libpcap

函数调用顺序层次

pcap_open_live()

　　pcap_create()                          //通过device创建pcap结构体并初始化

　　　　pcap_create_interface()      //不同的操作系统环境调用不同的接口函数

　　　　　　pcap_create_common() //动态分配pcap_t内存

　　　　　　　　initialize_ops()        //初始化一系列回调函数和参数

　　pcap_set_snaplen()

　　pcap_set_promisc()

　　pcap_set_timeout()

　　p->oldstyle = 1;

　　pcap_activate()                      //执行pcap_activate_bpf()

pcap基本数据结构

//libpcap 1.74
struct pcap {

        read_op_t read_op;                                                /* Method to call to read packets on a live capture. */
        int (*next_packet_op)(pcap_t *, struct pcap_pkthdr *, u_char **); /* Mtehod to call to read to read packets from a savefile. */

#ifdef WIN32
        ADAPTER *adapter;
        LPPACKET Packet;
        int nonblock;
#else
        int fd; 
        int selectable_fd;
#endif /* WIN32 */

        int bufsize;            /* Read buffer */
        u_char *buffer;         /* Read buffer */
        u_char *bp;             /* Read buffer */
        int cc;                 /* Read buffer */

        int break_loop;         /* flag set to force break from packet-reading loop */

        void *priv;             /* private data for methods(不同的系统对应不同的结构体，linux 为 struct pcap_linux) */

        int swapped;
        FILE *rfile;            /* null if live capture, non-null if savefile */
        int fddipad;
        struct pcap *next;      /* list of open pcaps that need stuff cleared on close */

        int version_major;
        int version_minor;

        int snapshot;           /* 抓取一个数据报的最大长度 */ int linktype;           /* Network linktype */
        int linktype_ext;       /* Extended information stored in the linktype field of a file */
        int tzoff;              /* timezone offset */
        int offset;             /* offset for proper alignment */
        int activated;          /* true if the capture is really started */
        int oldstyle;           /* if we're opening with pcap_open_live() */

        struct pcap_opt opt;

        u_char *pkt;           /* Place holder for pcap_next(). */

        pcap_direction_t direction; /* We're accepting only packets in this direction/these directions. */

        int bpf_codegen_flags;      /* Flags to affect BPF code generation. */

        struct bpf_program fcode;   /* Placeholder for filter code if bpf not in kernel. */

        char errbuf[PCAP_ERRBUF_SIZE + 1];
        int dlt_count;
        u_int *dlt_list;
        int tstamp_type_count;
        u_int *tstamp_type_list;
        int tstamp_precision_count;
        u_int *tstamp_precision_list;

        struct pcap_pkthdr pcap_header; /* This is needed for the pcap_next_ex() to work */

        /*
         * More methods.
         */
        activate_op_t activate_op;
        can_set_rfmon_op_t can_set_rfmon_op;
        inject_op_t inject_op;
        setfilter_op_t setfilter_op;
        setdirection_op_t setdirection_op;
        set_datalink_op_t set_datalink_op;
        getnonblock_op_t getnonblock_op;
        setnonblock_op_t setnonblock_op;
        stats_op_t stats_op;

        /*
         * Routine to use as callback for pcap_next()/pcap_next_ex().
         */
        pcap_handler oneshot_callback;

#ifdef WIN32
        /*
         * These are, at least currently, specific to the Win32 NPF
         * driver.
         */

        setbuff_op_t setbuff_op;
        setmode_op_t setmode_op;
        setmintocopy_op_t setmintocopy_op;
        getadapter_op_t getadapter_op;
#endif
        cleanup_op_t cleanup_op;
};

 

//linux 下的priv
struct pcap_linux {
        u_int   packets_read;   /* count of packets read with recvfrom() */
        long    proc_dropped;   /* packets reported dropped by /proc/net/dev */
        struct pcap_stat stat;

        char    *device;        /* device name */
        int     filter_in_userland; /* must filter in userland */
        int     blocks_to_filter_in_userland;
        int     must_do_on_close; /* stuff we must do when we close */
        int     timeout;        /* timeout for buffering */
        int     sock_packet;    /* using Linux 2.0 compatible interface */
        int     cooked;         /* using SOCK_DGRAM rather than SOCK_RAW */
        int     ifindex;        /* interface index of device we're bound to */
        int     lo_ifindex;     /* interface index of the loopback device */
        bpf_u_int32 oldmode;    /* mode to restore when turning monitor mode off */
        char    *mondevice;     /* mac80211 monitor device we created */
        u_char  *mmapbuf;       /* memory-mapped region pointer */
        size_t  mmapbuflen;     /* size of region */
        int     vlan_offset;    /* offset at which to insert vlan tags; if -1, don't insert */
        u_int   tp_version;     /* version of tpacket_hdr for mmaped ring */
        u_int   tp_hdrlen;      /* hdrlen of tpacket_hdr for mmaped ring */
        u_char  *oneshot_buffer; /* buffer for copy of packet */
#ifdef HAVE_TPACKET3
        unsigned char *current_packet; /* Current packet within the TPACKET_V3 block. Move to next block if NULL. */
        int packets_left; /* Unhandled packets left within the block from previous call to pcap_read_linux_mmap_v3 in case of TPACKET_V3. */
#endif
};

