libpcap学习笔记

struct pcap_pkthdr {

struct timeval ts; /* time stamp */时间戳

bpf_u_int32 caplen; /* length of portion present */在线抓到包的长度，无符号整形bpf_u_int32 len; /* length this packet (off wire) */离线包长度

};

pcap_pkthdr是.pcap文件中包的头部

1.入门使用篇

本篇讲述如何抓包

最简单的libpcap抓包程序只要有以下几句就可以了

char ebuf[PCAP_ERRBUF_SIZE];

pcap_t *pd = pcap_open_live("eth0", 68, 0, 1000, ebuf);

建立libpcap捕捉句柄,若出错,ebuf返回错误字串.ebuf可以为NULL(以后同)

struct bpf_program fcode;

pcap_compile(pd, &fcode, NULL, 1, 0);

添写过滤规则串fcode,可以为空(即第三个参数,格式在后面讲到)

pcap_setfilter(pd, &fcode);

给 pd 设置上过滤规则

pcap_loop(pd, 10, eth_printer, NULL);

主循环,开始抓包,共抓10个(由第二个参数指定),抓到包后就进入函数 eth_printer

pcap_close(pd);

结束

这个就是最简单的程序了,其中还有个不明,

在pcap_loop参数 eth_printer的类型是pcap_handler,pcap_handler定义如下:

typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *,

const u_char *);

当然要包含

#include "pcap.h"

编译要加上 -lpcap

至于怎么得到libpcap,还有安装,我就不费话了

本文版权所有:doggy(chaujy@) 欢迎转载

2.使用进阶篇

刚才我们对程序的要求是能编译通过,能运行成功

现在我们让这个程序实用点吧

2.1 其它几个函数介绍

这几个函数的特点是简单但无关紧要

现在我们隆重退出

char * pcap_lookupdev ( char * errbuf );

这个函数就是查找本机上的网络接口设备,我机器上就返回"eth0",

在pcap_open_live之前用,没什么意思吧,反正我是不爱用它

int pcap_lookupnet(char *, bpf_u_int32 *, bpf_u_int32 *, char *);

第一个参数就是pcap_lookupdev返回的接口名,二三参数都是32位无符号数, 分别是IP网段和掩码,最后那个参数还是ebuf

int pcap_datalink(pcap_t *);

它返回你的网络类型,如 DLT_EN10MB 就是10M以太网

让人ft氖钦庑┏Ａ慷ㄒ宀辉趐cap.h中,在哪?自己找找吧;-)

int pcap_snapshot(pcap_t *);

返回最长抓多少字节,就是我们在pcap_open_live中第二个参数设置的

int pcap_stats(pcap_t *, struct pcap_stat *);

计数,共抓了多少过滤掉了多少,看看struct pcap_stat的定义就明白了

struct pcap_stat {

u_int ps_recv; /* number of packets received */

u_int ps_drop; /* number of packets dropped */

u_int ps_ifdrop; /* drops by interface XXX not yet supported */

};

int pcap_major_version(pcap_t *);

int pcap_minor_version(pcap_t *);

版本号,你有用么?

我的eth_printer如下

void eth_printer(u_char * user, const struct pcap_pkthdr * h, const u_char * p) {

printf("I get one packet! ");

}

简单吧 :*)

2.使用进阶篇

刚才我们对程序的要求是能编译通过,能运行成功现在我们让这个程序实用点吧

2.1 其它几个函数介绍

这几个函数的特点是简单但无关紧要

现在我们隆重退出

char * pcap_lookupdev ( char * errbuf );

这个函数就是查找本机上的网络接口设备,我机器上就返回"eth0",在pcap_open_live之前用,没什么意思吧,反正我是不爱用它

int pcap_lookupnet(char *, bpf_u_int32 *, bpf_u_int32 *, char *);

第一个参数就是pcap_lookupdev返回的接口名,二三参数都是32位无符号数,

分别是IP网段和掩码,最后那个参数还是ebuf

int pcap_datalink(pcap_t *);

它返回你的网络类型,如 DLT_EN10MB 就是10M以太网

让人ft的是这些常量定义不在pcap.h中,在哪?自己找找吧;-)

int pcap_snapshot(pcap_t *);

返回最长抓多少字节,就是我们在pcap_open_live中第二个参数设置的

int pcap_stats(pcap_t *, struct pcap_stat *);

计数,共抓了多少过滤掉了多少,看看struct pcap_stat的定义就明白了

struct pcap_stat {

u_int ps_recv; /* number of packets received */

u_int ps_drop; /* number of packets dropped */

u_int ps_ifdrop; /* drops by interface XXX not yet supported */

};

int pcap_major_version(pcap_t *);

int pcap_minor_version(pcap_t *);

版本号