Linux 網(wǎng)絡(luò)編程—— libpcap 詳解

Tecode 發(fā)布于2022-06-28 19:00 / 3175人閱讀

摘要：主要的作用捕獲各種數(shù)據(jù)包，列如網(wǎng)絡(luò)流量統(tǒng)計。分析網(wǎng)絡(luò)數(shù)據(jù)包，列如分析網(wǎng)絡(luò)協(xié)議，數(shù)據(jù)的采集。函數(shù)獲得指定網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)號和掩碼。函數(shù)用于關(guān)閉網(wǎng)絡(luò)設(shè)備，釋放資源。回調(diào)函數(shù)，名字任意，根據(jù)需要自行起名。

概述
libpcap 是一個網(wǎng)絡(luò)數(shù)據(jù)包捕獲函數(shù)庫，功能非常強(qiáng)大，Linux 下著名的 tcpdump 就是以它為基礎(chǔ)的。

libpcap主要的作用

1）捕獲各種數(shù)據(jù)包，列如：網(wǎng)絡(luò)流量統(tǒng)計。
2）過濾網(wǎng)絡(luò)數(shù)據(jù)包，列如：過濾掉本地上的一些數(shù)據(jù)，類似防火墻。
3）分析網(wǎng)絡(luò)數(shù)據(jù)包，列如：分析網(wǎng)絡(luò)協(xié)議，數(shù)據(jù)的采集。
4）存儲網(wǎng)絡(luò)數(shù)據(jù)包，列如：保存捕獲的數(shù)據(jù)以為將來進(jìn)行分析。

libpcap 的抓包框架

pcap_lookupdev()：函數(shù)用于查找網(wǎng)絡(luò)設(shè)備，返回可被 pcap_open_live() 函數(shù)調(diào)用的網(wǎng)絡(luò)設(shè)備名指針。
pcap_lookupnet()：函數(shù)獲得指定網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)號和掩碼。
pcap_open_live()：函數(shù)用于打開網(wǎng)絡(luò)設(shè)備，并且返回用于捕獲網(wǎng)絡(luò)數(shù)據(jù)包的數(shù)據(jù)包捕獲描述字。對于此網(wǎng)絡(luò)設(shè)備的操作都要基于此網(wǎng)絡(luò)設(shè)備描述字。
pcap_compile()：函數(shù)用于將用戶制定的過濾策略編譯到過濾程序中。
pcap_setfilter()：函數(shù)用于設(shè)置過濾器。
pcap_loop()：函數(shù) pcap_dispatch() 函數(shù)用于捕獲數(shù)據(jù)包，捕獲后還可以進(jìn)行處理，此外 pcap_next() 和 pcap_next_ex() 兩個函數(shù)也可以用來捕獲數(shù)據(jù)包。
pcap_close()：函數(shù)用于關(guān)閉網(wǎng)絡(luò)設(shè)備，釋放資源。

利用 libpcap 函數(shù)庫開發(fā)應(yīng)用程序的基本步驟：

1、打開網(wǎng)絡(luò)設(shè)備
2、設(shè)置過濾規(guī)則
3、捕獲數(shù)據(jù)
4、關(guān)閉網(wǎng)絡(luò)設(shè)備

抓包詳細(xì)步驟
首先要使用 libpcap，我們必須包含 pcap.h 頭文件，可以在/usr/local/include/pcap/pcap.h 找到，其中包含了每個類型定義的詳細(xì)說明。

1、獲取網(wǎng)絡(luò)接口設(shè)備名

char pcap_lookupdev(char errbuf);

功能：得到可用的網(wǎng)絡(luò)設(shè)備名指針
參數(shù)：errbuf：存放出錯信息字符串，里面有個宏定義：PCAP_ERRBUF_SIZE，為錯誤緩沖區(qū)大小
返回值：成功返回設(shè)備名指針（第一個合適的網(wǎng)絡(luò)接口的字符串指針）；失敗返回 NULL，同時，errbuf 存放出錯信息字符串。

