网络通信编程笔记（二）：pcap库使用

  Libpcap是Packet Capture Libray的英文缩写，即数据包捕获函数库。该库提供的C函数接口用于捕捉经过指定网络接口的数据包，该接口应该是被设为混杂模式。这个在原始套接子中有提到。

  著名的软件TCPDUMP就是在Libpcap的基础上开发而成的。Libpcap提供的接口函数实现和封装了与数据包截获有关的过程。

  Libpcap提供了用户级别的网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap可以在绝大多数Linux平台上运行。在Windows平台上，也有一款与其功能类似的开发库：Wincap。

  它的工作在上层应用程序与网络接口之间。

  主要功能：

• 数据包捕获：捕获流经网卡的原始数据包
• 自定义数据包发送：构造任何格式的原始数据包
• 流量采集与统计：采集网络中的流量信息
• 规则过滤：提供自带规则过滤功能，按需要选择过滤规则

  它的应用范围非常广泛，典型应用包括玩罗协议分析器，网络流量发生器，网络入侵检测系统，网络扫描器和其他安全工具。

  作为捕捉网络数据包的库，它是一个独立于系统的用户级的API接口，为底层网络检测提供了一个可移植的框架。

  一个包的捕捉分为三个主要部分，包括面向底层包捕获、面向中间层的数据包过滤和面向应用层的用户接口。这与Linux操作系统对数据包的处理流程是相同的（网卡->网卡驱动->数据链路层->IP层->传输层->应用程序）。包捕获机制是在数据链路层增加一个旁路处理（并不干扰系统自身的网络协议栈的处理），对发送和接收的数据包通过Linux内核做过滤和缓冲处理，最后直接传递给上层应用程序。

  下面介绍Libpcap的抓包流程：

1. 查找网络设备：目的是发现可用的网卡，实现的函数为pcap_lookupdev()，如果当前有多个网卡，函数就会返回一个网络设备名的指针列表。
2. 打开网络设备：利用上一步中的返回值，可以决定使用哪个网卡，通过函数pcap_open_live()打开网卡，返回用于捕捉网络数据包的秒数字。
3. 获得网络参数：这里是利用函数pcap_lookupnet()，可以获得指定网络设备的IP地址和子网掩码。
4. 编译过滤策略：Lipcap的主要功能就是提供数据包的过滤，函数pcap_compile()来实现。
5. 设置过滤器：在上一步的基础上利用pcap_setfilter()函数来设置。
6. 利用回调函数，捕获数据包：函数pcap_loop()和pcap_dispatch()来抓去数据包，也可以利用函数pcap_next()和pcap_next_ex()来完成同样的工作。
7. 关闭网络设备：pcap_close()函数关系设备，释放资源。

代码分析见网址：http://www.cnblogs.com/coder2012/archive/2013/04/13/3012390.html

libpcap从eth0（参数可选）抓取发往192.168.10.0/24网段的udp包程序

#include 
#include 
#include 
#include 
#include 
#include 
#include 
int sockfd4=0;
struct sockaddr_in servaddr4;
socklen_t addr_len =sizeof(struct sockaddr_in);

/*以太网头*/
struct sniff_ethernet
{
        u_char ether_dhost[ETHER_ADDR_LEN];
        u_char ether_shost[ETHER_ADDR_LEN];
        u_short ether_type;
};

/*IP头*/
struct sniff_ip
{
        u_char ip_vhl;
        u_char ip_tos;
        u_short ip_len;
        u_short ip_id;
        u_short ip_off;
        #define IP_RF 0x8000
        #define IP_DF 0x4000
        #define IP_MF 0x2000
        #define IP_OFFMASK 0x1fff
        u_char ip_ttl;
        u_char ip_p;
        u_short ip_sum;
        struct in_addr ip_src,ip_dst;
};

/*UDP报头*/
struct sniff_udp
{
        u_short udp_sport;
        u_short udp_dport;
        u_short udp_len;
        u_short udp_sum;
};

/*************************************************************
 功能：回调函数，处理抓到的数据包
 第一个参数是pcap_loop的最后一个参数，当收到足够数量的包后pcap_loop会调用callback回调函数（本函数中为getPacket），同时将pcap_loop()的user参数传递给它，
 第二个参数是收到的数据包的pcap_pkthdr类型的指针，
 第三个参数是收到的数据包数据
 **************************************************************/
void getPacket(u_char * arg, const struct pcap_pkthdr * pkthdr, const u_char * packet)
{
	int * id = (int *)arg; 
	printf("id: %d\n", ++(*id));/*包计数*/
	printf("Packet length: %d\n", pkthdr->len);/*理论包长度*/
	printf("Number of bytes: %d\n", pkthdr->caplen);/*真正捕获包长度*/
	printf("Recieved time: %s", ctime((const time_t *)&pkthdr->ts.tv_sec));/*包时间戳 */
	
