libpcap接收数据包(三)

我就是我 2022-09-30 09:44 296阅读 0赞

本文以应用程序的api调用为主线，分析libpcap和pfring源码，当然还有内核PF\_RING的源码在以后也会分析，以后可能我会分析从网卡驱动一直分析到应用层，争取把这些都讲清楚。[Linux][]开源就是好，呵呵，闲话少说，继续分析，首先分析pcap\_next函数吧，搞过winpcap的都知道**这个是数据包的函数，一次只读一个数据包**。

constu\_char \* pcap\_next(pcap\_t \*p, struct pcap\_pkthdr \*h)

struct oneshot\_userdata s;

const u\_char \*pkt;

s.hdr = h;

s.pkt =&pkt;

s.pd = p;

if (**pcap\_dispatch**(p,1, p->oneshot\_callback, (u\_char \*)&s) <= 0)

return (0);

return (pkt);

一看这个函数这么短，大家肯定很开心，呵呵，首先要关注的当然是结构体oneshot\_userdata，搜了下，发现在pcap-int.h中定义如下：

/\*

\* User data structure forthe one-shot callback used for pcap\_next()

\* and pcap\_next\_ex().

\*/

structoneshot\_userdata \{

struct pcap\_pkthdr \*hdr;

const u\_char \*\*pkt;

pcap\_t \*pd;

\};

紧接着就是调用pcap\_dispatch函数，这个函数呆会也要讲解的，和pcap\_loop 一样，也是用来读取数据包的。下面看看p->oneshot\_callback，这个回调函数在哪里定义的呢？还是整个文件搜索。发现在我们以前分析过的函数pcap\_create\_common函数中的initialize\_ops中定义了，所有开始的初始化定义的回调函数是有用的，定义如下：

**p->oneshot\_callback = pcap\_oneshot**;

这就告诉我们，这个回调函数实际上调用的是pcap\_oneshot函数；再继续找pcap\_oneshot函数吧，定义如下：

pcap\_oneshot(u\_char\*user, const struct pcap\_pkthdr \*h, const u\_char \*pkt)

struct oneshot\_userdata \*sp = (structoneshot\_userdata \*)user;

\*sp->hdr = \*h;

\*sp->pkt =pkt;

**从这里可以看到pcap\_oneshot就是pcap\_dispatch调用的函数，而user就是pcap\_dispatch最后一个参数传过来的**。

分析到这里就有点奇怪了，**从pcap\_next可以看出，s.pkt= &pkt;传递的一个应用，这个指针指向哪里呢**，这里都没有说，那么pcap\_oneshot函数的sp->pkt指向什么地方呢？带着这个问题，我们就开始分析pcap\_dispatch了，我相信在这个函数中会对s.pkt赋值的，先看看在说吧。

Int pcap\_dispatch(pcap\_t\*p, int cnt, pcap\_handler callback, u\_char \*user)

return p->read\_op(p, cnt, callback, user);

从pcap\_dispatch的源码看出，这个函数也相当的简单，函数体里面就一行代码，一个回调函数；在这里，我们带着上面的这个问题去分析read\_op回调函数，主要要注意的是那个user参数，看对我们上面说的pkt这个域赋值了吗？搜read\_op看在哪个地方定义的；在pcap.c 中的pcap\_create\_common函数中定义了一个  p->read\_op= (read\_op\_t)pcap\_not\_initialized;但是我们可以看到明显不是这个回调函数，在前面我们分析了，pcap\_create\_common函数中的初始化就好像c++里面的构造函数中初始化一样，后面还有可能改变的，所以在继续查找。在pcap\_activate\_linux中找到了这个函数(handle->read\_op =**pcap\_read\_linux**;)呵呵，果然如我开始打下的伏笔一样，我说pcap\_next，pcap\_dispatch,pcap\_next\_ex，pcap\_loop等读包函数都会调用read\_op这个回调函数，及pcap\_read\_linux来读取数据包，**其实pcap\_read\_linux调用的就是pcap\_read\_packet这个函数了，前面已经分析的很清楚了**。源码越往后面分析，就越清晰了。奖励一下自己，先吃点东西在继续，呵呵，现在pcap\_next，和pcap\_dispatch都分析完了，还有2个函数要分析pcap\_next\_ex和pcap\_loop函数。**还忘记上面的那个pkt的问题了，我跟踪pcap\_read\_packet的代码，在函数的最后就找到callback回调函数了，callback(userdata, (structpcap\_pkthdr\*)&myhdr, bp);，调用的就是pcap\_oneshot这个函数了**，呵呵。这个函数可以自定义的。所以pkt，的实参就是bp了，明白这个问题了把，bp在pcap\_read\_packet已经赋值了（bp = handle->buffer;）。

int pcap\_next\_ex(pcap\_t \*p, struct pcap\_pkthdr\*\*pkt\_header, const u\_char \*\*pkt\_data)

struct oneshot\_userdata s;

s.hdr = &p->pcap\_header;

s.pkt = pkt\_data;

s.pd = p;

/\* Saves a pointer to the packet headers\*/

\*pkt\_header= &p->pcap\_header;

if (p->sf.rfile != NULL) \{

int status;

/\* We are on an offline capture \*/

status = pcap\_offline\_read(p, 1,pcap\_oneshot, (u\_char \*)&s);

/\*

\* Return codes for pcap\_offline\_read() are:

\*  -  0: EOF

\*   --1: error

\*   ->1: OK

\* The first one ('0') conflicts with thereturn code of

\* 0 from pcap\_read() meaning "no packetsarrived before

\* the timeout expired", so we map it to-2 so you can

\* distinguish between an EOF from a savefileand a

\* "no packets arrived before the timeoutexpired, try

\* again" from a live capture.

\*/

if (status == 0)

return (-2);

else

return (status);

/\*

\* Return codes for pcap\_read() are:

\*  -  0: timeout

\*   --1: error

\*   --2: loop was broken out of with pcap\_breakloop()

\*   ->1: OK

\* The first one ('0') conflicts with thereturn code of 0 from

\* pcap\_offline\_read() meaning "end offile".

\*/

return (p->read\_op(p, 1, pcap\_oneshot,(u\_char \*)&s));

这个函数没有什么好说的，最终调用的函数也是read\_op及pcap\_read\_packet函数，和上面的那2个函数类似。

Int pcap\_loop(pcap\_t \*p, int cnt, pcap\_handler callback,u\_char \*user)

for (;;) \{

if (p->sf.rfile != NULL) \{

/\*

\* 0 means EOF, so don't loop if we get 0.

\*/

n = pcap\_offline\_read(p,cnt, callback, user);

\} else \{

/\*

\* XXX keep reading until we get something

\* (or an error occurs)

\*/

do\{

n =p->read\_op(p, cnt, callback, user);

\} while (n== 0);

if (n <= 0)

return (n);

if (cnt > 0) \{

cnt -= n;

if (cnt <= 0)

return (0);

这函数和上面的3个函数的主要函数的主要区别是，它有一个do 。。。while循环，就是不断的接收数据包的。接收数据包的过程都介绍完了，讲解到这里，大家对libpcap怎么和pfring进行交互的都搞明白了，那么还有pfring怎么和内核补丁pf\_ring.c进行交互呢，下面接着讲解内核补丁，从现在开始真正的讲解到内核了，主要讲解的是pf\_ring.c和pfring.h，内核通过pfring.c和libpcap上层进行传递数据包。

[Linux]: http://lib.csdn.net/base/linux