實例如下：


char error_content[PCAP_ERRBUF_SIZE] = {0};    // 出錯信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
    printf(error_content);
    exit(-1);
}

2、獲取網(wǎng)絡(luò)號（ip 地址）和掩碼



int pcap_lookupnet( ? ?char *device ? ? ? ? ? ? ? ? ? ?

bpf_u_int32 *netp?

bpf_u_int32 *maskp ? ??

char *errbuf ?);

功能：獲取指定網(wǎng)卡的 ip 地址，子網(wǎng)掩碼

參數(shù)：

device：網(wǎng)絡(luò)設(shè)備名，為第一步獲取的網(wǎng)絡(luò)接口字符串（pcap_lookupdev() 的返回值），也可人為指定，如“eth0”。
netp：存放 ip 地址的指針，bpf_u_int32 為 32 位無符號整型
maskp：存放子網(wǎng)掩碼的指針，bpf_u_int32 為 32 位無符號整型
errbuf：存放出錯信息
返回值：成功返回 0，失敗返回 -1

實例如下：


char error_content[PCAP_ERRBUF_SIZE] = {0};    // 出錯信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
    printf(error_content);
    exit(-1);
}
 
 
bpf_u_int32 netp = 0 maskp = 0;
pcap_t * pcap_handle = NULL;
int ret = 0;
 
//獲得網(wǎng)絡(luò)號和掩碼
ret = pcap_lookupnet(dev &netp &maskp error_content);
if(ret == -1)
{
    printf(error_content);
    exit(-1);
}

3、打開網(wǎng)絡(luò)接口

pcap_t *pcap_open_live( ?const char *device

int snaplen

int promisc

int to_ms

char *ebuf );

功能：打開一個用于捕獲數(shù)據(jù)的網(wǎng)絡(luò)接口

參數(shù)：

device：網(wǎng)絡(luò)接口的名字，為第一步獲取的網(wǎng)絡(luò)接口字符串（pcap_lookupdev() 的返回值），也可人為指定，如“eth0”。
snaplen：捕獲數(shù)據(jù)包的長度，長度不能大于 65535 個字節(jié)。
promise：“1” 代表混雜模式，其它非混雜模式。
to_ms：指定需要等待的毫秒數(shù)，超過這個數(shù)值后，獲取數(shù)據(jù)包的函數(shù)就會立即返回（這個函數(shù)不會阻塞，后面的抓包函數(shù)才會阻塞）。0 表示一直等待直到有數(shù)據(jù)包到來。
ebuf：存儲錯誤信息。
返回值：返回 pcap_t 類型指針，后面的所有操作都要使用這個指針。

實例如下：



char error_content[PCAP_ERRBUF_SIZE] = {0};    // 出錯信息
char *dev = pcap_lookupdev(error_content);    // 獲取網(wǎng)絡(luò)接口
if(NULL == dev)
{
    printf(error_content);
    exit(-1);
}
 
// 打開網(wǎng)絡(luò)接口
pcap_t * pcap_handle = pcap_open_live(dev 1024 1 0 error_content);
if(NULL == pcap_handle)
{
    printf(error_content);
    exit(-1);
}

4、獲取數(shù)據(jù)包

a）

const u_char *pcap_next(pcap_t *p struct pcap_pkthdr *h);

功能：捕獲一個網(wǎng)絡(luò)數(shù)據(jù)包，收到一個數(shù)據(jù)包立即返回

參數(shù)：

p：pcap_open_live()返回的?pcap_t?類型的指針
h：數(shù)據(jù)包頭

pcap_pkthdr 類型的定義如下：

 struct pcap_pkthdr
 {
     struct timeval ts; // 抓到包的時間
     bpf_u_int32 caplen; // 表示抓到的數(shù)據(jù)長度
     bpf_u_int32 len; // 表示數(shù)據(jù)包的實際長度
}

len 和 caplen的區(qū)別：
因為在某些情況下你不能保證捕獲的包是完整的，例如一個包長 1480，但是你捕獲到 1000 的時候，可能因為某些原因就中止捕獲了，所以 caplen 是記錄實際捕獲的包長，也就是 1000，而 len 就是 1480。?
返回值：成功返回捕獲數(shù)據(jù)包的地址，失敗返回 NULL

