libcap使用小结
1. 安装
下载http://www.tcpdump.org/#old-releases ，我下的libpcap-1.0.0.tar.gz
#tar -zxvf libpcap-1.0.0.tar.gz
#cd libpcap-1.0.0
#./configure
#make;make install
安装到默认的目录/usr/lib/和/usr/include/
2. 使用
使用libcap库编写程序时，需要加入头文件#include
然后在编译的时候加上-lpcap
3. Libcap编程步骤
1）设置sniff设备
char *dev, errbuf[PCAP_ERRBUF_SIZE];
dev = pcap_lookupdev(errbuf);
if (dev == NULL)
{
fprintf(stderr, "couldn't find default device:%s", errbuf);
return -1;
}
这是查找默认的设备，也可以指定设备，如
char *dev = "eth0";
2）打开设备
pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms,
char *ebuf)
第一个参数是设备名，snaplen是一个整型值，定义由pcap抓取的包的最大 字节数。 promisc，当设置为true时，使接口处于混杂模式（不管怎样，即 使设置为false，在一些特定情形下接口可能还是 处于混杂模式）。to_ms 是读超时(read time out)，单位为毫秒（0表示没有超时；在一些平台上，这 意味着你可能会一直等待直到收到足够数量的包，所以你应该使用一个非零 值）。最后，ebuf用于保存出错信息（如errbuf）。函数返回会话句柄。
pcap_t *handle = pcap_open_live(dev, BUFSIZ, 1, 1000, errbuf);
if (handle == NULL)
{
fprintf(stderr, "couldn't open device %s:%s", dev, errbuf);
return -1;
}
3）通信过滤
int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize,
bpf_u_int32 netmask)
第一个参数是会话句柄(如pcap_t *handle)。接下来的参数用于指向存放编译 后过滤器的空间。然后是过滤表达式。下一个optimize整数决定表达式是否 是“优化的”（0为 false、1为true）。最后，要指定网络掩码netmask。函数 失败时返回-1；其它值表示成功。
为了获取网络掩码要用到下面这个函数，
int pcap_lookupnet(const char *device, bpf_u_int32 *netp,
bpf_u_int32 *maskp, char *errbuf);
第一个参数是指定设备名，第二个参数是待获取的嗅探设备的ip，第三个参 数是待嗅探设备的网络掩码，第四个参数是错误信息。返回值为0表示成功， -1表示失败。
if (pcap_compile(handle, &fp, filter_exp, 0, net) == -1)
{
fprintf(stderr, "couldn't parse filter %s:%s ", filter_exp, pcap_geterr(handle));
return -1;
}
4）开始sniff
u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h)
第一个参数是会话句柄。第二个参数是一个指针，它指向的结构用于存放数 据包的一般信息，如捕获的时间，包长度，组成包的各部分长度。pcap_next() 返回的*u_char指向捕获的包。
pcap_next()获取的是一个数据包，对于多个数据包的获取，就要用pcap_loop()
int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
第一个参数是会话句柄。接下来的cnt参数告诉pcap_loop()返回之前应该嗅 探到多少个包（负数表示一直嗅探直到出错为止）。第三个就是回调函数。 最后一个参数的作用是传递附加的自定义数据给回调函数，在一些应用时有 用，很多时候直接设为NULL就行。pcap_dispatch()的用法几乎一样，唯一 的区别是pcap_dispatch()只处理第一批从系统中收到的包，而pcap_loop()会 继续处理接下来的包直到达到指定数量为止。
回调函数的原型如下：
void xxx_packet(u_char *args, const struct pcap_pkthdr *header,
const u_char *packet);
第一个参数是传给pcap_loop()的最后一个数据，每次回调函数被调用时都可 以取得这个数据，第二个参数是pcap头结构，包含到达时间，长度等。最 后一个参数packet指向被pcap_loop()嗅探到的整个数据包的首地址，根据这 个首地址就可以解析出以太网头、IP头、TCP头以及正文数据。
pcap头结构如下
struct pcap_pkthdr {
struct timeval ts; /* time stamp */
bpf_u_int32 caplen; /* length of portion present */
bpf_u_int32 len; /* length this packet (off wire) */
};
5）关闭会话
pcap_close(pcap_t *handle);