C/C++网络编程高级应用—— libpcap 详解

本文深入探讨了C/C++中用于网络封包捕获的libpcap库，详细阐述了其工作原理、API使用方法及在网络监控、数据分析等场景中的高级应用。通过实例展示了如何利用libpcap进行数据包过滤、实时捕获和分析，帮助开发者提升网络编程能力。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

概述
libpcap 是一个网络数据包捕获函数库，功能非常强大，Linux 下著名的 tcpdump 就是以它为基础的。

libpcap主要的作用
1）捕获各种数据包，列如：网络流量统计。
2）过滤网络数据包，列如：过滤掉本地上的一些数据，类似防火墙。
3）分析网络数据包，列如：分析网络协议，数据的采集。
4）存储网络数据包，列如：保存捕获的数据以为将来进行分析。

libpcap 的安装

libpcap 的抓包框架
pcap_lookupdev()：函数用于查找网络设备，返回可被 pcap_open_live() 函数调用的网络设备名指针。
pcap_lookupnet()：函数获得指定网络设备的网络号和掩码。
pcap_open_live()：函数用于打开网络设备，并且返回用于捕获网络数据包的数据包捕获描述字。对于此网络设备的操作都要基于此网络设备描述字。
pcap_compile()：函数用于将用户制定的过滤策略编译到过滤程序中。
pcap_setfilter()：函数用于设置过滤器。
pcap_loop()：函数 pcap_dispatch() 函数用于捕获数据包，捕获后还可以进行处理，此外 pcap_next() 和 pcap_next_ex() 两个函数也可以用来捕获数据包。
pcap_close()：函数用于关闭网络设备，释放资源。

利用 libpcap 函数库开发应用程序的基本步骤：

1、打开网络设备

2、设置过滤规则

3、捕获数据

4、关闭网络设备

抓包详细步骤
首先要使用 libpcap，我们必须包含 pcap.h 头文件，可以在 /usr/local/include/pcap/pcap.h 找到，其中包含了每个类型定义的详细说明。

1、获取网络接口设备名
char *pcap_lookupdev(char *errbuf);
功能：
得到可用的网络设备名指针
参数：
errbuf：存放出错信息字符串，里面有个宏定义：PCAP_ERRBUF_SIZE，为错误缓冲区大小
返回值：
成功返回设备名指针（第一个合适的网络接口的字符串指针）；
失败返回 NULL，同时，errbuf 存放出错信息字符串。

实例如下：
char error_content[PCAP_ERRBUF_SIZE] = {0};       // 出错信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
      printf(error_content);
      exit(-1);
}
复制代码

2、获取网络号（ip 地址）和掩码

int pcap_lookupnet( char *device,
bpf_u_int32 *netp,
bpf_u_int32 *maskp,
char *errbuf  );

功能：
获取指定网卡的 ip 地址，子网掩码
参数：
device：网络设备名，为第一步获取的网络接口字符串（pcap_lookupdev() 的返回值），也可人为指定，如“eth0”。
netp：存放 ip 地址的指针，bpf_u_int32 为 32 位无符号整型
maskp：存放子网掩码的指针，bpf_u_int32 为 32 位无符号整型
errbuf：存放出错信息
返回值：
成功返回 0，失败返回 -1

实例如下：

char error_content[PCAP_ERRBUF_SIZE] = {0};       // 出错信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
      printf(error_content);
      exit(-1);
}

bpf_u_int32 netp = 0, maskp = 0;
pcap_t * pcap_handle = NULL;
int ret = 0;

//获得网络号和掩码
ret = pcap_lookupnet(dev, &netp, &maskp, error_content);
if(ret == -1)
{
      printf(error_content);
      exit(-1);
}
复制代码

3、打开网络接口
pcap_t *pcap_open_live(  const char *device,
int snaplen,
int promisc,
int to_ms,
char *ebuf );
功能：
打开一个用于捕获数据的网络接口
参数：
device：网络接口的名字，为第一步获取的网络接口字符串（pcap_lookupdev() 的返回值），也可人为指定，如“eth0”。
snaplen：捕获数据包的长度，长度不能大于 65535 个字节。
promise：“1” 代表混杂模式，其它非混杂模式。
to_ms：指定需要等待的毫秒数，超过这个数值后，获取数据包的函数就会立即返回（这个函数不会阻塞，后面的抓包函数才会阻塞）。0 表示一直等待直到有数据包到来。
ebuf：存储错误信息。
返回值：
返回 pcap_t 类型指针，后面的所有操作都要使用这个指针。

实例如下：

char error_content[PCAP_ERRBUF_SIZE] = {0};       // 出错信息
char *dev = pcap_lookupdev(error_content);       // 获取网络接口
if(NULL == dev)
{
      printf(error_content);
      exit(-1);
}

// 打开网络接口
pcap_t * pcap_handle = pcap_open_live(dev, 1024, 1, 0, error_content);
if(NULL == pcap_handle)
{
      printf(error_content);
      exit(-1);
}
复制代码

4、获取数据包
a）
const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h);
功能：
捕获一个网络数据包，收到一个数据包立即返回
参数：
p：pcap_open_live()返回的 pcap_t 类型的指针
h：数据包头

pcap_pkthdr 类型的定义如下：

struct pcap_pkthdr
{
      struct timeval ts; // 抓到包的时间
      bpf_u_int32 caplen; // 表示抓到的数据长度
      bpf_u_int32 len; // 表示数据包的实际长度
}
复制代码

len 和 caplen的区别：
因为在某些情况下你不能保证捕获的包是完整的，例如一个包长 1480，但是你捕获到 1000 的时候，可能因为某些原因就中止捕获了，所以 caplen 是记录实际捕获的包长，也就是 1000，而 len 就是 1480。
返回值：
成功返回捕获数据包的地址，失败返回 NULL
实例如下：

const unsigned char *p_packet_content = NULL; // 保存接收到的数据包的起始地址
pcap_t *pcap_handle = NULL;
struct pcap_pkthdr protocol_header;

pcap_handle = pcap_open_live("eth0", 1024, 1, 0,NULL);

p_packet_content = pcap_next(pcap_handle, &protocol_header);
//p_packet_content  所捕获数据包的地址