實例如下：


const unsigned char *p_packet_content = NULL; // 保存接收到的數(shù)據(jù)包的起始地址
pcap_t *pcap_handle = NULL;
struct pcap_pkthdr protocol_header;
 
pcap_handle = pcap_open_live("eth0" 1024 1 0NULL);
 
p_packet_content = pcap_next(pcap_handle &protocol_header); 
//p_packet_content  所捕獲數(shù)據(jù)包的地址
        
printf("Capture Time is :%s"ctime((const time_t *)&protocol_header.ts.tv_sec)); // 時間
printf("Packet Lenght is :%d
"protocol_header.len);    // 數(shù)據(jù)包的實際長度
 
// 分析以太網(wǎng)中的 源mac、目的mac
struct ether_header *ethernet_protocol = NULL;
unsigned char *p_mac_string = NULL;            // 保存mac的地址，臨時變量
 
ethernet_protocol = (struct ether_header *)p_packet_content;  //struct ether_header 以太網(wǎng)幀頭部
 
p_mac_string = (unsigned char *)ethernet_protocol->ether_shost;//獲取源mac
printf("Mac Source Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(p_mac_string+0)*(p_mac_string+1)*(p_mac_string+2)*(p_mac_string+3)*(p_mac_string+4)*(p_mac_string+5));
 
p_mac_string = (unsigned char *)ethernet_protocol->ether_dhost;//獲取目的mac
printf("Mac Destination Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(p_mac_string+0)*(p_mac_string+1)*(p_mac_string+2)*(p_mac_string+3)*(p_mac_string+4)*(p_mac_string+5));

b）

int pcap_loop( ? ? pcap_t *p

int cnt

pcap_handler callback

u_char *user );

功能：循環(huán)捕獲網(wǎng)絡(luò)數(shù)據(jù)包，直到遇到錯誤或者滿足退出條件。每次捕獲一個數(shù)據(jù)包就會調(diào)用 callback 指定的回調(diào)函數(shù)，所以，可以在回調(diào)函數(shù)中進(jìn)行數(shù)據(jù)包的處理操作。

參數(shù)：

p：pcap_open_live()返回的?pcap_t?類型的指針。
cnt：指定捕獲數(shù)據(jù)包的個數(shù)，一旦抓到了 cnt 個數(shù)據(jù)包，pcap_loop 立即返回。如果是 -1，就會永無休止的捕獲，直到出現(xiàn)錯誤。
callback：回調(diào)函數(shù)，名字任意，根據(jù)需要自行起名。
user：向回調(diào)函數(shù)中傳遞的參數(shù)。
userarg：pcap_loop() 的最后一個參數(shù)，當(dāng)收到足夠數(shù)量的包后 pcap_loop 會調(diào)用callback 回調(diào)函數(shù)，同時將pcap_loop()的user參數(shù)傳遞給它
pkthdr：是收到數(shù)據(jù)包的 pcap_pkthdr 類型的指針，和?pcap_next() 第二個參數(shù)是一樣的。
acket ：收到的數(shù)據(jù)包數(shù)據(jù)
返回值：成功返回0，失敗返回負(fù)數(shù)

實例如下：


if( pcap_loop(pcap_handle -1 ethernet_protocol_callback NULL) < 0 )
{
    perror("pcap_loop");
}
 