	/*两位16进制数输出，每输出16个换行*/
	int i;
	for(i=0; ilen; ++i)
	{
		printf(" %02x", packet[i]);
		if( (i + 1) % 16 == 0 )
		{
			printf("\n");
		}
	}
	printf("\n");
	
	struct sniff_ethernet *ethernet;/*以太帧包头*/
	struct sniff_ip *ip;            /*ip包头*/
    struct sniff_udp *udp;          /*udp包头*/
    u_char *payload;                /*数据包负载的数据*/
    int payload_size;               /*数据包负载的数据大小*/

    ethernet=(struct sniff_ethernet*)(packet);                                                                /*指向以太网头*/
    ip=(struct sniff_ip*)(packet + sizeof(struct sniff_ethernet));                                            /*指向IP头*/
    udp=(struct sniff_udp*)(packet + sizeof(struct sniff_ethernet)+sizeof(struct sniff_ip));                  /*指向udp头*/
    payload=(u_char *)(packet+sizeof(struct sniff_ethernet)+sizeof(struct sniff_ip)+sizeof(struct sniff_udp));/*指向负载*/
	payload_size=ntohs(udp->udp_len)-sizeof(struct sniff_udp);                                                /*算出负载长度*/
    printf("len:%d,srcport:%d,dstport:%d\n",payload_size,ntohs(udp->udp_sport),ntohs(udp->udp_dport));        /*打印负载长度，udp的源端口和目的端口*/
    sendto(sockfd4,ip,payload_size+sizeof(struct sniff_ip)+sizeof(struct sniff_udp),0,(struct sockaddr *)&servaddr4,addr_len);/*将IP包从sockfd4发送到servaddr4*/
}

int main(int argc ,char* argv[])
{
	char errBuf[PCAP_ERRBUF_SIZE], * devStr;/*定义存储错误信息的字符串，执行嗅探的设备*/
	/*下面这个函数会返回指定接口的pcap_t类型指针，后面的所有操作都要使用这个指针。
    第一个参数是第一步获取的网络接口字符串，可以直接使用硬编码。
	第二个参数是对于每个数据包，从开头要抓多少个字节，我们可以设置这个值来只抓每个数据包的头部，而不关心具体的内容。典型的以太网帧长度是1518字节，但其他的某些协议的数据包会更长一点，但任何一个协议的一个数据包长度都必然小于65535个字节。
	第三个参数指定是否打开混杂模式(Promiscuous Mode)，0表示非混杂模式，任何其他值表示混合模式。如果要打开混杂模式，那么网卡必须也要打开混杂模式，可以使用如下的命令打开eth0混杂模式：ifconfig eth0 promisc
	第四个参数指定需要等待的毫秒数，超过这个数值后，第3步获取数据包的这几个函数就会立即返回。0表示一直等待直到有数据包到来。
	第五个参数是存放出错信息的数组*/
	pcap_t * device = pcap_open_live(argv[1], BUFSIZ, 1, 0, errBuf);

	if(!device)
	{
		printf("error: pcap_open_live(): %s\n", errBuf);
		exit(1);
	}
	/* construct a filter 
	libpcap利用BPF来过滤数据包。过滤数据包需要完成3件事：
	a) 构造一个过滤表达式
　　b) 编译这个表达式，语法高级容易
　　c) 应用这个过滤器*/
	struct bpf_program filter;
	pcap_compile(device, &filter, "udp and dst net 192.168.10.0/24", 1, 0);
	pcap_setfilter(device, &filter);
	
    /*建立本地sockfd4，目的为本地5012端口的servaddr4的UDP发送端*/	
	sockfd4=socket(AF_INET,SOCK_DGRAM,0);
	bzero(&servaddr4,sizeof(servaddr4));
	servaddr4.sin_family=AF_INET;
	servaddr4.sin_port=htons(5012);
	inet_pton(AF_INET,"127.0.0.1",&servaddr4.sin_addr);
		
	int id = 0;/*包编号，会传递给回调函数*/
	
	/* wait loop forever */
	/*第一个参数是返回的pcap_t类型的指针
	  第二个参数是需要抓的数据包的个数，一旦抓到了cnt个数据包，pcap_loop立即返回。负数的cnt表示pcap_loop永远循环抓包，直到出现错误。
	  第三个参数是一个回调函数指针(getPacket)*/
	pcap_loop(device, -1, getPacket, (u_char*)&id);
	pcap_close(device);/*释放网络接口*/
	return 0;
}