Npcap开发教程：从网络适配器列表到数据包捕获

郁铎舒

于 2025-06-12 09:09:46 发布

阅读量379

点赞数 4

本文链接：https://blog.youkuaiyun.com/gitblog_01096/article/details/148602151

版权

Npcap开发教程：从网络适配器列表到数据包捕获

npcap Nmap Project's Windows packet capture and transmission library 项目地址: https://gitcode.com/gh_mirrors/np/npcap

概述

Npcap是Windows平台上一个强大的网络数据包捕获库，基于WinPcap开发并进行了多项改进。本教程将逐步介绍如何使用Npcap API开发网络分析应用程序，从基本的网络适配器枚举到高级的数据包捕获和处理技术。

开发环境准备

在开始Npcap开发前，需要具备以下基础知识：

C语言编程基础
网络协议基础知识（TCP/IP协议栈等）
Windows平台开发经验

基础功能实现

1. 获取网络适配器列表

网络分析程序的第一步通常是获取系统中可用的网络适配器列表。Npcap提供了pcap_findalldevs_ex()函数来实现这一功能：

#include "pcap.h"

int main() {
    pcap_if_t *alldevs;
    char errbuf[PCAP_ERRBUF_SIZE];
    
    if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1) {
        fprintf(stderr, "Error in pcap_findalldevs_ex: %s\n", errbuf);
        return 1;
    }
    
    // 遍历并打印适配器信息
    pcap_if_t *d;
    int i = 0;
    for(d = alldevs; d != NULL; d = d->next) {
        printf("%d. %s", ++i, d->name);
        if (d->description)
            printf(" (%s)\n", d->description);
        else
            printf(" (No description available)\n");
    }
    
    if (i == 0) {
        printf("\nNo interfaces found! Make sure Npcap is installed.\n");
    }
    
    pcap_freealldevs(alldevs);
    return 0;
}

这段代码的关键点：

pcap_findalldevs_ex()函数返回一个pcap_if_t结构的链表
每个结构包含适配器的名称(name)和描述(description)
使用完毕后必须调用pcap_freealldevs()释放资源

2. 获取适配器详细信息

除了基本名称和描述外，Npcap还能提供更详细的适配器信息：

void print_adapter_details(pcap_if_t *d) {
    printf("%s\n", d->name);
    
    if (d->description)
        printf("\tDescription: %s\n", d->description);
    
    printf("\tLoopback: %s\n", (d->flags & PCAP_IF_LOOPBACK) ? "yes" : "no");
    
    // 打印所有地址信息
    pcap_addr_t *a;
    for(a = d->addresses; a; a = a->next) {
        printf("\tAddress Family: #%d\n", a->addr->sa_family);
        
        switch(a->addr->sa_family) {
            case AF_INET:
                printf("\tAddress Family Name: AF_INET\n");
                if (a->addr)
                    printf("\tAddress: %s\n", iptos(((struct sockaddr_in *)a->addr)->sin_addr.s_addr));
                // 类似处理netmask、broadcast等
                break;
            case AF_INET6:
                printf("\tAddress Family Name: AF_INET6\n");
                // IPv6地址处理
                break;
            default:
                printf("\tAddress Family Name: Unknown\n");
                break;
        }
    }
}

此函数可以显示适配器的IP地址、子网掩码、广播地址等详细信息。

数据包捕获实战

1. 打开适配器并捕获数据包

pcap_t *open_adapter(pcap_if_t *d) {
    char errbuf[PCAP_ERRBUF_SIZE];
    pcap_t *adhandle;
    
    adhandle = pcap_open(d->name,       // 设备名
                        65536,         // 捕获完整数据包
                        PCAP_OPENFLAG_PROMISCUOUS, // 混杂模式
                        1000,          // 读取超时(ms)
                        NULL,          // 远程机器认证
                        errbuf);       // 错误缓冲
    
    if (adhandle == NULL) {
        fprintf(stderr, "\nUnable to open adapter. %s\n", errbuf);
        return NULL;
    }
    
    return adhandle;
}

关键参数说明：

snaplen(65536): 确保捕获完整数据包
flags: 设置混杂模式以捕获所有流量
to_ms: 读取超时时间

2. 开始捕获数据包

有两种主要的数据包捕获方式：

回调方式(pcap_loop)

void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data) {
    // 处理数据包
    printf("Packet length: %d\n", header->len);
}

// 开始捕获
pcap_loop(adhandle, 0, packet_handler, NULL);

直接轮询方式(pcap_next_ex)

struct pcap_pkthdr *header;
const u_char *pkt_data;
int res;

while((res = pcap_next_ex(adhandle, &header, &pkt_data)) >= 0) {
    if(res == 0) continue; // 超时
    printf("Packet length: %d\n", header->len);
}

两种方式的比较：

回调方式更高效但控制流程较复杂
轮询方式更直观但可能效率略低

高级主题

1. 过滤数据包

Npcap支持BPF过滤器语法，可以只捕获特定类型的流量：

struct bpf_program fcode;
char filter_exp[] = "ip and tcp port 80";

if (pcap_compile(adhandle, &fcode, filter_exp, 1, 0) < 0) {
    fprintf(stderr, "\nError compiling filter: %s\n", pcap_geterr(adhandle));
    return;
}

if (pcap_setfilter(adhandle, &fcode) < 0) {
    fprintf(stderr, "\nError setting filter: %s\n", pcap_geterr(adhandle));
    return;
}