/*******************************回調(diào)函數(shù)************************************/
void ethernet_protocol_callback(unsigned char *argumentconst struct pcap_pkthdr *packet_heaherconst unsigned char *packet_content)
{
    unsigned char *mac_string;                //
    struct ether_header *ethernet_protocol;
    unsigned short ethernet_type;            //以太網(wǎng)類型
    printf("----------------------------------------------------
");
    printf("%s
" ctime((time_t *)&(packet_heaher->ts.tv_sec))); //轉(zhuǎn)換時間
    ethernet_protocol = (struct ether_header *)packet_content;
    
    mac_string = (unsigned char *)ethernet_protocol->ether_shost;//獲取源mac地址
    printf("Mac Source Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(mac_string+0)*(mac_string+1)*(mac_string+2)*(mac_string+3)*(mac_string+4)*(mac_string+5));
    
    mac_string = (unsigned char *)ethernet_protocol->ether_dhost;//獲取目的mac
    printf("Mac Destination Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(mac_string+0)*(mac_string+1)*(mac_string+2)*(mac_string+3)*(mac_string+4)*(mac_string+5));
    
    ethernet_type = ntohs(ethernet_protocol->ether_type);//獲得以太網(wǎng)的類型
    printf("Ethernet type is :%04x
"ethernet_type);
    switch(ethernet_type)
    {
        case 0x0800:printf("The network layer is IP protocol
");break;//ip
        case 0x0806:printf("The network layer is ARP protocol
");break;//arp
        case 0x0835:printf("The network layer is RARP protocol
");break;//rarp
        default:break;
    }
    usleep(800*1000);
}


c）

int pcap_dispatch(pcap_t * p int cnt pcap_handler callback u_char * user);

這個函數(shù)和 pcap_loop() 非常類似，只是在超過 to_ms 毫秒后就會返回( to_ms 是pcap_open_live() 的第4個參數(shù) )

5、釋放網(wǎng)絡(luò)接口

void pcap_close(pcap_t *p);

功能：關(guān)閉 pcap_open_live() 打開的網(wǎng)絡(luò)接口（即其返回值，pcap_t 類型指針），并釋放相關(guān)資源。注意，操作完網(wǎng)絡(luò)接口，應(yīng)該釋放其資源。
參數(shù)：p：需要關(guān)閉的網(wǎng)絡(luò)接口，pcap_open_live()?的返回值（pcap_t 類型指針）
返回值：無

實例如下：


// 打開網(wǎng)絡(luò)接口
pcap_t * pcap_handle = pcap_open_live("eth0" 1024 1 0 error_content);
if(NULL == pcap_handle)
{
    printf(error_content);
    exit(-1);
}
 
 ……
 ……
 
pcap_close(pcap_handle); //釋放網(wǎng)絡(luò)接口

例子1（接收一個數(shù)據(jù)包）：


#include 
#include 
#include 
#include 
#include 
struct ether_header
{
    unsigned char ether_dhost[6];    //目的mac
    unsigned char ether_shost[6];    //源mac
    unsigned short ether_type;        //以太網(wǎng)類型
};
#define BUFSIZE 1514
 
int main(int argcchar *argv[])
{
    pcap_t * pcap_handle = NULL;
    char error_content[100] = "";    // 出錯信息
    const unsigned char *p_packet_content = NULL;        // 保存接收到的數(shù)據(jù)包的起始地址
    unsigned char *p_mac_string = NULL;            // 保存mac的地址，臨時變量
    unsigned short ethernet_type = 0;            // 以太網(wǎng)類型
    char *p_net_interface_name = NULL;        // 接口名字
    struct pcap_pkthdr protocol_header;
    struct ether_header *ethernet_protocol;
 
    //獲得接口名
    p_net_interface_name = pcap_lookupdev(error_content);
    if(NULL == p_net_interface_name)
    {
        perror("pcap_lookupdev");
        exit(-1);
    }
    
    //打開網(wǎng)絡(luò)接口
    pcap_handle = pcap_open_live(p_net_interface_nameBUFSIZE10error_content);
    p_packet_content = pcap_next(pcap_handle&protocol_header);
    
    printf("------------------------------------------------------------------------
");
    printf("capture a Packet from p_net_interface_name :%s
"p_net_interface_name);
    printf("Capture Time is :%s"ctime((const time_t *)&protocol_header.ts.tv_sec));
    printf("Packet Lenght is :%d
"protocol_header.len);
    
