WinPcap笔记（4）：打开适配器并捕获数据包

朱雀 2022-08-10 05:59 193阅读 0赞

前面已经能够得到是设备的信息了，现在开始做真正有意义的事情：打开适配器并捕获数据包。这里将用到函数pcap\_open(),下面是函数的具体格式：

pcap_t* pcap_open  ( 
    		    const char *  source,  
    	            int  snaplen,  
    		    int  flags,  
    		    int  read_timeout,  
    		    struct pcap_rmtauth *  auth,  
    		    char *  errbuf   
    		   );

各个参数含义：

source：设备名称；

snaplen：制定要捕获数据包中的哪些部分。 在一些操作系统中 (比如 xBSD 和 Win32)， 驱动可以被配置成只捕获数据包的初始化部分： 这样可以减少应用程序间复制数据的量，从而提高捕获效率。本例中，我们将值定为65535，它比我们能遇到的最大的MTU还要大。因此，我们确信我们总能收到完整的数据包；

flags：最最重要的flag是用来指示适配器是否要被设置成混杂模式。 一般情况下，适配器只接收发给它自己的数据包， 而那些在其他机器之间通讯的数据包，将会被丢弃。 相反，如果适配器是混杂模式，那么不管这个数据包是不是发给我的，我都会去捕获。也就是说，我会去捕获所有的数据包。 这意味着在一个共享媒介(比如总线型以太网)，WinPcap能捕获其他主机的所有的数据包。 大多数用于数据捕获的应用程序都会将适配器设置成混杂模式，所以，我们也会在下面的范例中，使用混杂模式。还有下面几种模式：

*  PCAP\_OPENFLAG\_DATATX\_UDP 2 ：定义远程模式下数据转化是否使用UDP协议；
 *  PCAP\_OPENFLAG\_NOCAPTURE\_RPCAP 4 ：定义远程机器捕获自己产生的数据；
 *  PCAP\_OPENFLAG\_NOCAPTURE\_LOCAL 8 ：定义本地机器捕获自己产生的数据；
 *  PCAP\_OPENFLAG\_MAX\_RESPONSIVENESS 16 ：标识配置适配器最大相应能力；

read\_timeout：读取超时时间；

auth：远程机器验证；

errbuf：错误缓冲池，存储错误信息；

函数返回：

返回一个可以作为调用参数的指向pcap\_t结构的指针，并且指定一个WinPcap会话。如果出现错误，返回NULL，errbuf中存储错误信息。

其中pcap\_t结构定义如下：

typedef struct pcap pcap_t

这个是

一个已打开的捕捉实例的描述符。这个结构体对用户来说是不透明的，它通过wpcap.dll提供的函数，维护了它的内容。

当适配器被打开，捕获工作就可以用 pcap\_dispatch() 或 pcap\_loop()进行。 这两个函数非常的相似，区别就是 pcap\_ dispatch() 当超时时间到了(timeout expires)就返回 (尽管不能保证) ，而 pcap\_loop() 不会因此而返回，只有当 cnt 数据包被捕获，所以，pcap\_loop()会在一小段时间内，阻塞网络的利用。pcap\_loop()对于我们这个简单的范例来说，可以满足需求，不过， pcap\_dispatch() 函数一般用于比较复杂的程序中。

下面给出函数pcap\_loop()的定义：

int pcap_loop  (

pcap_t *  p,  
                    int  cnt,  
                    pcap_handler  callback,  
                    u_char *  user   
                   );

各个参数含义：

p：pcap的句柄；

cnt：捕获包的数量，如果是负数表示永不停止直到出现错误；

callback：回调函数，当捕获到数据包时调用此函数；

user：留给用户使用的；

其中，回调函数定义如下：

void(*) pcap_handler(
                         u_char *user, 
                         const struct pcap_pkthdr *pkt_header, 
                         const u_char *pkt_data
    )；

各个参数含义：

user：函数pcap\_loop()传递过来的，就是pcap\_loop()函数中的user参数；

header：表示捕获到的数据包的基本信息；

pkt\_data：表示捕获到的数据包的内容；

其中结构体pcap\_pkthdr保存捕获到的包的基本信息，定义如下：

struct pcap_pkthdr {
    	            struct timeval ts; /* 时间戳 */ 
    	            bpf_u_int32 caplen; /* 已捕获部分的长度 */ 
    	            bpf_u_int32 len;   /* 该包的脱机长度 */ 
                       };

