本文详细讲解了如何在Linux系统中利用Raw Socket实现类似Wireshark的功能，无需安装pcap库。通过AF_INET和PF_PACKET，可以分别捕获从网络层和数据链路层开始的数据。AF_INET允许获取IP头以上的数据，而PF_PACKET则可以从数据链路层开始，包括以太网帧头。此外，介绍了如何设置网卡的混杂模式以捕获所有数据帧。
这篇文章介绍了Linux下如何实现定制化的类wireshark程序的一些要点（不需要装pcap，利用Linux 的 socket 自带的一些功能）。
Ethernet frame
参考资料:
https://en.wikipedia.org/wiki/Ethernet_frame
http://www.cnblogs.com/uvsjoh/archive/2012/12/31/2840883.html
以太网链路（Ethernet link ）上的数据包（data packet）叫作以太网数据包（Ethernet packet），它包含（装载）了以太网帧（Ethernet frame）。
真正通过Linux的Raw Socket得到的Ethernet包是到Ethernet frame这个层次（并且不包含ＣＲＣ，因为系统会对其进行校验，能传给ｓｏｃｋｅｔ接收缓冲区的都是有效的ｆｒａｍｅ，也不需要用ＣＲＣ信息了），能否到整个Ethernet packet这个层次没有经过验证，不太清楚。
Ethernet frame前面是preamble 和start
最低0.47元/天 解锁文章
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