    /*
    *分析以太網(wǎng)中的 源mac、目的mac
    */
    ethernet_protocol = (struct ether_header *)p_packet_content;
    p_mac_string = (unsigned char *)ethernet_protocol->ether_shost;//獲取源mac
    printf("Mac Source Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(p_mac_string+0)*(p_mac_string+1)*(p_mac_string+2)*(p_mac_string+3)*(p_mac_string+4)*(p_mac_string+5));
    p_mac_string = (unsigned char *)ethernet_protocol->ether_dhost;//獲取目的mac
    printf("Mac Destination Address is %02x:%02x:%02x:%02x:%02x:%02x
"*(p_mac_string+0)*(p_mac_string+1)*(p_mac_string+2)*(p_mac_string+3)*(p_mac_string+4)*(p_mac_string+5));
 
    /*
    *獲得以太網(wǎng)的數(shù)據(jù)包的地址，然后分析出上層網(wǎng)絡(luò)協(xié)議的類型
    */
    ethernet_type = ntohs(ethernet_protocol->ether_type);
    printf("Ethernet type is :%04x	"ethernet_type);
    switch(ethernet_type)
    {
        case 0x0800:printf("The network layer is IP protocol
");break;//ip
        case 0x0806:printf("The network layer is ARP protocol
");break;//arp
        case 0x0835:printf("The network layer is RARP protocol
");break;//rarp
        default:printf("The network layer unknow!
");break;
    }
    
    pcap_close(pcap_handle);
    return 0;
}

注意：gcc 編譯時需要加上 -lpcap，運行時需要使用超級權(quán)限

GPU云服務(wù)器云服務(wù)器 libpcap linux詳解 linux命令詳解 linux桌面詳解

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/126214.html

發(fā)表評論

登陸后可評論

0條評論

Tecode

男|高級講師

我要關(guān)注我要私信

TA的文章

tensorflow指定cpu

閱讀 3532·2023-04-25 20:09
香港云服務(wù)器這幾天網(wǎng)絡(luò)有沒有丟包嚴(yán)重

閱讀 3736·2022-06-28 19:00
EPC單機(jī)掛載UHOST-RSSD高速磁盤

閱讀 3056·2022-06-28 19:00
GPU活動使用TIPS

閱讀 3075·2022-06-28 19:00
為科研量身定制，UCloud推出“云極”高性能計算EPC

閱讀 3168·2022-06-28 19:00
UCloud 2021年終特惠已開啟，快杰O型ARM服務(wù)器上海節(jié)點重磅上線！

閱讀 2874·2022-06-28 19:00
“懂運維、精運營、重服務(wù)” UCloud發(fā)布混合云多云管理平臺UCMP

閱讀 3038·2022-06-28 19:00
軟件定義存儲，UCloudStor存儲?體機(jī)強(qiáng)勢登場

閱讀 2632·2022-06-28 19:00

国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

上云采購季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺、長期優(yōu)惠，快來選購！

Linux 網(wǎng)絡(luò)編程—— libpcap 詳解

相關(guān)文章

奈學(xué)P7業(yè)務(wù)架構(gòu)師

發(fā)表評論

0條評論

Tecode

男|高級講師

TA的文章

tensorflow指定cpu

香港云服務(wù)器這幾天網(wǎng)絡(luò)有沒有丟包嚴(yán)重

EPC單機(jī)掛載UHOST-RSSD高速磁盤

GPU活動使用TIPS

為科研量身定制，UCloud推出“云極”高性能計算EPC

UCloud 2021年終特惠已開啟，快杰O型ARM服務(wù)器上海節(jié)點重磅上線！

“懂運維、精運營、重服務(wù)” UCloud發(fā)布混合云多云管理平臺UCMP

軟件定義存儲，UCloudStor存儲?體機(jī)強(qiáng)勢登場

最新活動