linux下libpcap抓包分析

梦里梦外; 2023-07-08 13:24 47阅读 0赞

# [linux下libpcap抓包分析][linux_libpcap] #

一、首先下载libpcap包[http://www.tcpdump.org/\#latest-release][http_www.tcpdump.org_latest-release]

然后安装，安装完成后进入安装根目录的tests文件夹，编译运行findalldevstest.c(编译时加上-libpcap)，查看是否发现所有网络设备。

二、下载wireshark观察抓包软件的各种功能

三、熟悉libpcap工作原理：![2012042818324716.jpg][]

四、了解libpcap抓包基本流程：

![2012042818365794.jpg][]

五、编程实现

![2012042818513411.jpg][]

未完待续。。。

PS：整理了一下libpcap常用的数据类型定义

*  libpcap的类型定义：

0)、typedef int bpf\_int32

1)、typedef u\_int bpf\_u\_int32

32bit 的无类型整形；

2）、typedef pcap pcap\_t

Descriptor of an open capture instance（一个打开的捕获实例的描述符？）这个结构对用户是不透明的。

3）、typedef pcap\_dumper pcap\_dumper\_t

libpcap保存文件的描述符。

4）、typedef pcap\_if pcap\_if\_t

网卡链表的一个元素；

5）、typedef pcap\_addr pcap\_addr\_t

网卡地址的表示；

6）、typedef void (\*pcap\_handler)(u\_char \*args, const struct pcap\_pkthdr \*header,    const u\_char \*packet);

其中agrs是从pcap\_dispatch()函数传递过来的第四个形参 ，一般我们自己的包捕捉程序不需要提供它，总是为NULL ；header指向  
pcap\_pkthdr结构，该结构位于真正的物理帧前面，用于消除不同链路层支持的差异 ；packet指向所捕获报文的物理帧。

*  libpcap结构体

Libpcap库函数所必须的数据结构定义主要包含在pcap.h和pcap-int.h两个头文件中

1)、pcap结构在pcap-int.h头文件中被定义：  
 编程时需要涉及到的成员有：int fd; 打开设备的描述符；u\_char \*buffer; 是指向所捕获到数据的缓冲区指针  
struct pcap  
\{  
   int fd; /\* 文件描述字，实际就是 socket \*/

int selectable\_fd; /\* 在 socket 上，可以使用 select() 和 poll() 等 I/O 复用类型函数 \*/

int snapshot; /\* 用户期望的捕获数据包最大长度 \*/

int linktype; /\* 设备类型 \*/

int tzoff;         /\* 时区位置，实际上没有被使用 \*/

int offset;       /\* 边界对齐偏移量 \*/

int break\_loop; /\* 强制从读数据包循环中跳出的标志 \*/

struct pcap\_sf sf; /\* 数据包保存到文件的相关配置数据结构 \*/

struct pcap\_md md; /\* 具体描述如下 \*/

int bufsize; /\* 读缓冲区的长度 \*/

u\_char buffer; /\* 读缓冲区指针 \*/

u\_char \*bp;

int cc;

u\_char \*pkt;

/\* 相关抽象操作的函数指针，最终指向特定操作系统的处理函数 \*/

int   (\*read\_op)(pcap\_t \*, int cnt, pcap\_handler, u\_char \*);

int   (\*setfilter\_op)(pcap\_t \*, struct bpf\_program \*);

int   (\*set\_datalink\_op)(pcap\_t \*, int);

int   (\*getnonblock\_op)(pcap\_t \*, char \*);

int   (\*setnonblock\_op)(pcap\_t \*, int, char \*);

int   (\*stats\_op)(pcap\_t \*, struct pcap\_stat \*);

void (\*close\_op)(pcap\_t \*);

/\*如果 BPF 过滤代码不能在内核中执行,则将其保存并在用户空间执行 \*/

struct bpf\_program fcode;

/\* 函数调用出错信息缓冲区 \*/

char errbuf\[PCAP\_ERRBUF\_SIZE + 1\];

/\* 当前设备支持的、可更改的数据链路类型的个数 \*/

int dlt\_count;

/\* 可更改的数据链路类型号链表，在 linux 下没有使用 \*/

int \*dlt\_list;

/\* 数据包自定义头部，对数据包捕获时间、捕获长度、真实长度进行描述 \[pcap.h\] \*/

struct pcap\_pkthdr pcap\_header;

\};

/\* 包含了捕获句柄的接口、状态、过滤信息  \[pcap-int.h\] \*/

struct pcap\_md \{

/\* 捕获状态结构  \[pcap.h\] \*/

struct pcap\_stat stat;

int use\_bpf; /\* 如果为1，则代表使用内核过滤\*/

u\_long    TotPkts;

u\_long    TotAccepted; /\* 被接收数据包数目 \*/

u\_long    TotDrops;       /\* 被丢弃数据包数目 \*/

long TotMissed;      /\* 在过滤进行时被接口丢弃的数据包数目 \*/

long OrigMissed; /\*在过滤进行前被接口丢弃的数据包数目\*/

\#ifdef linux

int   sock\_packet; /\* 如果为 1，则代表使用 2.0 内核的 SOCK\_PACKET 模式 \*/

int   timeout;  /\* pcap\_open\_live() 函数超时返回时间\*/

int   clear\_promisc; /\* 关闭时设置接口为非混杂模式 \*/

int   cooked;          /\* 使用 SOCK\_DGRAM 类型 \*/

int   lo\_ifindex;      /\* 回路设备索引号 \*/

char \*device;  /\* 接口设备名称 \*/

/\* 以混杂模式打开 SOCK\_PACKET 类型 socket 的 pcap\_t 链表\*/

struct pcap \*next;

