pcap_open(）（网上资料）

我们主要使用的函数是pcap_open()，这个函数的功能是打开一个抓取设备。

pcap_t *pcap_open(
const char *               source,
int                        snaplen,
int                        flags,
int                         read_timeout,
struct pcap_rmtauth *       auth,
char *                      errbuf
)

pcap_open()能够替代所有的pcap_open_xxx()函数，隐藏了不同的pcap_open_xxx()之间的差异。

source：是包含要打开的源名称的以’\0’结尾的字符串。源名称需要包含新的源规范语法(Source Specification Syntax)，并且它不能为NULL。
对于源语法：（1）pcap_findalldevs_ex()返回的适配器（网卡）可以直接被pcap_open()使用；（2）万一用户想传递他自己的源字符串给pcap_open()，pcap_createsrcstr()可以创建正确的源标识。
snaplen：需要保留的数据包的长度。对每一个过滤器接收到的数据包，第一个‘snaplen’字节的内容将被保存到缓冲区，并且传递给用户程序。例如，snaplen等于100，那么仅仅每一个数据包的第一个100字节的内容被保存。底层驱动可以通过配置只抓取数据包的开始部分：这样就减少了拷贝给应用程序的数据量，提高抓取效率。如果使用65536这个比我们所能遇到的最大的MTU还大的数字。这样我们就能确保我们的程序可以抓到整个数据包。
flags：保存一些由于抓包需要的标志。Winpcap定义了三种标志：
PCAP_OPENFLAG_PROMISCUOUS：1，它定义了适配器（网卡）是否进入混杂模式（promiscuous mode）。在正常状况下，一个适配器仅仅抓取网络中目的地是它自己的数据包；因此其他主机交换的数据包都被忽略。当适配器处在混杂模式下的时候它就会抓取所有的数据包而不管是不是发给它的。这就意味着在共享媒体（如非交换的以太网）上，WinPcap将能够抓取其他主机的数据包。混杂模式是大部分抓取程序的默认模式
PCAP_OPENFLAG_DATATX_UDP：2，它定义了数据传输（假如是远程抓包）是否用UDP协议来处理。
PCAP_OPENFLAG_NOCAPTURE_RPCAP：4，它定义了远程探测器是否捕获它自己产生的数据包。
read_timeout：以毫秒为单位。read timeout被用来设置在遇到一个数据包的时候读操作不必立即返回，而是等待一段时间，让更多的数据包到来后从OS内核一次读多个数据包。并非所有的平台都支持read timeout；在不支持read timeout的平台上它将被忽略。
auth：一个指向’struct pcap_rmtauth’的指针，保存当一个用户登录到某个远程机器上时的必要信息。假如不是远程抓包，该指针被设置为NULL。
errbuf：一个指向用户申请的缓冲区的指针，存放当该函数出错时的错误信息。
返回值：是一个’pcap_t’指针，它可以作为下一步调用（例如pcap_compile()等）的参数，并且指定了一个已经打开的Winpcap会话。在遇到问题的情况下，它返回NULL并且’errbuf’变量保存了错误信息。

to_ms以毫秒为单位指定了读取操作的超时界限。在适配器上一个读取操作（比如，pcap_dispatch() 或者 pcap_next_ex())将总是在to_ms豪秒后返回，即使网络中没有数据包可供抓取。如果适配器工作在统计模式，to_ms还定义了统计报告之间的间隔。把tm_ms设置为0意味着没有时间限制，如果没有数据包到达适配器，读取操作将永远不会返回。反过来，把tm_ms设置为-1将使读取操作总是立即返回。
（即前文read_timeout）