这个结构体由pcap\_loop函数自动填充，caplen表示已捕获部分的长度而len表示该包的总长度，因为在某些情况下你不能保证捕获的包是完整的，例如一个包长1480，但是你捕获到1000的时候，可能因为某些原因就中止捕获了，所以caplen是记录实际捕获的包长，也就是1000，而len就是1480。len可以根据ip头部的u\_short total\_len域计算出来。

下面的代码将每一个数据包的时间戳和长度从 pcap\_pkthdr 的首部解析出来，并打印在屏幕上。代码如下：

#include "pcap.h"
    
    /* packet handler 函数原型 */
    void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data);
    
    main()
    {
    	pcap_if_t *alldevs;
    	pcap_if_t *d;
    	int inum;
    	int i = 0;
    	pcap_t *adhandle;
    	char errbuf[PCAP_ERRBUF_SIZE];
    
    	/* 获取本机设备列表 */
    	if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1)
    	{
    		fprintf(stderr, "Error in pcap_findalldevs: %s\n", errbuf);
    		exit(1);
    	}
    
    	/* 打印列表 */
    	for (d = alldevs; d; d = d->next)
    	{
    		printf("%d. %s", ++i, d->name);
    		if (d->description)
    			printf(" (%s)\n", d->description);
    		else
    			printf(" (No description available)\n");
    	}
    
    	if (i == 0)
    	{
    		printf("\nNo interfaces found! Make sure WinPcap is installed.\n");
    		return -1;
    	}
    
    	printf("Enter the interface number (1-%d):", i);
    	scanf("%d", &inum);
    
    	if (inum < 1 || inum > i)
    	{
    		printf("\nInterface number out of range.\n");
    		/* 释放设备列表 */
    		pcap_freealldevs(alldevs);
    		return -1;
    	}
    
    	/* 跳转到选中的适配器 */
    	for (d = alldevs, i = 0; i< inum - 1;d = d->next, i++);
    
    	/* 打开设备 */
    	if ((adhandle = pcap_open(d->name,          // 设备名
    		65536,            // 65535保证能捕获到不同数据链路层上的每个数据包的全部内容
    		PCAP_OPENFLAG_PROMISCUOUS,    // 混杂模式
    		1000,             // 读取超时时间
    		NULL,             // 远程机器验证
    		errbuf            // 错误缓冲池
    		)) == NULL)
    	{
    		fprintf(stderr, "\nUnable to open the adapter. %s is not supported by WinPcap\n", d->name);
    		/* 释放设备列表 */
    		pcap_freealldevs(alldevs);
    		return -1;
    	}
    
    	printf("\nlistening on %s...\n", d->description);
    
    	/* 释放设备列表 */
    	pcap_freealldevs(alldevs);
    
    	/* 开始捕获 */
    	pcap_loop(adhandle, 10, packet_handler, NULL);
    
    	return 0;
    }
    
    
    /* 每次捕获到数据包时，libpcap都会自动调用这个回调函数 */
    void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
    {
    	struct tm *ltime;
    	char timestr[16];
    	time_t local_tv_sec;
    
    	/* 将时间戳转换成可识别的格式 */
    	local_tv_sec = header->ts.tv_sec;
    	ltime = localtime(&local_tv_sec);
    	strftime(timestr, sizeof timestr, "%H:%M:%S", ltime);
    
    	printf("%s,%.6d len:%d\n", timestr, header->ts.tv_usec, header->len);
    
    }

结果如下：

![20151113173647051][]

结果显示，捕获到10个数据包后停止。

使用 pcap\_loop() 函数可能会遇到障碍，主要因为它直接由数据包捕获驱动所调用。因此，用户程序是不能直接控制它的。另一个实现方法(也是提高可读性的方法)，是使用 pcap\_next\_ex() 函数。

[20151113173647051]: /images/20220731/9527af86876a4da693dacb277a8f61e8.png