利用C语言编写一个网络分析器

一、链路层数据格式

mac报文：14个字节

二、IP数据报文格式

三、TCP数据报文格式

四、UDP数据报文格式

五、demo（网络分析器）

recvfrom接收链路层帧数据，不经过网络层、传输层，不会给发送者的地址结构赋值，因此后两个参数为NULL。

设计思路：

①创建一个原始套接字。
②while(1)利用recvfrom不断接收网络数据。
③解析获得mac头部中的源mac和目的mac，并判断网络层的协议类型。
④若是IP报文，则获得源IP和目的IP，并解析获得传输层协议类型。
⑤若传输层为TCP或UDP协议，则解析报文获得数据

#include <stdio.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <netinet/ether.h>
#include <arpa/inet.h>
#include <errno.h>

int main()
{
	//1.创建一个原始套接字（ETH_P_ALL表示收发任何数据类型）
	int sockfd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));
	if(sockfd<0){
		perror("socket");
		return 0;
	}
	else{
		printf("sockfd=%d\n",sockfd);
	}
	
	//2.使用recvfrom接收网络数据（数据多，需要用while）
	while(1)
	{
		//定义buf存放帧数据，大小unsigned char1500
		unsigned char buf[1500]="";
		int len = recvfrom(sockfd, buf, sizeof(buf), 0, NULL, NULL);
		printf("len= %d\n",len);
		/*buf不要用%s遍历。帧数据大多都是不可识别的ASCII值，有太多的0x00;
		  不可sleep(),当休眠时有速度过来，数据会被协议栈提取一层一层往上走，
		  对于链路层就没有了，会丢失数据。
		*/

		/*解析buf中的mac头部信息。[mac][ip][tcp/udp][data]  eg:ff:ff:ff:ff:ff:ff 长度2*6+5+1=18
		  mac头部结构：目的mac(6B) 源mac(6B) 类型(2B) 
		*/
		char src_mac[18]="";				
		char dst_mac[18]="";
		sprintf(dst_mac,"%02x:%02x:02x:02x:02x:02x:",buf[0],buf[1],buf[2],buf[3],buf[4],buf[5]); //组目的mac
		sprintf(src_mac,"%02x:%02x:02x:02x:02x:02x:",buf[0+6],buf[1+6],buf[2+6],buf[3+6],buf[4+6],buf[5+6]); //组源的mac
		
		printf("%s--->%s\n", src_mac, dst_mac);
	
		//判断mac头部中的协议类型 (IP:0x0800 ARP:0X0806 RARP:0x8035)
		unsigned short mac_type = ntohs(*(unsigned short *)(buf+12));   //取出后为网络字节序，需转成主机字节序
		if( mac_type == 0x0800 ){
			printf("mac_type = %#x IP报文\n", mac_type);				//%#X，会在打印的十六进制结果前面加上0X
			
			//分析IP头部
			unsigned char *ip_addr = buf+14; 		//+14为了跳过mac头
			//ip_addr跳到源IP的起始位置
			ip_addr += 12;							//跳过3行，一行4字节
			char src_ip[16]="";
			char dst_ip[16]="";
			sprintf(src_ip,"%d.%d.%d.%d",ip_addr[0],ip_addr[1],ip_addr[2],ip_addr[3]);				//源IP
			
			ip_addr +=4;
			sprintf(dst_ip,"%d.%d.%d.%d",ip_addr[0],ip_addr[1],ip_addr[2],ip_addr[3]);				//目的IP
			
			printf("%s--->%s\n", src_ip, dst_ip);
	
			//判断网络层的上一层协议类型
			ip_addr = buf+14;							//跳回IP起始位置
			unsigned char *ip_type = ip_addr + 9;		//跳到协议类型位置
			if(*ip_type == 1){
				printf("ICMP报文\n");
			}
			else if(*ip_type == 2){
				printf("IGMP报文\n");
			}
			else if(*ip_type == 6){
				printf("TCP报文\n");
				ip_addr = buf + 14;		//回到IP起始位置
				int ip_head_len = (*ip_addr&0x0f)*4;					//获得IP报文头部长度（&0x0f目的为了获得低八位）
				unsigned char *tcp_addr = buf + 14 + ip_head_len;		//tcp_addr：TCP起始位置
				unsigned src_port = ntohs(*(unsigned short *)tcp_addr);		//获取源端口
				unsigned dst_port = ntohs(*(unsigned short *)(tcp_addr+2));	//获取目的端口
				//打印
				printf("%hu--->%hu\n",src_port,dst_port);
			
				//跳到TCP首部长度的位置
				unsigned char *tcp_headLen_addr = tcp_addr+12;
				int tcp_head_len = (*tcp_headLen_addr>>4)&0x0f;		//高4位移动到低4位后再取
				//打印数据
				printf("TCP：%s\n",tcp_addr + tcp_head_len);
			}
			else if(*ip_type == 17){
				printf("UDP报文\n");
				ip_addr = buf + 14;		//回到IP起始位置
				int ip_head_len = (*ip_addr&0x0f)*4;					//获得IP报文头部长度（&0x0f目的为了获得低位数据）
				unsigned char *udp_addr = buf + 14 + ip_head_len;		//udp_addr：UDP起始位置
				unsigned src_port = ntohs(*(unsigned short *)udp_addr);		//获取源端口
				unsigned dst_port = ntohs(*(unsigned short *)(udp_addr+2));	//获取目的端口
				//打印
				printf("%hu--->%hu\n",src_port,dst_port);
				
				//打印数据
				printf("UDP：%s\n",udp_addr+8);	//应用层数据
			}
			
		}
		
		else if(mac_type == 0x0806 ){
			printf("mac_type = %#x ARP报文\n", mac_type);
		}
		else if(mac_type == 0x8035 ){
			printf("mac_type = %#x RARP报文\n", mac_type);
		}
		
	}
	
	
	//关闭套接字
	close(sockfd);
	
	return 0;
}

测试：sudo运行.out文件