libpcap使用举例.docVIP

libpcap使用举例 libpcap使用举例(1) 作者：小四 mailto: scz@ 主页： 日期：2001-01-10 我们曾经提供过libnet使用举例(1-12)，比较详细地介绍了报文发送编程。始终 没有介绍libpcap报文捕捉编程的原因很多，tcpdump、snort等著名软件包都是基于 libpcap，加上W.Richard.Stevens的Unix Network Programming Vol I第26章推 波助澜，实在觉得没有必要继续介绍libpcap编程。更真实的原因可能是BPF、DLPI、 SOCK_PACKET三种接口编程已经被演练得太多太滥。 今天讨论的不是效率，而是可能的移植性要求。没办法，第一次使用libpcap库，举 例能深入到什么地步，不知道。如果你也是第一次用这个库，跟我来，第N次使用？ 那还是忙你的去吧，别来看这篇无聊的灌水，:-P。我无聊是因为有程序要广泛可移 植，你无聊是为什么。 char * pcap_lookupdev ( char * errbuf ); 该函数返回一个网络设备接口名，类似libnet_select_device()，对于Linux就是 eth0一类的名字。pcap_open_live()、pcap_lookupnet()等函数将用到这个网络设 备接口名。失败时返回NULL，errbuf包含了失败原因。errbuf一般定义如下： /usr/include/pcap.h #define PCAP_ERRBUF_SIZE 256 char errbuf[ PCAP_ERRBUF_SIZE ]; pcap_t * pcap_open_live ( char * device, int snaplen, int promisc, int to_ms, char * errbuf ); 该函数用于获取一个抽象的包捕捉句柄，后续很多libpcap函数将使用该句柄，类似 文件操作函数频繁使用文件句柄。device指定网络接口设备名，比如eth0。snaplen 指定单包最大捕捉字节数，为了保证包捕捉不至于太低效率，snaplen尽量适中，以 恰能获得所需协议层数据为准。promisc指定网络接口是否进入混杂模式，注意即使 该参数为false(0)，网络接口仍然有可能因为其他原因处在混杂模式。to_ms指定毫 秒级读超时，man手册上并没有指明什么值意味着永不超时，测试下来的结论，0可能 代表永不超时。如果调用失败返回NULL，errbuf包含失败原因。 -------------------------------------------------------------------------- /usr/include/pcap.h typedef struct pcap pcap_t; pcap-int.h里定义了struct pcap {} struct pcap { int fd; int snapshot; int linktype; int tzoff; /* timezone offset */ int offset; /* offset for proper alignment */ struct pcap_sf sf; struct pcap_md md; int bufsize; /* Read buffer */ u_char * buffer; u_char * bp; int cc; u_char * pkt; /* Place holder for pcap_next() */ struct bpf_program fcode; /* Placeholder for filter code if bpf not in kernel. */ char errbuf[PCAP_ERRBUF_SIZE]; }; ---