一分钟讲明白libpcap使用

libpcap是一个网络数据包捕获函数库，功能非常强大，Linux下著名的tcpdump就是以它为基础的。今天我们利用它来完成一个我们自己的网络嗅探器

一、libpcap安装
在http://www.tcpdump.org/下载libpcap（tcpdump的源码也可以从这个网站下载）
解压后

./configure
make
sudo make install

二、编写用例使用
1. 编写测试程序
test.c:

#include <pcap.h>
#include <time.h>
#include <stdlib.h>
#include <stdio.h>void getPacket(u_char * arg, const struct pcap_pkthdr * pkthdr, const u_char * packet)
{int * id = (int *)arg;printf("id: %d\n", ++(*id));printf("Packet length: %d\n", pkthdr->len);printf("Number of bytes: %d\n", pkthdr->caplen);printf("Recieved time: %s", ctime((const time_t *)&pkthdr->ts.tv_sec));int i;for(i=0; i<pkthdr->len; ++i){printf(" %02x", packet[i]);if( (i + 1) % 16 == 0 ){printf("\n");}}printf("\n\n");
}int main()
{char errBuf[PCAP_ERRBUF_SIZE], * devStr;/* get a device */devStr = pcap_lookupdev(errBuf);if(devStr){printf("success: device: %s\n", devStr);}else{printf("error: %s\n", errBuf);exit(1);}/* open a device, wait until a packet arrives *///pcap_t * device = pcap_open_offline("test.pcap",errBuf);     //读取本地文件作为网络包数据pcap_t * device = pcap_open_live(devStr, 65535, 1, 10, errBuf);if(!device){printf("error: pcap_open_live(): %s\n", errBuf);exit(1);}/* construct a filter */struct bpf_program filter;pcap_compile(device, &filter, "tcp", 1, 0);pcap_setfilter(device, &filter);/* wait loop forever */int id = 0;pcap_loop(device, -1, getPacket, (u_char*)&id);pcap_close(device);return 0;
}

2. 使用libpcap库编译
Makefile：

all: test.cgcc -g -Wall -o test test.c -lpcapclean:rm -rf *.o test

三、函数接口介绍
1.获取网络接口
首先我们需要获取监听的网络接口：
我们可以手动指定或让libpcap自动选择，先介绍如何让libpcap自动选择：
char * pcap_lookupdev(char * errbuf)
上面这个函数返回第一个合适的网络接口的字符串指针，如果出错，则errbuf存放出错信息字符串，errbuf至少应该是PCAP_ERRBUF_SIZE个字节长度的。注意，很多libpcap函数都有这个参数。
pcap_lookupdev()一般可以在跨平台的，且各个平台上的网络接口名称都不相同的情况下使用。
如果我们手动指定要监听的网络接口，则这一步跳过，我们在第二步中将要监听的网络接口字符串硬编码在pcap_open_live里。

2.释放网络接口
在操作为网络接口后，我们应该要释放它：
void pcap_close(pcap_t * p)
该函数用于关闭pcap_open_live()获取的pcap_t的网络接口对象并释放相关资源。

3.打开网络接口
获取网络接口后，我们需要打开它：
pcap_t * pcap_open_live(const char * device, int snaplen, int promisc, int to_ms, char * errbuf)
上面这个函数会返回指定接口的pcap_t类型指针，后面的所有操作都要使用这个指针。
第一个参数是第一步获取的网络接口字符串，可以直接使用硬编码。
第二个参数是对于每个数据包，从开头要抓多少个字节，我们可以设置这个值来只抓每个数据包的头部，而不关心具体的内容。典型的以太网帧长度是1518字节，但其他的某些协议的数据包会更长一点，但任何一个协议的一个数据包长度都必然小于65535个字节。
第三个参数指定是否打开混杂模式(Promiscuous Mode)，0表示非混杂模式，任何其他值表示混合模式。如果要打开混杂模式，那么网卡必须也要打开混杂模式，可以使用如下的命令打开eth0混杂模式：
ifconfig eth0 promisc
第四个参数指定需要等待的毫秒数，超过这个数值后，第3步获取数据包的这几个函数就会立即返回。0表示一直等待直到有数据包到来。
第五个参数是存放出错信息的数组。

4.打开以前保存捕获数据包的文件
pcap_t *pcap_open_offline(char *fname, char *ebuf)
第一个参数 fname参数指定打开的文件名。该文件中的数据格式与tcpdump和tcpslice兼容。"-"为标准输入。
第二个参数 ebuf参数则仅在pcap_open_offline()函数出错返回NULL时用于传递错误消息。

5.获取数据包
打开网络接口后就已经开始监听了，那如何知道收到了数据包呢?有下面3种方法：
a)u_char * pcap_next(pcap_t * p, struct pcap_pkthdr * h)
如果返回值为NULL，表示没有抓到包
第一个参数是第2步返回的pcap_t类型的指针
第二个参数是保存收到的第一个数据包的pcap_pkthdr类型的指针
pcap_pkthdr类型的定义如下：

    struct pcap_pkthdr{struct timeval ts;    /* time stamp */bpf_u_int32 caplen;   /* length of portion present */bpf_u_int32 len;      /* length this packet (off wire) */};

