打开适配器并捕获数据包

谁践踏了优雅 2022-08-19 08:23 110阅读 0赞

由前两节的铺垫，我们已经知道如何获取本地适配器的信息了，接下来我们来学习一下如何打开适配器并捕获数据包，听起来相当诱惑，那么咱们立刻进入主题吧！在贴源码之前先介绍一个将要用到的很重要的函数--pcap\_open()，下面是pcap\_open()在remote-ex.h中的声明：

pcap_t *pcap_open(const char *source, int snaplen, int flags, int read_timeout, struct pcap_rmtauth *auth, char *errbuf);

第一个参数不用多说，它表示的是设备的名称。在获取适配器链表后，通过返回数据域name即可知道设备的名称。

第二个参数制定要捕获数据包中的哪些部分。技术文档中介绍说，在一些操作系统中，驱动可以被配置成只捕获数据包的初始化部分，它的好处就是可以减少应用程序间复制数量的量，从而提高捕获效率。下面将要给出的实例程序中设为65535。我们知道对于使用以太网的局域网来说，最大传输单元为1500字节，那么设为65535则能保证收到完整的数据包。

第三个参数是最重要的一个值，它用来指示适配器是否需要设置成混杂模式，这里引用一下技术文档中对设置混杂模式的说明：

> 一般情况下，适配器只接收发给它自己的数据包， 而那些在其他机器之间通讯的数据包，将会被丢弃。 相反，如果适配器是混杂模式，那么不管这个数据包是不是发给我的，我都会去捕获。也就是说，我会去捕获所有的数据包。 这意味着在一个共享媒介(比如总线型以太网)，WinPcap能捕获其他主机的所有的数据包。 大多数用于数据捕获的应用程序都会将适配器设置成混杂模式，所以，我们也会在下面的范例中，使用混杂模式。

它的意思就是说设置混杂模式可以捕获到所有经过适配器的数据包，不论是不是发给机器本身的。PCAP\_OPENFLAG\_PROMISCUOUS这个值就是设置成混杂模式的意思。

第四个参数表示的是读取数据的超时时间，单位是毫秒。意思就是说会在read\_timeout时间内对适配器的读取操作进行响应，不管有没有读到数据。这里有两个特殊的值需要说明一下，如果将时间设置为0意味着没有超时，那么如果没有数据到达的话，读操作就永远不会返回；如果设置为-1则恰恰相反，不论有没有读到数据都会立即返回。

第五个参数之前提到过，它表示的是连接远程用户的验证信息，由于我们不需要连接到远程用户，这里置为NULL。

第六个参数是错误信息缓冲，如果该函数在调用过程中出错则会将出错信息保存在缓冲中。

函数的返回值是一个pcap\_t的指针类型，查看声明处我们可以发现pcap\_t实际上是pcap结构体，而文档上说明它是一个已打开的捕捉实例的描述符。这个结构体对用户来说是不透明的（我们查看pcap的声明处是找不到的），它通过wpcap.dll提供的函数，维护了它的内容。

下面我们来看一下这个程序的代码！

![复制代码][copycode.gif]

#define HAVE_REMOTE
    #include <pcap.h>
    
    /* packet handler 函数原型 */
    void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data);
    
    int main()
    {
        
        pcap_if_t *alldevs;
        pcap_if_t *d;
        int inum;
        int i=0;
        pcap_t *adhandle;
        char errbuf[PCAP_ERRBUF_SIZE];
    
        /* 获取本机设备列表 */
        if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1)
        {
        
            fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf);
            exit(1);
        }
    
        /* 打印列表 */
        for(d=alldevs; d; d=d->next)
        {
        
            printf("%d. %s", ++i, d->name);
            if (d->description)
                printf(" (%s)\n", d->description);
            else
                printf(" (No description available)\n");
        }
    
        if(i==0)
        {
        
            printf("\nNo interfaces found! Make sure WinPcap is installed.\n");
            return -1;
        }
    
        printf("Enter the interface number (1-%d):",i);
        scanf("%d", &inum);
    
        if(inum < 1 || inum > i)
        {
        
            printf("\nInterface number out of range.\n");
            /* 释放设备列表 */
            pcap_freealldevs(alldevs);
            return -1;
        }
    
        /* 跳转到选中的适配器 */
        for(d=alldevs, i=0; i< inum-1 ; d=d->next, i++);
    
