tcpdump libnet libpcap 介绍及编译

在Unix系统平台上的网络安全工具开发中，目前最为流行的C API library有libnet、libpcap、libnids和libicmp等。它们分别从不同层次和角度提供了不同的功能函数。使网络开发人员能够忽略网络底层细节的实现，从而专注于程序本身具体功能的设计与开发。其中， 
* libnet提供的接口函数主要实现和封装了数据包的构造和发送过程。 
* libpcap提供的接口函数主要实现和封装了与数据包截获有关的过程。 
* libnids提供的接口函数主要实现了开发网络入侵监测系统所必须的一些结构框架。 
* libicmp等相对较为简单，它封装的是ICMP数据包的主要处理过程(构造、发送、接收等)。 利用这些C函数库的接口，网络安全工具开发人员可以很方便地编写出具有结构化强、健壮性好、可移植性高等特点的程序，如scanner、sniffer、firewall、IDS等。 

--------------------------------------------------------------------------

libpcap

libpcap是unix/linux平台下的网络数据包捕获函数包，
大多数网络监控软件都以它为基础。
Libpcap可以在绝大多数类unix平台下工作.
Libpcap应用程序框架
Libpcap提供了系统独立的用户级别网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap可以在绝大多数类unix平台下工作，参考资料 A 中是对基于 libpcap 的网络应用程序的一个详细列表。在windows平台下，一个与libpcap 很类似的函数包 winpcap 提供捕获功能，其官方网站是http://winpcap.polito.it/。

Libpcap 软件包可从 http://www.tcpdump.org/ 下载，然后依此执行下列三条命令即可安装，但如果希望libpcap能在linux上正常工作，则必须使内核支持"packet"协议，也即在编译内核时打开配置选项 CONFIG_PACKET(选项缺省为打开)。

编译前需要安装：
apt-get install flex
apt-get install bison
./configure
./make
./make install

libpcap源代码由20多个C文件构成，但在 Linux系统下并不是所有文件都用到。可以通过查看命令make的输出了解实际所用的文件。本文所针对的libpcap版本号为0.8.3，网络类型为常规以太网。Libpcap应用程序从形式上看很简单.

示例：

[cpp]  view plain  copy

1. #include <stdio.h>  
2. #include <stdlib.h>  
3. #include <pcap.h>  
4. #include <sys/socket.h>  
5. #include <netinet/in.h>  
6. #include <arpa/inet.h>  
7.   
8. #define IP_LEN 20  
9. #define TRUE 1  
10. #define FALSE 0  
11.   
12. #define P_IP 0x0800  
13. #define P_ARP 0x0806  
14. #define P_RARP 0x8035  
15.   
16. typedef unsigned char BOOL;  
17. typedef unsigned char UINT1;  
18. typedef unsigned short UINT2;  
19. typedef unsigned int UINT4;  
20. typedef unsigned long long UINT8;  
21. //typedef unsigned char u_char;