C/C++网络编程高级应用—— libpcap 详解

本文深入探讨了C/C++中用于网络封包捕获的libpcap库,详细阐述了其工作原理、API使用方法及在网络监控、数据分析等场景中的高级应用。通过实例展示了如何利用libpcap进行数据包过滤、实时捕获和分析,帮助开发者提升网络编程能力。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

概述
libpcap 是一个网络数据包捕获函数库,功能非常强大,Linux 下著名的 tcpdump 就是以它为基础的。


libpcap主要的作用
1)捕获各种数据包,列如:网络流量统计。
2)过滤网络数据包,列如:过滤掉本地上的一些数据,类似防火墙。
3)分析网络数据包,列如:分析网络协议,数据的采集。
4)存储网络数据包,列如:保存捕获的数据以为将来进行分析。


libpcap 的安装




libpcap 的抓包框架
pcap_lookupdev():函数用于查找网络设备,返回可被 pcap_open_live() 函数调用的网络设备名指针。
pcap_lookupnet():函数获得指定网络设备的网络号和掩码。
pcap_open_live(): 函数用于打开网络设备,并且返回用于捕获网络数据包的数据包捕获描述字。对于此网络设备的操作都要基于此网络设备描述字。
pcap_compile(): 函数用于将用户制定的过滤策略编译到过滤程序中。
pcap_setfilter():函数用于设置过滤器。
pcap_loop():函数 pcap_dispatch() 函数用于捕获数据包,捕获后还可以进行处理,此外 pcap_next() 和 pcap_next_ex() 两个函数也可以用来捕获数据包。
pcap_close():函数用于关闭网络设备,释放资源。


利用 libpcap 函数库开发应用程序的基本步骤:

1、打开网络设备


2、设置过滤规则


3、捕获数据


4、关闭网络设备


抓包详细步骤
首先要使用 libpcap,我们必须包含 pcap.h 头文件,可以在 /usr/local/include/pcap/pcap.h 找到,其中包含了每个类型定义的详细说明。


1、获取网络接口设备名
char *pcap_lookupdev(char *errbuf);
功能:
得到可用的网络设备名指针
参数:
errbuf:存放出错信息字符串,里面有个宏定义:PCAP_ERRBUF_SIZE,为错误缓冲区大小
返回值:
成功返回设备名指针(第一个合适的网络接口的字符串指针);
失败返回 NULL,同时,errbuf 存放出错信息字符串。


实例如下:
char error_content[PCAP_ERRBUF_SIZE] = {0};        // 出错信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
        printf(error_content);
        exit(-1);
}
复制代码


2、获取网络号(ip 地址)和掩码


int pcap_lookupnet(    char *device,                    
bpf_u_int32 *netp,
bpf_u_int32 *maskp,     
char *errbuf  );




功能:
获取指定网卡的 ip 地址,子网掩码
参数:
device:网络设备名,为第一步获取的网络接口字符串(pcap_lookupdev() 的返回值 ),也可人为指定,如“eth0”。
netp:存放 ip 地址的指针,bpf_u_int32 为 32 位无符号整型
maskp:存放子网掩码的指针,bpf_u_int32 为 32 位无符号整型
errbuf:存放出错信息
返回值:
成功返回 0,失败返回 -1


实例如下:


char error_content[PCAP_ERRBUF_SIZE] = {0};        // 出错信息
char *dev = pcap_lookupdev(error_content);
if(NULL == dev)
{
        printf(error_content);
        exit(-1);
}




bpf_u_int32 netp = 0, maskp = 0;
pcap_t * pcap_handle = NULL;
int ret = 0;


//获得网络号和掩码
ret = pcap_lookupnet(dev, &netp, &maskp, error_content);
if(ret == -1)
{
        printf(error_content);
        exit(-1);
}
复制代码


3、打开网络接口
pcap_t *pcap_open_live(  const char *device,
int snaplen,
int promisc,
int to_ms,
char *ebuf );
功能:
打开一个用于捕获数据的网络接口
参数:
device:网络接口的名字,为第一步获取的网络接口字符串(pcap_lookupdev() 的返回值 ),也可人为指定,如“eth0”。
snaplen:捕获数据包的长度,长度不能大于 65535 个字节。
promise:“1” 代表混杂模式,其它非混杂模式。
to_ms:指定需要等待的毫秒数,超过这个数值后,获取数据包的函数就会立即返回(这个函数不会阻塞,后面的抓包函数才会阻塞)。0 表示一直等待直到有数据包到来。
ebuf:存储错误信息。
返回值:
返回 pcap_t 类型指针,后面的所有操作都要使用这个指针。


实例如下:


char error_content[PCAP_ERRBUF_SIZE] = {0};        // 出错信息
char *dev = pcap_lookupdev(error_content);        // 获取网络接口
if(NULL == dev)
{
        printf(error_content);
        exit(-1);
}


// 打开网络接口
pcap_t * pcap_handle = pcap_open_live(dev, 1024, 1, 0, error_content);
if(NULL == pcap_handle)
{
        printf(error_content);
        exit(-1);
}
复制代码


4、获取数据包
a)
const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h);
功能:
捕获一个网络数据包,收到一个数据包立即返回
参数:
p:pcap_open_live()返回的 pcap_t 类型的指针
h:数据包头


pcap_pkthdr 类型的定义如下:


struct pcap_pkthdr
{
        struct timeval ts; // 抓到包的时间
        bpf_u_int32 caplen; // 表示抓到的数据长度
        bpf_u_int32 len; // 表示数据包的实际长度
}
复制代码


len 和 caplen的区别:
因为在某些情况下你不能保证捕获的包是完整的,例如一个包长 1480,但是你捕获到 1000 的时候,可能因为某些原因就中止捕获了,所以 caplen 是记录实际捕获的包长,也就是 1000,而 len 就是 1480。
返回值:
成功返回捕获数据包的地址,失败返回 NULL
实例如下:


const unsigned char *p_packet_content = NULL; // 保存接收到的数据包的起始地址
pcap_t *pcap_handle = NULL;
struct pcap_pkthdr protocol_header;


pcap_handle = pcap_open_live("eth0", 1024, 1, 0,NULL);


p_packet_content = pcap_next(pcap_handle, &protocol_header);
//p_packet_content  所捕获数据包的地址
    
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值