pcap用手册.docVIP

让我们从看看这篇文章写给谁开始。显而易见的，需要一些C语言基础知识，除非你只想了解基本的理论。你不必是一个编码专家，因为这个领域只有经验丰富的程序员涉足，而我将尽可能详细的描述这些概念。另外，考虑到这是有关一个包嗅探器的，所以对网络基础知识的理解是有帮助的。所有在此出现的代码示例都已在FreeBSD 4.3平台上测试通过。 　　开始：pcap应用程序的格式 　　我们所要理解的第一件事情是一个基于pcap的嗅探器程序的总体布局。流程如下： 　　1.我们从决定用哪一个接口进行嗅探开始。在Linux中，这可能是eth0，而在BSD系统中则可能是xl1等等。我们也可以用一个字符串来定义这个设备，或者采用pcap提供的接口名来工作。 　　2.初始化pcap。在这里我们要告诉pcap对什么设备进行嗅探。假如愿意的话，我们还可以嗅探多个设备。怎样区分它们呢？使用文件句柄。就像打开一个文件进行读写一样，必须命名我们的嗅探“会话”，以此使它们各自区别开来。 　　3.如果我们只想嗅探特定的传输（如TCP/IP包，发往端口23的包等等），我们必须创建一个规则集合，编译并且使用它。这个过程分为三个相互紧密关联的阶段。规则集合被置于一个字符串内，并且被转换成能被pcap读的格式(因此编译它)。编译实际上就是在我们的程序里调用一个不被外部程序使用的函数。接下来我们要告诉 pcap使用它来过滤出我们想要的那一个会话。 　　4.最后，我们告诉pcap进入它的主体执行循环。在这个阶段内pcap一直工作到它接收了所有我们想要的包为止。每当它收到一个包就调用另一个已经定义好的函数，这个函数可以做我们想要的任何工作，它可以剖析所部获的包并给用户打印出结果，它可以将结果保存为一个文件，或者什么也不作。 　　5．在嗅探到所需的数据后，我们要关闭会话并结束。 　　这是实际上一个很简单的过程。一共五个步骤，其中一个（第3个）是可选的。我们为什么不看一看是怎样实现每一个步骤呢？ 　　设置设备 　　这是很简单的。有两种方法设置想要嗅探的设备。 　　第一种，我们可以简单的让用户告诉我们。考察下面的程序： 　　#include stdio.h 　　#include pcap.h 　　int main(int argc, char *argv[]) 　　{ 　　char *dev = argv[1]; 　　printf(Device: %s, dev); 　　return(0); 　　} 　　用户通过传递给程序的第一个参数来指定设备。字符串“dev”以pcap能“理解”的格式保存了我们要嗅探的接口的名字（当然，用户必须给了我们一个真正存在的接口）。 　　另一种也是同样的简单。来看这段程序： 　　#include stdio.h 　　#include pcap.h 　　int main() 　　{ 　　char *dev, errbuf[PCAP_ERRBUF_SIZE]; 　　dev = pcap_lookupdev(errbuf); 　　printf(Device: %s, dev); 　　return(0); 　　} 　　在这个例子里，pcap就自己设置设备。“但是，等一下，Tim”，你会说，“字符串errbuf是做什么的？”大多数的pcap命令允许我们向它们传递字符串作为参数。这个字符串的目的是什么呢？如果命令失败，它将传给这个字符串关于错误的描述。这样，如果pcap_lookupdev()失败，它将在 errbuf存储错误信息。很好，是不是？这就是我们怎样去设置设备。 　　打开设备进行嗅探 　　创建一个嗅探会话的任务真的非常简单。为此，我们使用pcap_open_live()函数。此函数的原型（根据pcap的手册页）如下： 　　pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms, char *ebuf) 　　其第一个参数是我们在上一节中指定的设备，snaplen是整型的，它定义了将被pcap捕获的最大字节数。当promisc设为true时将置指定接口为混杂模式（然而，当它置为false时接口仍处于混杂模式的特殊情况也是有可能的）。to_ms是读取时的超时值，单位是毫秒(如果为0则一直嗅探直到错误发生，为-1则不确定)。最后，ebuf是一个我们可以存入任何错误信息的字符串（就像上面的errbuf）。此函数返回其会话句柄。 　　举个例子，考察以下代码片断： 　　#include pcap.h 　　... 　　pcap_t *handle; 　　handle = pcap_open_live(somedev, BUFSIZ, 1, 0, errbuf); 　　这个代码片断打开字符串som