在现如今，随着互联网技术信息量越来越多，我们需要在应用程序中捕获网卡收到的所有数据包并进行分析，为了实现这一功能，应用程序需要借助底层系统的支持。当今主流的操作系统都提供了一个很强大的功能：允许应用程序访问数据链路层。

　　类UNIX操作系统上提供了三种不同的方式访问数据链路层，分别是BSD的BSD分组过滤器(BPF)、SVR4的数据链路提供者接口(DLPI)和Linux的SOCK_PACKET接口。幸运的是，程序员不需要了解这些不同接口的细节，直接使用Libpcap函数库就可以。

　　Libpcap是一个提供了针对网络数据包捕获系统的高层接口的开源函数库。其作用是提供独立于平台的应用程序接口，以消除程序中针对不同操作系统所包含的数据包捕获代码模块。这样以来，就解决了程序移植性的问题，有利于提高开发的效率。

　　Libpcap运行于大多数类UNIX操作系统上，完整的文档和源码可以从tcpdump的官方网站上获得Windows版本Winpcap可已从官网获取。下面介绍如何使用Libpcap来捕获数据包：

　　char*pcap_lookupdev(char*errbuf);

　　功能：查找用于捕获数据包的缺省设备

　　errbuf：错误时保存出错信息

　　返回值：成功时返回设备名称;出错时返回NULL

　　pcap_t*pcap_open_live(constchar*device,intsnaplen,intpromisc,intto_ms,char*errbuf);

　　功能：打开用于捕获数据包的网络设备

　　device：设备名称

　　snaplen：要捕获的数据包的最大字节数

　　prosmic：网络设备工作模式(0表示非混杂模式，其他值表示混杂模式)

　　to_ms：从内核空间复制数据前等待的时间

　　err_buf：错误时保存出错信息

　　返回值：成功时返回pcap_t类型的接口描述符(句柄);出错时返回NULL

　　constu_char*pcap_next(pcap_t*p,structpcap_pkthdr*h);

　　功能：捕获下一个数据包

　　p：接口描述符

　　h：捕获的数据包的信息

　　返回值：成功时返回指向捕获的数据的指针;出错时返回NULL

　　typedefvoid(*pcap_handler)(u_char*user,conststructpcap_pkthdr*h,constu_char*bytes);

　　constu_char*pcap_loop(pcap_t*p,intcnt,pcap_handlercallback,u_char*user);

　　功能：捕获下一个数据包

　　cnt：要捕获的数据包的个数

　　callback：捕获到数据包时执行的回调函数

　　user：传递给回调函数的参数

　　返回值：成功时返回0;出错时返回-1

　　intpcap_compile(pcap_t*p,structbpf_program*fp,char*str,intoptimize,bpf_u_int32netmask);

　　功能：创建过滤器

　　p：接口描述符

　　fp：指向保存过滤器的结构体的指针

　　str：要转化的过滤规则

　　optimize：过滤器是否要优化

　　netmask：网络掩码

　　返回值：成功时返回0;出错时返回-1

　　intpcap_setfilter(pcap_t*p,structbpf_program*fp);

　　功能：安装过滤器

　　p：接口描述符

　　fp：指向包含过滤器的结构体的指针

　　返回值：成功时返回0;出错时返回-1

　　以下实例代码实现捕获并显示3个ARP包

　　复制代码代码如下:

　　#include

　　#include

　　#include

　　#include

　　#defineMAXBYTES2CAPTURE2048

　　voidProcessPacket(u_char*arg,conststructpcap_pkthdr*pkthdr,constu_char*packet)

　　{

　　inti=0,*counter=(int*)arg;

　　printf("PacketCount:%d",++(*counter));

　　printf("ReceivedPacketSize:%d",pkthdr->len);

　　printf("Payload:");

　　for(i=0;ilen;i++)

　　{

　　printf("%02x",(unsignedint)packet[i]);

　　if((i%16==15&&i!=0)||(i==pkthdr->len-1))

　　{

　　printf("");

　　}

　　}

　　printf("************************************************");

　　return;

　　}

　　intmain(intargc,char*argv[])

　　{

　　inti=0,count=0;

　　pcap_t*descr=NULL;

　　charerrbuf[PCAP_ERRBUF_SIZE],*device=NULL;

　　bpf_u_int32netaddr=0,mask=0;

　　structbpf_programfilter;

　　memset(errbuf,0,sizeof(errbuf));

　　if(argc!=2)

　　{

　　device=pcap_lookupdev(errbuf);

　　}

　　else

　　{

　　device=argv[1];

　　}

　　printf("Trytoopendevice%s",device);

　　if((descr=pcap_open_live(device,MAXBYTES2CAPTURE,1,0,errbuf))==NULL)

　　{

　　printf("error:%s",errbuf);

　　exit(-1);

　　}

　　pcap_lookupnet(device,&netaddr,&mask,errbuf);

　　if(pcap_compile(descr,&filter,"arpandetherhost00:0c:29:b7:f6:33",0,mask)<0)

　　{

　　printf("pcap_compileerror");

　　exit(-1);

　　}

　　pcap_setfilter(descr,&filter);

　　pcap_loop(descr,3,ProcessPacket,(u_char*)&count);

　　return0;

　　}

　　最后想要了解更多关于Linux发展前景趋势，请关注扣丁学堂Linux培训官网、微信等平台，扣丁学堂IT职业在线学习教育平台为您提供权威的Linux培训视频教程系统，通过千锋扣丁学堂金牌讲师在线录制的Linux视频教程课程，让你快速掌握Linux从入门到精通开发实战技能。扣丁学堂Linux技术交流群：659974587。

专栏文章内容及配图由作者撰写发布，仅供工程师学习之用，如有侵权或者其他违规问题，请联系本站处理。 联系我们