        /* 打开设备 */
        if ( (adhandle= pcap_open(d->name,          // 设备名
                                  65535,            // 65535保证能捕获到不同数据链路层上的每个数据包的全部内容
                                  PCAP_OPENFLAG_PROMISCUOUS,    // 混杂模式
                                  1000,             // 读取超时时间
                                  NULL,             // 远程机器验证
                                  errbuf            // 错误缓冲池
                                 ) ) == NULL)
        {
        
            fprintf(stderr,"\nUnable to open the adapter. %s is not supported by WinPcap\n", d->name);
            /* 释放设备列表 */
            pcap_freealldevs(alldevs);
            return -1;
        }
    
        printf("\nlistening on %s...\n", d->description);
    
        /* 释放设备列表 */
        pcap_freealldevs(alldevs);
    
        /* 开始捕获 */
        pcap_loop(adhandle, 0, packet_handler, NULL);
    
        return 0;
    }
    
    
    /* 每次捕获到数据包时，libpcap都会自动调用这个回调函数 */
    void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
    {
        
        struct tm *ltime;
        char timestr[16];
        time_t local_tv_sec;
    
        /* 将时间戳转换成可识别的格式 */
        local_tv_sec = header->ts.tv_sec;
        ltime=localtime(&local_tv_sec);
        strftime( timestr, sizeof timestr, "%H:%M:%S", ltime);
    
        printf("%s,%.6ld len:%d\n", timestr, header->ts.tv_usec, header->len);
    
    }

![复制代码][copycode.gif]

打开设备后我们就可以进行捕获了，这里我们用到的函数是pcap\_loop()，下面是pcap\_loop()函数的声明：

int pcap_loop  ( pcap_t *  p,  
      int  cnt,  
      pcap_handler  callback,  
      u_char *  user   
     )

引用一下文档里面对于pcap\_loop()函数的介绍：

> Collect a group of packets.
> 
> [pcap\_loop()][pcap_loop] is similar to [pcap\_dispatch()][pcap_loop] except it keeps reading packets until cnt packets are processed or an error occurs. It does not return when live read timeouts occur. Rather, specifying a non-zero read timeout to [pcap\_open\_live()][pcap_loop]and then calling [pcap\_dispatch()][pcap_loop] allows the reception and processing of any packets that arrive when the timeout occurs. A negative cnt causes [pcap\_loop()][pcap_loop] to loop forever (or at least until an error occurs). -1 is returned on an error; 0 is returned if cnt is exhausted; -2 is returned if the loop terminated due to a call to [pcap\_breakloop()][pcap_loop] before any packets were processed. If your application uses [pcap\_breakloop()][pcap_loop], make sure that you explicitly check for -1 and -2, rather than just checking for a return value < 0.

大致就是说pcap\_loop()函数是用来捕获一组数据分组的。pcap\_loop()函数跟pcap\_dispath()函数很类似，唯一不同之处就是pcap\_loop()会一直读数据直到cnt数据被处理或者出现错误。不论读取时间是否超时它都不返回。当然有一种特殊情况，就是在调用pcap\_open\_live()函数时指定非0的读取超时时间，调用pcap\_dispath()函数可以在超时发生时对读到的数据进行接收和处理。将cnt设为正数可以使pcap\_loop()一直循环（或至少到错误发生之前）。返回-1则出错；返回0则说明cnt被耗尽；返回-2则是由于在数据被处理之前调用pcap\_breakloop()来中断循环。如果你的应用程序使用了pcap\_breakloop()函数，你需要对返回值-1和-2进行详细的检查，而不是只检查<0的情况。（如果翻译有误还请指正！！！）

文档里说得很详细，看得也是一头雾水，也不知道究竟在说些什么。简单来讲就是说，pcap\_loop()只有当cnt数据包被捕获时才会返回，即它会在一小段时间内阻塞网络的利用。pcap\_loop()函数的第三个参数很重要，它是一个回调函数的函数指针，即pcap\_loop()函数返回时会自动调用这个回调函数。这个回调函数的参数类型是规定好的：

typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *,
                     const u_char *);

这个程序当中我们只用到了第二个参数，将每一个数据包的时间戳和长度从它的首部当中解析出来，并打印在屏幕上。细节的东西就不赘述了，看一下运行的结果：

![2012031015185610.png][]

输入1并按回车，开始捕获数据并打印：

![2012031015204566.png][]

作者：[黑剑][Link 1]  
出处：[http://www.cnblogs.com/blacksword/][Link 1]  
本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，否则保留追究法律责任的权利。

[copycode.gif]: /images/20220731/0e0fdfb0d3054c02919e9aab432c7cb2.png
[pcap_loop]: http://www.cnblogs.com/blacksword/admin/
[2012031015185610.png]: /images/20220731/afdc07c5852d4426be691d469cc2dc0e.png
[2012031015204566.png]: /images/20220731/afe861cce2f540aface77cbd2704b03f.png
[Link 1]: http://www.cnblogs.com/blacksword/