PCAP 学习之旅

PCAP 学习之旅
网络资源:
超链接:PCAP tutorial   My libpcap tutorial
捕获单个数据包的完整过程：
1.获取需要监听的设备名
  char *dev=pcap_lookupdev(char errbuf[PCAP_ERRBUF_SIZE]);
2.打开需要监听的设备，并返回它的句柄
  Pcap_t *descr=pcap_open_live(dev,BUFSIZE,0,-1,errbuf);
  参数：
    dev: 需要监听的设备名
     BUFSIZE: 指定捕获数据包的大小
     网络接口模式: 0是非混杂模式，1是混杂模式，只有混杂模式才可以捕获网络中的绝大部分数据包
     to_ms: 过期时间
3.从监听设备捕获一个数据包:
       u_char *packet=pcap_next(descr,&hdr);
      注意: struct pcap_pkthdr hdr;
        struct pcap_pkthdr {
            struct timeval ts;      //包捕获的时间
            bpf_u_int32 caplen;     //数据包实际捕获大小
            bpf_u_int32 len;        //数据包在电缆上的大小
        }
到这里，就完成了单个数据包的捕获。
下面就是，数据包的分析过程:
分析如下：
    1.捕获的数据包是一个u_char*类型的,但事实上, packet并不是一个简单的字符串，实际上它是一个结构的聚集(比如，一个TCP/IP数据包会有一个Enthernet头，一个IP头，一个TCP 头，最后才是数据包的实体)。u_char是这些结构的序列化形式。为了充分使用它，我们必需做一些转型)。
    2.进行这种转型必须对协议的数据结构有十分清楚的了解，不同操作系统平台有不同的协议结构。
/* 以太网header */
struct sniff_ethernet {
    u_char ether_dhost[ETHER_ADDR_LEN]; /* Destination host address */
    u_char ether_shost[ETHER_ADDR_LEN]; /* Source host address */
    u_short ether_type; /* IP? ARP? RARP? etc */
};
请看IP协议头图示
/* IP header */
struct sniff_ip {
    #if BYTE_ORDER == LITTLE_ENDIAN
            u_int ip_hl:4, /* header length */
            ip_v:4; /* version */
            #if BYTE_ORDER == BIG_ENDIAN
                u_int ip_v:4, /* version */
                ip_hl:4; /* header length */
            #endif
    #endif /* not _IP_VHL */
    u_char ip_tos; /* 服务的类型 */
    u_short ip_len; /* 数据报总长度 */
    u_short ip_id; /* 标识符 */
    u_short ip_off; /* 是否分片 */
    #define IP_RF 0x8000 /* 保留分片标志 */
    #define IP_DF 0x4000 /* 不分片标志*/
    #define IP_MF 0x2000 /* 更多分片标志*/
    #define IP_OFFMASK 0x1fff /* mask for fragmenting bits */
    u_char ip_ttl; /* 生存时间 */
    u_char ip_p; /* 协议 */
    u_short ip_sum; /* 校验值 */
    struct in_addr ip_src,ip_dst; /* 源地址和目标地址 */
};
请看TCP协议头图示
/* TCP header */
struct sniff_tcp {
    u_short th_sport; /* 源端口 */
    u_short th_dport; /* destination port */
    tcp_seq th_seq; /* 序号 */
    tcp_seq th_ack; /* 确认号 */
    #if BYTE_ORDER == LITTLE_ENDIAN
    u_int th_x2:4, /* (unused) */
    th_off:4; /* data offset */
    #endif
    #if BYTE_ORDER == BIG_ENDIAN
    u_int th_off:4, /* data offset */
    th_x2:4; /* (unused) */
    #endif
    u_char th_flags;
    #define TH_FIN 0x01
    #define TH_SYN 0x02
    #define TH_RST 0x04
    #define TH_PUSH 0x08
    #define TH_ACK 0x10
    #define TH_URG 0x20
    #define TH_ECE 0x40
    #define TH_CWR 0x80
    #define TH_FLAGS (TH_FIN|TH_SYN|TH_RST|TH_ACK|TH_URG|TH_ECE|TH_CWR)
    u_short th_win; /* 滑动窗口 */
    u_short th_sum; /* 校验值 */
    u_short th_urp; /* 紧急指针 */
};
 
3．开始分解数据包喽！！！！！！
 
const struct sniff_ethernet *ethernet; /* The ethernet header */
const struct sniff_ip *ip; /* The IP header */
const struct sniff_tcp *tcp; /* The TCP header */
const char *payload; /* Packet payload */
int size_ethernet = sizeof(struct sniff_ethernet);
int size_ip = sizeof(struct sniff_ip);
int size_tcp = sizeof(struct sniff_tcp);
And now we do our magical typecasting:
ethernet = (struct sniff_ethernet*)(packet);
ip = (struct sniff_ip*)(packet + size_ethernet);
tcp = (struct sniff_tcp*)(packet + size_ethernet + size_ip);
payload = (u_char *)(packet + size_ethernet + size_ip + size_tcp);
Variable                    Location (in bytes) 
sniff_ethernet          X
sniff_ip                     X + 14
sniff_tcp                   X + 14 + 20
payload                    X + 14 + 20 + 20
注意，很重要，由于不同系统平台之间它们网络协议的数据结构的size并不是相同的，所以，你每次都还是需要调用sizeof()函数来得到和确认结构的大小。