如：网络流量统计。

2）过滤网络数据包，列如：过滤掉本地上的一些数据，类似防火墙。

3）分析网络数据包，列如：分析网络协议，数据的采集。

4）存储网络数据包，列如：保存捕获的数据以为将来进行分析。

libpcap 的安装

libpcap 的抓包框架

pcap_lookupdev()：函数用于查找网络设备，返回可被 pcap_open_live() 函数调用的网络设备名指针。

pcap_lookupnet()：函数获得指定网络设备的网络号和掩码。
pcap_open_live()： 函数用于打开网络设备，并且返回用于捕获网络数据包的数据包捕获描述字。对于此网络设备的操作都要基于此网络设备描述字。
pcap_compile()： 函数用于将用户制定的过滤策略编译到过滤程序中。
pcap_setfilter()：函数用于设置过滤器。
pcap_loop()：函数 pcap_dispatch() 函数用于捕获数据包，捕获后还可以进行处理，此外 pcap_next() 和 pcap_next_ex() 两个函数也可以用来捕获数据包。
pcap_close()：函数用于关闭网络设备，释放资源。

利用 libpcap 函数库开发应用程序的基本步骤：

1、打开网络设备

2、设置过滤规则

3、捕获数据

4、关闭网络设备

抓包详细步骤

首先要使用 libpcap，我们必须包含 pcap.h 头文件，可以在 /usr/local/include/pcap/pcap.h 找到，其中包含了每个类型定义的详细说明。

1、获取网络接口设备名

char *pcap_lookupdev(char *errbuf);

功能：

得到可用的网络设备名指针

参数：

errbuf：存放出错信息字符串，里面有个宏定义：PCAP_ERRBUF_SIZE，为错误缓冲区大小

返回值：

成功返回设备名指针（第一个合适的网络接口的字符串指针）；

失败返回 NULL，同时，errbuf 存放出错信息字符串。

实例如下：

[cpp]view plaincopy

1. char
2. char
3. if

2、获取网络号（ip 地址）和掩码

功能：

获取指定网卡的 ip 地址，子网掩码

参数：

device：网络设备名，为第一步获取的网络接口字符串（pcap_lookupdev() 的返回值 ），也可人为指定，如“eth0”。

netp：存放 ip 地址的指针，bpf_u_int32 为 32 位无符号整型

maskp：存放子网掩码的指针，bpf_u_int32 为 32 位无符号整型

errbuf：存放出错信息

返回值：

成功返回 0，失败返回 -1

实例如下：

[cpp]view plaincopy

1. char
2. char
3. if
12. int
14. //获得网络号和掩码
16. if

3、打开网络接口

int snaplen,

int promisc,

int to_ms,

char *ebuf );

功能：

打开一个用于捕获数据的网络接口

参数：

device：网络接口的名字，为第一步获取的网络接口字符串（pcap_lookupdev() 的返回值 ），也可人为指定，如“eth0”。

snaplen：捕获数据包的长度，长度不能大于 65535 个字节。

promise：“1” 代表混杂模式，其它非混杂模式。什么为混杂模式，请看《原始套接字编程》。

to_ms：指定需要等待的毫秒数，超过这个数值后，获取数据包的函数就会立即返回（这个函数不会阻塞，后面的抓包函数才会阻塞）。0 表示一直等待直到有数据包到来。

ebuf：存储错误信息。

返回值：

返回 pcap_t 类型指针，后面的所有操作都要使用这个指针。

实例如下：

[cpp]view plaincopy

1. char
2. char
3. if
11. if

4、获取数据包

a）

const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h);

功能：

捕获一个网络数据包，收到一个数据包立即返回

参数：

p：pcap_open_live()返回的pcap_t类型的指针
h：数据包头

pcap_pkthdr 类型的定义如下：

[cpp]view plaincopy

1. struct
3. struct

len 和 caplen的区别：

返回值：

成功返回捕获数据包的地址，失败返回 NULL

实例如下：

[cpp]view plaincopy

1. constchar
3. struct
5. "eth0"
10. printf(,ctime((consttime_t
11. printf(
14. struct
15. char
17. struct
19. char//获取源mac
20. printf(
22. char//获取目的mac
23. printf(

b）

int cnt,

pcap_handler callback,

u_char *user );

功能：

循环捕获网络数据包，直到遇到错误或者满足退出条件。每次捕获一个数据包就会调用 callback 指定的回调函数，所以，可以在回调函数中进行数据包的处理操作。

参数：

p：pcap_open_live()返回的pcap_t类型的指针。

cnt：指定捕获数据包的个数，一旦抓到了 cnt 个数据包，pcap_loop 立即返回。如果是 -1，就会永无休止的捕获，直到出现错误。

callback：回调函数，名字任意，根据需要自行起名。

user：向回调函数中传递的参数。

：

const u_char * packet )

userarg：pcap_loop() 的最后一个参数，当收到足够数量的包后 pcap_loop 会调用callback 回调函数，同时将pcap_loop()的user参数传递给它
pkthdr
packet

返回值：

成功返回0，失败返回负数

实例如下：

[cpp]view plaincopy

1. if
3. "pcap_loop"
6. /*******************************回调函数************************************/
7. voidcharconststructconstchar
9. char//
10. struct
11. short//以太网类型
12. "----------------------------------------------------\n"
13. "%s\n"time_t//转换时间
14. struct
16. char//获取源mac地址
19. char//获取目的mac
22. //获得以太网的类型
24. switch
26. case);break;//ip
27. case);break;//arp
28. case);break;//rarp
29. default:break

c）

int pcap_dispatch(pcap_t * p, int cnt, pcap_handler callback, u_char * user);

这个函数和 pcap_loop() 非常类似，只是在超过 to_ms 毫秒后就会返回( to_ms 是pcap_open_live() 的第4个参数 )

5、释放网络接口

void pcap_close(pcap_t *p);

功能：

关闭 pcap_open_live() 打开的网络接口（即其返回值，pcap_t 类型指针），并释放相关资源。注意，操作完网络接口，应该释放其资源。

参数：

p：需要关闭的网络接口，pcap_open_live()pcap_t 类型指针）

返回值：

无

实例如下：

[cpp]view plaincopy

2. "eth0"
3. if
12. //释放网络接口

例子1（接收一个数据包）：

[cpp]view plaincopy

6. struct
8. char//目的mac
9. char//Դmac
10. short//以太网类型
14. intintchar
17. char""
18. constchar
19. char
20. short