C++实现抓包并判断网络层包类型

╰+攻爆jí腚メ 2021-09-19 03:04 425阅读 0赞

**一 实战前的准备**

1 准备两台虚拟机A和B。

A的IP：192.168.0.110       A的MAC：08:00:27:60:7b:7f

B的IP：192.168.0.120       B的MAC：08:00:27:0c:3b:d3

2 步骤

程序部署在A机上，B给A发送一些包，然后看A是否收到并判断出来。

**二 代码**

#include <stdio.h>  
    #include <string.h>  
    #include <stdlib.h>  
    #include <sys/socket.h>  
    #include <netinet/in.h>  
    #include <arpa/inet.h>  
    #include <netinet/ether.h>  
      
    int main(int argc,char *argv[])  
    {  
        int i = 0;  
        unsigned char buf[1024] = "";  
        // 当类型为SOCK_RAW时，发送的时候需要给自己加上一个MAC头部
        int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));  
        while(1)  
        {  
             char src_mac[18] = "";  
             char dst_mac[18] = "";  
            //获取链路层的数据帧  
            recvfrom(sock_raw_fd, buf, sizeof(buf),0,NULL,NULL);  
            //从buf里提取目的mac、源mac，填充以太网数据帧的目的MAC地址和源MAC地址  
            sprintf(dst_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[0], buf[1], buf[2], buf[3], buf[4], buf[5]);  
            sprintf(src_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[6], buf[7], buf[8], buf[9], buf[10], buf[11]);  
            //判断是否为IP数据包  
            if(buf[12]==0x08 && buf[13]==0x00)  
            {     
                //为了防止IP过多，先把这两行屏蔽
                //printf("______________IP PACKAGE_______________\n");  
                //printf("MAC:%s >> %s\n",src_mac,dst_mac);  
            }
            else  
                if(buf[12]==0x08 && buf[13]==0x06)  //判断是否为ARP数据包  
            {  
                printf("______________ARP PACKAGE_______________\n");  
                printf("MAC:%s >> %s\n",src_mac,dst_mac);  
            }//判断是否为RARP数据包  
            else if(buf[12]==0x80 && buf[13]==0x35)  
            {  
                printf("______________RARP PACKAGE_______________\n");  
                printf("MAC:%s>>%s\n",src_mac,dst_mac);  
            }   
        }  
        return 0;  
    }

**三 在A机上编译并运行**

[root@localhost test]# g++ test.cpp -o test
    [root@localhost test]# ./test

**四 捕获ARP包**

1 在B端发送2个ARP探测包，在B端命令行输入arping命令：

[root@localhost ~]# arping -I enp0s3 192.168.0.110 -c 2
    ARPING 192.168.0.110 from 192.168.0.120 enp0s3
    Unicast reply from 192.168.0.110 [08:00:27:60:7B:7F]  0.788ms
    Unicast reply from 192.168.0.110 [08:00:27:60:7B:7F]  1.374ms
    Sent 2 probes (1 broadcast(s))
    Received 2 response(s)

可以看到B发送了2个探测包（其中一个是广播包），并收到了2个响应包

[root@localhost test]# ./test
    ______________ARP PACKAGE_______________
    MAC:08:00:27:0c:3b:d3 >> ff:ff:ff:ff:ff:ff
    ______________ARP PACKAGE_______________
    MAC:08:00:27:60:7b:7f >> 08:00:27:0c:3b:d3
    ______________ARP PACKAGE_______________
    MAC:08:00:27:0c:3b:d3 >> 08:00:27:60:7b:7f
    ______________ARP PACKAGE_______________
    MAC:08:00:27:60:7b:7f >> 08:00:27:0c:3b:d3

A端，test程序捕获了4个ARP包。

第1个是广播包。B发给A的。

第2个是A发给B的。

第3个是B发给A的。

第4个是A发给B的。