libpcap 中 linux 下的bfp

/*
 * Structure for "pcap_compile()", "pcap_setfilter()", etc..
 */
struct bpf_program {
        u_int bf_len;
        struct bpf_insn *bf_insns;
};

/*
 * The instruction(指令)structure.
 */
struct bpf_insn {
        u_short code;  //操作码，可以实现数值运算、加载、比较等操作
        u_char  jt;    //如果匹配成功跳转到的位置
        u_char  jf;    //如果匹配失败跳转到的位置
        bpf_u_int32 k; //参数字段，不同的操作码有不同的用途
};

常用函数

//函数名称：pcap_t *pcap_open_offline(const char *fname, char *errbuf)
//函数功能：打开以前保存的 pcap 数据包，用于读取。
//函数位置：savefile.c

//函数名称：pcap_dumper_t *pcap_dump_open(pcap_t *p, const char *fname)
//函数功能：打开用于保存捕获数据的文件，用于写入。
//函数位置：sf-pcap.c

//函数名称：void pcap_dump(u_char *user, const struct pcap_pkthdr *h, const u_char *sp)
//函数功能：向pcap_dump_open()函数打开的文件输出一个数据包。
//函数位置：sf-pcap.c

//函数名称：char *pcap_lookupdev (char *ebuf)
//函数功能：用于返回可被pcap_open_live()或pcap_lookupnet()函数调用的网络设备名指针。
//函数位置：pcap-dos.c

//函数名称：int pcap_lookupnet (const char *device, bpf_u_int32 *localnet,bpf_u_int32 *netmask, char *errbuf)
//函数功能：获得指定网络设备的网络好和掩码
//函数位置：pcap-dos.c

//函数名称：int pcap_compile(pcap_t *p, struct bpf_program *program, const char *buf, int optimize, bpf_u_int32 mask)
//函数功能：间buf中的字符串编译到过滤程序中。把 buf 编译到 program 中等待使用。
//函数位置：gencode.c

//函数名称：static int pcap_setfilter_bpf(pcap_t *p, struct bpf_program *fp)
//函数功能：指定一个过滤器。 吧 fp 规则指定打 p 中等待使用。
//函数位置：pcap-bpf.c

// ====== pcap.c =====
//函数名称：pcap_t *pcap_open_live(const char *source, int snaplen, int promisc, int to_ms, char *errbuf)
//函数功能：获得用于捕获网络数据包的数据包捕获描述字。

//函数名称：int pcap_dispatch(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
//函数功能：捕获并处理数据包。

//函数名称：int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
//函数功能：捕获并处理数据包，与pcap_dispatch有区别。

//函数名称：pcap_next(pcap_t *p, struct pcap_pkthdr *h)
//函数功能：返回指向下一个数据包的 u_char 指针。

//函数名称：int pcap_datalink(pcap_t *p)
//函数功能：返回数据链路层类型。

//函数名称：int pcap_snapshot(pcap_t *p)
//函数功能：返回pcap_open_live()被调用后的 snapshot 值。

//函数名称：int pcap_is_swapped(pcap_t *p)
//函数功能：返回当前主机系统的字节序和被打开文件的字节序是否相同。

//函数名称：int pcap_major_version(pcap_t *p)
//函数功能：获取主版本号。

//函数名称：int pcap_minor_version(pcap_t *p)
//函数功能：获取次版本号。

//函数名称：int pcap_stats(pcap_t *p, struct pcap_stat *ps)
//函数功能：向pcap_stat结构体赋值

//函数名称：FILE *pcap_file(pcap_t *p)
//函数功能：返回被打开的文件。

//函数名称：int pcap_fileno(pcap_t *p)
//函数功能：返回被打开的文件描述符号码。

//函数名称：void pcap_perror(pcap_t *p, char *prefix)
//函数功能：打印最后一个pcap_t错误消息到屏幕。

//函数名称：char *pcap_geterr(pcap_t *p)
//函数功能：返回最后一个pcap_t错误信息。

//函数名称：const char * pcap_strerror(int errnum)
//函数功能：
//函数位置：

//函数名称：void pcap_close(pcap_t *p)
//函数功能：关闭pcap_t参数的相应文件，并释放资源。

//函数名称：
//函数功能：
//函数位置：
 

 

Method to call to read packets on a live capture