盤點Linux程序下如何編寫網(wǎng)絡抓包程序代碼

　　在現(xiàn)如今，隨著互聯(lián)網(wǎng)技術信息量越來越多，我們需要在應用程序中捕獲網(wǎng)卡收到的所有數(shù)據(jù)包并進行分析，為了實現(xiàn)這一功能，應用程序需要借助底層系統(tǒng)的支持。當今主流的操作系統(tǒng)都提供了一個很強大的功能：允許應用程序訪問數(shù)據(jù)鏈路層。

　　類UNIX操作系統(tǒng)上提供了三種不同的方式訪問數(shù)據(jù)鏈路層，分別是BSD的BSD分組過濾器(BPF)、SVR4的數(shù)據(jù)鏈路提供者接口(DLPI)和Linux的SOCK_PACKET接口。幸運的是，程序員不需要了解這些不同接口的細節(jié)，直接使用Libpcap函數(shù)庫就可以。

　　Libpcap是一個提供了針對網(wǎng)絡數(shù)據(jù)包捕獲系統(tǒng)的高層接口的開源函數(shù)庫。其作用是提供獨立于平臺的應用程序接口，以消除程序中針對不同操作系統(tǒng)所包含的數(shù)據(jù)包捕獲代碼模塊。這樣以來，就解決了程序移植性的問題，有利于提高開發(fā)的效率。

　　Libpcap運行于大多數(shù)類UNIX操作系統(tǒng)上，完整的文檔和源碼可以從tcpdump的官方網(wǎng)站上獲得Windows版本W(wǎng)inpcap可已從官網(wǎng)獲取。下面介紹如何使用Libpcap來捕獲數(shù)據(jù)包：

　　char*pcap_lookupdev(char*errbuf);

　　功能：查找用于捕獲數(shù)據(jù)包的缺省設備

　　errbuf：錯誤時保存出錯信息

　　返回值：成功時返回設備名稱;出錯時返回NULL

　　pcap_t*pcap_open_live(constchar*device,intsnaplen,intpromisc,intto_ms,char*errbuf);

　　功能：打開用于捕獲數(shù)據(jù)包的網(wǎng)絡設備

　　device：設備名稱

　　snaplen：要捕獲的數(shù)據(jù)包的最大字節(jié)數(shù)

　　prosmic：網(wǎng)絡設備工作模式(0表示非混雜模式，其他值表示混雜模式)

　　to_ms：從內(nèi)核空間復制數(shù)據(jù)前等待的時間

　　err_buf：錯誤時保存出錯信息

　　返回值：成功時返回pcap_t類型的接口描述符(句柄);出錯時返回NULL

　　constu_char*pcap_next(pcap_t*p,structpcap_pkthdr*h);

　　功能：捕獲下一個數(shù)據(jù)包

　　p：接口描述符

　　h：捕獲的數(shù)據(jù)包的信息

　　返回值：成功時返回指向捕獲的數(shù)據(jù)的指針;出錯時返回NULL

　　typedefvoid(*pcap_handler)(u_char*user,conststructpcap_pkthdr*h,constu_char*bytes);

　　constu_char*pcap_loop(pcap_t*p,intcnt,pcap_handlercallback,u_char*user);

　　功能：捕獲下一個數(shù)據(jù)包

　　cnt：要捕獲的數(shù)據(jù)包的個數(shù)

　　callback：捕獲到數(shù)據(jù)包時執(zhí)行的回調(diào)函數(shù)

　　user：傳遞給回調(diào)函數(shù)的參數(shù)

　　返回值：成功時返回0;出錯時返回-1

　　intpcap_compile(pcap_t*p,structbpf_program*fp,char*str,intoptimize,bpf_u_int32netmask);

　　功能：創(chuàng)建過濾器

　　p：接口描述符

　　fp：指向保存過濾器的結構體的指針

　　str：要轉(zhuǎn)化的過濾規(guī)則

　　optimize：過濾器是否要優(yōu)化

　　netmask：網(wǎng)絡掩碼

　　返回值：成功時返回0;出錯時返回-1

　　intpcap_setfilter(pcap_t*p,structbpf_program*fp);

　　功能：安裝過濾器

　　p：接口描述符

　　fp：指向包含過濾器的結構體的指針

　　返回值：成功時返回0;出錯時返回-1

　　以下實例代碼實現(xiàn)捕獲并顯示3個ARP包

　　復制代碼代碼如下:

　　#include

　　#include

　　#include

　　#include

　　#defineMAXBYTES2CAPTURE2048

　　voidProcessPacket(u_char*arg,conststructpcap_pkthdr*pkthdr,constu_char*packet)

　　{

　　inti=0,*counter=(int*)arg;

　　printf("PacketCount:%d",++(*counter));

　　printf("ReceivedPacketSize:%d",pkthdr->len);

　　printf("Payload:");

　　for(i=0;ilen;i++)

　　{

　　printf("%02x",(unsignedint)packet[i]);

　　if((i%16==15&&i!=0)||(i==pkthdr->len-1))

　　{

　　printf("");

　　}

　　}

　　printf("************************************************");

　　return;

　　}

　　intmain(intargc,char*argv[])

　　{

　　inti=0,count=0;

　　pcap_t*descr=NULL;

　　charerrbuf[PCAP_ERRBUF_SIZE],*device=NULL;

　　bpf_u_int32netaddr=0,mask=0;

　　structbpf_programfilter;

　　memset(errbuf,0,sizeof(errbuf));

　　if(argc!=2)

　　{

　　device=pcap_lookupdev(errbuf);

　　}

　　else

　　{

　　device=argv[1];

　　}

　　printf("Trytoopendevice%s",device);

　　if((descr=pcap_open_live(device,MAXBYTES2CAPTURE,1,0,errbuf))==NULL)

　　{

　　printf("error:%s",errbuf);

　　exit(-1);

　　}

　　pcap_lookupnet(device,&netaddr,&mask,errbuf);

　　if(pcap_compile(descr,&filter,"arpandetherhost00:0c:29:b7:f6:33",0,mask)<0)

　　{

　　printf("pcap_compileerror");

　　exit(-1);

　　}

　　pcap_setfilter(descr,&filter);

　　pcap_loop(descr,3,ProcessPacket,(u_char*)&count);

　　return0;

　　}

　　最后想要了解更多關于Linux發(fā)展前景趨勢，請關注扣丁學堂Linux培訓官網(wǎng)、微信等平臺，扣丁學堂IT職業(yè)在線學習教育平臺為您提供權威的Linux培訓視頻教程系統(tǒng)，通過千鋒扣丁學堂金牌講師在線錄制的Linux視頻教程課程，讓你快速掌握Linux從入門到精通開發(fā)實戰(zhàn)技能?？鄱W堂Linux技術交流群：659974587。