注意这个函数只要收到一个数据包后就会立即返回
b)int pcap_loop(pcap_t * p, int cnt, pcap_handler callback, u_char * user)
第一个参数是第2步返回的pcap_t类型的指针
第二个参数是需要抓的数据包的个数，一旦抓到了cnt个数据包，pcap_loop立即返回。负数的cnt表示pcap_loop永远循环抓包，直到出现错误。
第三个参数是一个回调函数指针，它必须是如下的形式：
void callback(u_char * userarg, const struct pcap_pkthdr * pkthdr, const u_char * packet)
第一个参数是pcap_loop的最后一个参数，当收到足够数量的包后pcap_loop会调用callback回调函数，同时将pcap_loop()的user参数传递给它
第二个参数是收到的数据包的pcap_pkthdr类型的指针
第三个参数是收到的数据包数据
c)int pcap_dispatch(pcap_t * p, int cnt, pcap_handler callback, u_char * user)
这个函数和pcap_loop()非常类似，只是在超过to_ms毫秒后就会返回(to_ms是pcap_open_live()的第4个参数)

6.过滤数据包
我们抓到的数据包往往很多，如何过滤掉我们不感兴趣的数据包呢?
几乎所有的操作系统(BSD, AIX, Mac OS, Linux等)都会在内核中提供过滤数据包的方法，主要都是基于BSD Packet Filter(BPF)结构的。libpcap利用BPF来过滤数据包。
过滤数据包需要完成3件事：
a)构造一个过滤表达式
BPF使用一种类似于汇编语言的语法书写过滤表达式，不过libpcap和tcpdump都把它封装成更高级且更容易的语法了，具体可以man tcpdump，以下是一些例子：
src host 192.168.1.177 #只接收源ip地址是192.168.1.177的数据包
dst port 80#只接收tcp/udp的目的端口是80的数据包
not tcp#只接收不使用tcp协议的数据包
b)编译这个表达式
构造完过滤表达式后，我们需要编译它，使用如下函数：
int pcap_compile(pcap_t * p, struct bpf_program * fp, char * str, int optimize, bpf_u_int32 netmask)
fp：这是一个传出参数，存放编译后的bpf
str：过滤表达式
optimize：是否需要优化过滤表达式
metmask：简单设置为0即可
c)应用这个过滤器
最后我们需要应用这个过滤表达式：
int pcap_setfilter(pcap_t * p, struct bpf_program * fp)
第二个参数fp就是前一步pcap_compile()的第二个参数

应用完过滤表达式之后我们便可以使用pcap_loop()或pcap_next()等抓包函数来抓包了。

7.分析数据包
我们既然已经抓到数据包了，那么我们要开始分析了，这部分需要自己完成，具体内容可以参考相关的网络协议说明。要特别注意一点，网络上的数据是网络字节顺序的，因此分析前需要转换为主机字节顺序(ntohs()函数)。

一分钟讲明白libpcap使用相关推荐

五分钟讲明白DAG（有向无环图）的优缺点
区块链是一个去中心化的数据库,但是去中心化的数据库却不仅仅指区块链,因为还有一种技术叫做DAG,它也是分布式账本技术. 1:什么是DAG DAG(Directed Acyclic Graph),中文名 ...
c linux time微秒_学习linux，看这篇1.5w多字的linux命令详解（6小时讲明白Linux）
用心分享,共同成长没有什么比每天进步一点点更重要了本篇文章主要讲解了一些linux常用命令,主要讲解模式是,命令介绍.命令参数格式.命令参数.命令常用参数示例.由于linux命令较多,我还特意选了 ...
【三分钟讲清区块链/比特币】之二：比特币入门教程
前言:阅读本文之前,我假设你已经了解了区块链及其相关概念.如果没有,建议先阅读一下本系列的前一篇:[三分钟讲清区块链/比特币]之一:区块链入门教程,然后再阅读本文. 比特币(bitcoin)诞生于20 ...
【三分钟讲清区块链/比特币】之一：区块链入门教程
区块链(blockchain)是眼下的大热门,新闻媒体大量报道,宣称它将创造未来.可是,简单易懂的入门文章却很少.区块链到底是什么,有何特别之处,很少有解释. 下面,我就来尝试,写一篇最好懂的区块链教 ...
什么是云原生，跟云计算有什么关系？终于有人讲明白了
导读:云原生到底是什么? 作者:阿里集团阿里云智能事业群云原生应用平台来源:大数据DT(ID:hzdashuju) 云原生(Cloud Native)的概念,最早是由Pivotal于2015年提 ...
终于有人把大数据架构讲明白了
导读:如何存储.如何利用大规模的服务器集群处理计算才是大数据技术的核心. 作者:李智慧来源:大数据DT(ID:hzdashuju) 大数据技术其实是分布式技术在数据处理领域的创新性应用,其本质和此前 ...
用户画像有什么用？怎样用？6个场景案例给你讲明白
导读:企业的精细化运营.数据驱动都是基于大数据分析来进行的. 在大数据分析中,对用户行为进行分析挖掘又是一个重要的方向,通过对用户行为进行分析,企业可以了解用户从哪里来,进入平台后进行了哪些操作,什么 ...
分享丨终于有人把云计算、大数据和人工智能讲明白了！
导读本文作者凭借其天马行空的脑回路,用最深入浅出,清晰化的文字逻辑,讲明白了云计算.大数据和人工智能三者之间的关系. 故事里面三个角色: 兼具经济效益与情怀的云计算:努力把信息变为智慧的大数据:模 ...
终于有人把“人工智能”讲明白是怎么回事了！
我们正站在变革的边缘,而这次变革将和人类的出现一般意义重大 – Vernor Vinge.如果你站在这里,你会是什么感觉? 看上去非常刺激吧?但是你要记住,当你真的站在时间的图表中的时候,你是看不到曲 ...

一分钟讲明白libpcap使用

一分钟讲明白libpcap使用相关推荐

最新文章

热门文章