pcap_setfilter()函数

1. 功能描述

   • pcap_setfilter()函数用于将通过pcap_compile()函数编译好的过滤器应用到数据包捕获句柄上。这样，在后续的数据包捕获过程中，只有符合过滤器规则的数据包才会被捕获并传递给应用程序进行处理，从而实现对网络数据包的筛选和过滤。

2. 函数原型及参数

   • 函数原型为：int pcap_setfilter(pcap_t *p, const struct bpf_program *fp);
   • p：这是一个pcap_t *类型的指针，代表通过pcap_create()等函数创建并激活的数据包捕获句柄。它指定了将过滤器应用到哪个数据包捕获操作。
   • fp：这是一个指向struct bpf_program类型的指针，其中包含了之前通过pcap_compile()函数编译好的过滤器字节码。这个参数用于指定要应用的过滤器程序。

3. 返回值

   • 如果函数成功设置了过滤器，返回值为0。
   • 如果返回 - 1，则表示设置过滤器过程中出现错误。可能的原因包括无效的捕获句柄p、无效的过滤器程序fp（例如未正确编译）或者其他内部错误。当出现错误时，可以查看pcap库的错误信息缓冲区（通常在创建捕获句柄时定义的errbuf）来获取更详细的错误原因。

4. 示例代码

   • 以下是一个完整的示例，展示了如何编译并设置过滤器来捕获特定类型的数据包：

#include <pcap.h>
#include <stdio.h>
#include <stdlib.h>

// 数据包处理函数
void packet_handler(u_char *user_data, const struct pcap_pkthdr *header, const u_char *packet) {
    // 在这里处理符合过滤器条件的数据包，例如打印数据包长度
    printf("Packet length: %d\n", header->len);
}

int main() {
    char *dev = "eth0";
    char errbuf[PCAP_ERRBUF_SIZE];
    pcap_t *handle = pcap_create(dev, errbuf);
    if (handle == NULL) {
        fprintf(stderr, "Error creating pcap handle: %s\n", errbuf);
        return 1;
    }
    if (pcap_activate(handle) == -1) {
        fprintf(stderr, "Error activating pcap handle: %s\n", errbuf);
        pcap_close(handle);
        return 1;
    }
    // 编译过滤器
    struct bpf_program filter;
    char filter_exp[] = "tcp and port 80";
    int optimize = 1;
    bpf_u_int32 netmask = 0xffffff00;  // 假设子网掩码为255.255.255.0
    int result = pcap_compile(handle, &filter, filter_exp, optimize, netmask);
    if (result == -1) {
        fprintf(stderr, "Error compiling filter: %s\n", errbuf);
        pcap_close(handle);
        return 1;
    }
    // 设置过滤器
    result = pcap_setfilter(handle, &filter);
    if (result == -1) {
        fprintf(stderr, "Error setting filter\n");
        pcap_close(handle);
        return 1;
    }
    // 开始捕获数据包，只有符合过滤器条件的数据包才会被处理
    pcap_loop(handle, -1, packet_handler, NULL);
    pcap_close(handle);
    return 0;
}

• 在这个示例中，首先创建并激活了一个捕获句柄handle，然后编译了一个过滤器，用于捕获TCP协议且目的端口为80的数据包。接着使用pcap_setfilter()函数将这个过滤器应用到捕获句柄上。如果设置过滤器出现错误，会打印错误信息并关闭捕获句柄，最后退出程序。如果设置成功，就使用pcap_loop()函数开始捕获数据包，此时只有符合过滤器条件的数据包才会被传递给packet_handler函数进行处理。

5. 注意事项
   • 过滤器的正确性：在使用pcap_setfilter()之前，必须确保通过pcap_compile()编译的过滤器是正确的。如果过滤器编译有误，pcap_setfilter()将会返回错误。因此，在实际应用中，要仔细检查过滤表达式的语法和逻辑，以及编译过程是否成功。
   • 与其他函数的配合：pcap_setfilter()函数通常与pcap_compile()、pcap_loop()（或pcap_dispatch()）等函数配合使用。这些函数共同构成了一个完整的数据包捕获和过滤的流程。例如，在设置过滤器后，需要使用pcap_loop()或pcap_dispatch()来启动数据包捕获过程，才能真正开始筛选符合条件的数据包。
   • 性能影响：过滤器的复杂程度会对数据包捕获的性能产生一定的影响。过于复杂的过滤器可能会增加系统开销，导致数据包捕获的速度变慢或者占用更多的系统资源。因此，在编写过滤表达式时，要尽量简洁明了，在满足需求的前提下，降低过滤器的复杂度。