Linux系统抓取数据包

最新推荐文章于 2024-08-29 22:52:11 发布

原创

最新推荐文章于 2024-08-29 22:52:11 发布 · 9.4k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#socket #linux #以太网帧 #RawSocket #原始套接字

本文详细讲解了如何在Linux系统中利用Raw Socket实现类似Wireshark的功能，无需安装pcap库。通过AF_INET和PF_PACKET，可以分别捕获从网络层和数据链路层开始的数据。AF_INET允许获取IP头以上的数据，而PF_PACKET则可以从数据链路层开始，包括以太网帧头。此外，介绍了如何设置网卡的混杂模式以捕获所有数据帧。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

　　这篇文章介绍了Linux下如何实现定制化的类wireshark程序的一些要点（不需要装pcap，利用Linux 的 socket 自带的一些功能）。

Ethernet frame

参考资料:
　　https://en.wikipedia.org/wiki/Ethernet_frame
　　http://www.cnblogs.com/uvsjoh/archive/2012/12/31/2840883.html

　　以太网链路（Ethernet link ）上的数据包（data packet）叫作以太网数据包（Ethernet packet），它包含（装载）了以太网帧（Ethernet frame）。
　　真正通过Linux的Raw Socket得到的Ethernet包是到Ethernet frame这个层次（并且不包含ＣＲＣ，因为系统会对其进行校验，能传给ｓｏｃｋｅｔ接收缓冲区的都是有效的ｆｒａｍｅ，也不需要用ＣＲＣ信息了），能否到整个Ethernet packet这个层次没有经过验证，不太清楚。
　　Ethernet frame前面是preamble 和start frame delimiter (SFD)一共8个字节，属于Ethernet packet 在 physical layer的一部分。而Interpacket gap也不属于Frame的范畴，所以真正有用的信息也就是Frame就够了。可以看到payload 的大小可以到1500 octets(MTU)。可以看如下的表格，加深理解（Markdown编辑器还不太会弄，凑合看吧 - -#）：

802.3 Ethernet packet and frame structure：