\#endif

\};

(2)bpf\_program结构  
   
该结构在pcap\_compile()函数中被使用，在bpf.h头文件中定义。

/\* \[pcap-bpf.h\] \*/

struct bpf\_program \{

u\_int bf\_len; /\* BPF 代码中谓词判断指令的数目 \*/

struct bpf\_insn \*bf\_insns; /\* 第一个谓词判断指令 \*/

\};

/\* 谓词判断指令结构 \*/

struct bpf\_insn \{

u\_short    code;

u\_char    jt;

u\_char    jf;

bpf\_int32 k;

\};

(3)

/usr/include/net/bpf.h

/\*  
\* Structure prepended to each packet.  
\*/

内核过滤器每输出一个包，将在输出的数据前加了20字节的数据，这就是 struct bpf\_hdr  
struct bpf\_hdr  
\{  
    struct timeval bh\_tstamp;   /\* time stamp                 \*/  
    bpf\_u\_int32    bh\_caplen;   /\* length of captured portion数据长度\*/  
    bpf\_u\_int32    bh\_datalen;  /\* original length of packet 实际包长度 \*/  
    u\_short        bh\_hdrlen;   /\* length of bpf header (this struct  
                                   plus alignment padding)    \*/  
\};

(4)pcap\_stat结构  
 调用函数 pcap\_stats() 可以返回一个该结构  
struct pcap\_stat \{  
        u\_int ps\_recv; /\* number of packets received \*/  
        u\_int ps\_drop; /\* number of packets dropped \*/  
        u\_int ps\_ifdrop; /\* drops by interface XXX not yet supported \*/  
\};

5）、

struct pcap\_addr:网卡地址描述  
\{  
pcap\_addr \*next;如果非空,指向链表中一个元素的指针;空表示链表中的最后一个元素  
sockaddr  \*addr;  指向包含一个地址的sockaddr的结构的指针  
sockaddr \*netmask;如果非空,指向包含相对于addr指向的地址的一个网络掩码的结构  
sockaddr \*broadaddr;如果非空,指向包含相对于addr指向的地址的一个网络掩码的结构  
sockaddr \*dstaddr; 如果非空，指向一个相对于addr指向的源地址的目的地址，如果网                       络不支持点对点通讯，则为空  
\};

6)、dump文件格式

首先是Dump文件头

struct pcap\_file\_header \{  
bpf\_u\_int32 magic;  
u\_short version\_major;  
u\_short version\_minor;  
bpf\_int32 thiszone; /\* gmt to local correction \*/  
bpf\_u\_int32 sigfigs; /\* accuracy of timestamps \*/  
bpf\_u\_int32 snaplen; /\* max length saved portion of each pkt \*/  
bpf\_u\_int32 linktype; /\* data link type (LINKTYPE\_\*) \*/

\};

然后是每一个包的包头和数据

pcap\_pkthdr结构  
   
/usr/include/pcap.h

/\*  
\* Each packet in the dump file is prepended with this generic header.  
\* This gets around the problem of different headers for different  
\* packet interfaces.  
\*/  
/\* 自定义头部在把数据包保存到文件中也被使用 \*/

struct pcap\_pkthdr

struct timeval ts; /\* 捕获时间戳 \*/

bpf\_u\_int32 caplen; /\* 捕获到数据包的长度 \*/

bpf\_u\_int32 len; /\* 数据包的真正长度 \*/

/\* 单个数据包结构，包含数据包元信息和数据信息 \*/

struct singleton \[pcap.c\]

struct pcap\_pkthdr hdr; /\* libpcap 自定义数据包头部 \*/

const u\_char \* pkt; /\* 指向捕获到的网络数据 \*/

\};

7)、pcap\_if (libpcap 自定义的接口信息链表 \[pcap.h\])

struct pcap\_if

struct pcap\_if \*next;

char \*name; /\* 接口设备名 \*/

char \*description; /\* 接口描述 \*/

/\*接口的 IP 地址, 地址掩码, 广播地址,目的地址 \*/

struct pcap\_addr addresses;

bpf\_u\_int32 flags;      /\* 接口的参数 \*/

\};

教程在

[linux_libpcap]: http://www.cnblogs.com/Seiyagoo/archive/2012/04/28/2475618.html
[http_www.tcpdump.org_latest-release]: http://www.tcpdump.org/#latest-release
[2012042818324716.jpg]: http://pic002.cnblogs.com/images/2012/307487/2012042818324716.jpg
[2012042818365794.jpg]: http://pic002.cnblogs.com/images/2012/307487/2012042818365794.jpg
[2012042818513411.jpg]: http://pic002.cnblogs.com/images/2012/307487/2012042818513411.jpg