LIbpcap2

libpcap详解libpcap（Packet Capture Library），即数据包捕获函数库，是Unix/Linux平台下的网络数据包捕获函数库。

它是一个独立于系统的用户层包捕获的API接口，为底层网络监测提供了一个可移植的框架。

(通过将网卡设置为混杂模式，可以捕获所有经过该网络接口的数据包)的数据包。

一、libpcap工作原理：libpcap主要由两部份组成：网络分接头(Network Tap)和数据过滤器(Packet Filter)。

网络分接头从网络设备驱动程序中收集数据拷贝，过滤器决定是否接收该数据包。

Libpcap利用BSD Packet Filter(BPF)算法对网卡接收到的链路层数据包进行过滤。

BPF算法的基本思想是在有BPF监听的网络中，网卡驱动将接收到的数据包复制一份交给BPF过滤器，过滤器根据用户定义的规则决定是否接收此数据包以及需要拷贝该数据包的那些内容，然后将过滤后的数据给与过滤器相关联的上层应用程序。

libpcap的包捕获机制就是在数据链路层加一个旁路处理。

当一个数据包到达网络接口时，libpcap首先利用已经创建的Socket 从链路层驱动程序中获得该数据包的拷贝，再通过Tap函数将数据包发给BPF过滤器。

BPF过滤器根据用户已经定义好的过滤规则对数据包进行逐一匹配，匹配成功则放入内核缓冲区，并传递给用户缓冲区，匹配失败则直接丢弃。

如果没有设置过滤规则，所有数据包都将放入内核缓冲区，并传递给用户层缓冲区。

一个包捕获机制包含三个主要部分，分别是面向底层的包捕获引擎，面向中间层的数据包过滤器，面向应用层的用户接口。

对应用程序而言，Libpcap包捕获机制只是提供了一个统一的API接口，用户只需要按照相关的编程流程，简单地调用若干函数就可以捕获到感兴趣的数据包。

二、libpcap的抓包框架pcap_lookupdev()函数用于查找网络设备，返回可被pcap_open_live()函数调用的网络设备名指针。

pcap_open_live()函数用于打开网络设备，并且返回用于捕获网络数据包的数据包捕获描述字。

对于此网络设备的操作都要基于此网络设备描述字。

pcap_lookupnet()函数获得指定网络设备的网络号和掩码。

pcap_compile()函数用于将用户制定的过滤策略编译到过滤程序中。

pcap_setfilter()函数用于设置过滤器。

pcap_loop()函数pcap_dispatch()函数用于捕获数据包，捕获后还可以进行处理，此外pcap_next()和pcap_next_ex()两个函数也可以用来捕获数据包。

pcap_close()函数用于关闭网络设备，释放资源。

其实pcap的应用程序格式很简单，总的来说可以可以分为以下5部分，相信看了以下的5部分，大概能对pcap的总体布局有个大概的了解了吧：1.我们从决定用哪一个接口进行嗅探开始。

在Linux中，这可能是eth0，而在BSD系统中则可能是xl1等等。

我们也可以用一个字符串来定义这个设备，或者采用pcap提供的接口名来工作。

2.初始化pcap。

在这里我们要告诉pcap对什么设备进行嗅探。

假如愿意的话，我们还可以嗅探多个设备。

怎样区分它们呢？使用文件句柄。

就像打开一个文件进行读写一样，必须命名我们的嗅探“会话”，以此使它们各自区别开来。

3.假如我们只想嗅探特定的传输（如TCP/IP包，发往端口23的包等等），我们必须创建一个规则集合，编译并且使用它。

这个过程分为三个相互紧密关联的阶段。

规则集合被置于一个字符串内，并且被转换成能被pcap读的格式(因此编译它)。

编译实际上就是在我们的程序里调用一个不被外部程序使用的函数。

接下来我们要告诉pcap使用它来过滤出我们想要的那一个会话。

4.最后，我们告诉pcap进入它的主体执行循环。

在这个阶段内pcap一直工作到它接收了所有我们想要的包为止。

每当它收到一个包就调用另一个已经定义好的函数，这个函数可以做我们想要的任何工作，它可以剖析所部获的包并给用户打印出结果，它可以将结果保存为一个文件，或者什么也不作。

5.在嗅探到所需的数据后，我们要关闭会话并结束。

三、实现libpcap的每一个步骤（1）设置设备这是很简单的。

有两种方法设置想要嗅探的设备。

第一种，我们可以简单的让用户告诉我们。

考察下面的程序：#include#includeint main(int argc, char *argv[]){char *dev = argv[1];printf("Device: %s", dev);return(0);}用户通过传递给程序的第一个参数来指定设备。

字符串“dev”以pcap能“理解”的格式保存了我们要嗅探的接口的名字（当然，用户必须给了我们一个真正存在的接口）。

另一种也是同样的简单。

来看这段程序：#include#includeint main(){char *dev, errbuf[PCAP_ERRBUF_SIZE];dev = pcap_lookupdev(errbuf);printf("Device: %s", dev);return(0);}（2）打开设备进行嗅探创建一个嗅探会话的任务真的非常简单。

为此，我们使用pcap_open_live()函数。

此函数的原型（根据pcap的手册页）如下：pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms, char *ebuf)其第一个参数是我们在上一节中指定的设备，snaplen是整形的，它定义了将被pcap捕捉的最大字节数。

当promisc设为true时将置指定接口为混杂模式（然而，当它置为false时接口仍处于混杂模式的非凡情况也是有可能的）。

to_ms是读取时的超时值，单位是毫秒(假如为0则一直嗅探直到错误发生，为-1则不确定)。

最后，ebuf是一个我们可以存入任何错误信息的字符串（就像上面的errbuf）。

此函数返回其会话句柄。

混杂模式与非混杂模式的区别：这两种方式区别很大。

一般来说，非混杂模式的嗅探器中，主机仅嗅探那些跟它直接有关的通信，如发向它的，从它发出的，或经它路由的等都会被嗅探器捕捉。

而在混杂模式中则嗅探传输线路上的所有通信。

在非交换式网络中，这将是整个网络的通信。

这样做最明显的优点就是使更多的包被嗅探到，它们因你嗅探网络的原因或者对你有帮助，或者没有。

但是，混杂模式是可被探测到的。

一个主机可以通过高强度的测试判定另一台主机是否正在进行混杂模式的嗅探。

其次，它仅在非交换式的网络环境中有效工作（如集线器，或者交换中的ARP层面）。

再次，在高负荷的网络中，主机的系统资源将消耗的非常严重。

（3）过滤通信实现这一过程由pcap_compile()与pcap_setfilter()这两个函数完成。

在使用我们自己的过滤器前必须编译它。

过滤表达式被保存在一个字符串中（字符数组）。

其句法在tcpdump的手册页中被证实非常好。

我建议你亲自阅读它。

但是我们将使用简单的测试表达式，这样你可能很轻易理解我的例子。

我们调用pcap_compile()来编译它，其原型是这样定义的：int pcap_compile(pcap_t *p, strUCt bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask)第一个参数是会话句柄。

接下来的是我们存储被编译的过滤器版本的地址的引用。

再接下来的则是表达式本身，存储在规定的字符串格式里。

再下边是一个定义表达式是否被优化的整形量（0为false，1为true，标准规定）。

最后，我们必须指定应用此过滤器的网络掩码。

函数返回-1为失败，其他的任何值都表明是成功的。

表达式被编译之后就可以使用了。

现在进入pcap_setfilter()。

仿照我们介绍pcap的格式，先来看一看pcap_setfilter()的原型：int pcap_setfilter(pcap_t *p, struct bpf_program *fp)这非常直观，第一个参数是会话句柄，第二个参数是被编译表达式版本的引用（可推测出它与pcap_compile()的第二个参数相同）。

下面的代码示例可能能使你更好的理解：#includepcap_t *handle; /* 会话的句柄*/char dev[] = "eth0"; /* 执行嗅探的设备*/char errbuf[PCAP_ERRBUF_SIZE]; /* 存储错误信息的字符串*/struct bpf_program filter; /*已经编译好的过滤表达式*/char filter_app[] = "port 23"; /* 过滤表达式*/bpf_u_int32 mask; /* 执行嗅探的设备的网络掩码*/bpf_u_int32 net; /* 执行嗅探的设备的IP地址*/pcap_lookupnet(dev, &net, &mask, errbuf);handle = pcap_open_live(dev, BUFSIZ, 1, 0, errbuf);pcap_compile(handle, &filter, filter_app, 0, net);pcap_setfilter(handle, &filter);这个程序使嗅探器嗅探经由端口23的所有通信，使用混杂模式，设备是eth0。

（4）实际的嗅探有两种手段捕捉包。

我们可以一次只捕捉一个包，也可以进入一个循环，等捕捉到多个包再进行处理。

我们将先看看怎样去捕捉单个包，然后再看看使用循环的方法。

为此，我们使用函数pcap_next()。

pcap_next()的原型及其简单：u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h)第一个参数是会话句柄，第二个参数是指向一个包括了当前数据包总体信息（被捕捉时的时间，包的长度，其被指定的部分长度）的结构体的指针（在这里只有一个片断，只作为一个示例）。

pcap_next()返回一个u_char指针给被这个结构体描述的包。

我们将稍后讨论这种实际读取包本身的手段。

这里有一个演示怎样使用pcap_next()来嗅探一个包的例子：#include#includeint main(){pcap_t *handle; /* 会话句柄*/char *dev; /* 执行嗅探的设备*/char errbuf[PCAP_ERRBUF_SIZE]; /* 存储错误信息的字符串*/struct bpf_program filter; /* 已经编译好的过滤器*/char filter_app[] = "port 23"; /* 过滤表达式*/ bpf_u_int32 mask; /* 所在网络的掩码*/bpf_u_int32 net; /* 主机的IP地址*/struct pcap_pkthdr header; /* 由pcap.h定义*/ const u_char *packet; /* 实际的包*//* Define the device */dev = pcap_lookupdev(errbuf);/* 探查设备属性*/pcap_lookupnet(dev, &net, &mask, errbuf);/* 以混杂模式打开会话*/handle = pcap_open_live(dev, BUFSIZ, 1, 0, errbuf); /* 编译并应用过滤器*/pcap_compile(handle, &filter, filter_app, 0, net); pcap_setfilter(handle, &filter);/* 截获一个包*/packet = pcap_next(handle, &header);/* 打印它的长度*/printf("Jacked a packet with length of [%d]", header.len);/* 关闭会话*/pcap_close(handle);return(0);}这个程序嗅探被pcap_lookupdev()返回的设备并将它置为混杂模式。