深度剖析WinPcap之(八)——打开与关闭适配器(3)

本文转自http://eslxf.blog.51cto.com/918801/204274

 

1.4      wpcap.dll中相应函数接口的实现

下面对各函数在wpcap.dll中的实现进行详细分析。

1.4.1        pcap_open函数

函数首先确认参数source的长度不超过PCAP_BUF_SIZE，然后调用pcap_parsesrcstr()函数分析源的种类，是文件，本地主机接口还是远程主机接口，并依据不同的源类型作不同的处理。

如果是文件类型，直接调用pcap_open_offline函数处理。

如果是远程主机接口类型，调用pcap_create()创建一个pcap_t结构体，然后调用函数pcap_opensource_remote()通过打开一个远程主机的适配器，最后给pcap_t结构体几个重要成员设置合适的值，包括捕获数据包长度、读取超时，与pcap_startcapture()需要使用的标识。

如果是本地主机接口类型，直接调用pcap_open_live()函数，然后给NPF驱动设置几个标识。根据需要，可设置禁止回环数据包捕获，还可设置一次读操作所需获得的最小数据长度（字节为单位）。

最后函数返回一个pcap_t结构体指针，供后面的调用使用。

函数主要代码如下：

pcap_t *pcap_open(const char *source,

int snaplen, int flags, int read_timeout,

struct pcap_rmtauth *auth, char *errbuf)

{

char host[PCAP_BUF_SIZE], port[PCAP_BUF_SIZE], name[PCAP_BUF_SIZE];

int type;

pcap_t *fp;

int result;

 

    /*确认source的长度不超过PCAP_BUF_SIZE*/

    if (strlen(source) > PCAP_BUF_SIZE)

    {//错误，函数返回

        …

    }

 

/*分析源的种类，文件，本地主机接口还是远程主机接口）*/

    if (pcap_parsesrcstr(source, &type, host, port, name, errbuf) == -1)

        return NULL;

 

/*依据不同的源类型作不同的处理*/

    switch (type)

    {

        //文件类型，直接调用pcap_open_offline函数处理

        case PCAP_SRC_FILE:

            fp = pcap_open_offline(name, errbuf);

            break;

 

//远程主机接口类型，打开远程主机的适配器，设置几个重要标识的值。

        case PCAP_SRC_IFREMOTE:

            //创建pcap_t结构体

fp= pcap_create(source, errbuf);

            if (fp == NULL)

            {

                return NULL;

            }

 

            //打开一个远程主机的适配器

            result= pcap_opensource_remote(fp, auth);

 

            if (result != 0)

            {

                pcap_close(fp);

                return NULL;

            }

//设置捕获数据包长度、读取超时，

//与pcap_startcapture()需要使用的标识。 

            fp->snapshot= snaplen;

            fp->md.timeout= read_timeout;

            fp->rmt_flags= flags;

            break;

 

//本地主机接口类型，直接调用pcap_open_live()函数，

//然后给NPF驱动设置几个标识。

        case PCAP_SRC_IFLOCAL:

 

            fp = pcap_open_live(name, snaplen, (flags &

PCAP_OPENFLAG_PROMISCUOUS), read_timeout, errbuf);

 

#ifdef WIN32

//这些标识仅被Windows支持

            if (fp != NULL && fp->adapter != NULL)

            {

                /* 如果需要，禁止回环数据包捕获*/

                if(flags & PCAP_OPENFLAG_NOCAPTURE_LOCAL)

                {

                    if(!PacketSetLoopbackBehavior(fp->adapter,

                        NPF_DISABLE_LOOPBACK))

                    { //设置失败，函数返回

                        …

                    }

                }

 

        /*如果需要，设置一次读操作所需获得的最小数据长度（字节为单位）*/

                if(flags & PCAP_OPENFLAG_MAX_RESPONSIVENESS)

                {

                    if(!PacketSetMinToCopy(fp->adapter, 0))

                    {//设置失败，函数返回

…

                    }

                }

            }

#endif //WIN32         

            break;

        default:

            //不支持的源类型

            strcpy(errbuf, "Source type not supported");

            return NULL;

    }

    return fp;

}

其中函数pcap_parsesrcstr()通过解析一个源字符串，来分析源的种类，是文件，本地主机接口还是远程主机接口）并返回分离出来的内容(type,host,port,name)。函数原型如下：

int  pcap_parsesrcstr(const char *source, int *type,

char  *host, char *port, char *name, char *errbuf)

参数source为要分析的源名称。。参数host、port与name分别返回源的主机、端口与名称，针对不同的源类型，该三个参数可能为空值。参数errbuf 保存函数的错误信息。

其中参数type返回源的类型，WinPcap内部用来表示源的类型的各标识如下：

PCAP_SRC_FILE指明为一个文件，用户希望从一个本地文件获得数据包。

PCAP_SRC_IFLOCAL指明为一个本机接口，比如用户希望从一个本地主机接口获得数据包。不采用RPCAP协议。

PCAP_SRC_IFREMOTE指明为一个远程接口，比如用户希望从一个远程主机接口获得数据包。需要采用RPCAP协议。

 

其中函数pcap_opensource_remote()通过打开一个RPCAP连接等方式，打开一个远程主机的适配器。函数原型如下：

int pcap_opensource_remote(pcap_t *fp, struct pcap_rmtauth *auth)

参数fp是一个指向pcap_t结构体的指针，该结构体在前面由pcap_create()函数所创建。参数auth是认证权限。

如果函数成功，返回0值，fp指针能够被用来作为后续调用的参数（如pcap_compile()等等）。如果函数失败，返回-1值，fp->errbuf中存储错误信息。

该函数为一个远程接口完成与pcap_open_live()基本类似的功能。不同的是，此处，在调用pcap_startcapture_remote()之前，捕获线程并不启动。因为，在远程捕获时，我们不能在“open adapter”命令一发送出去就开始捕获数据。考虑远程适配器已经负载很重的时候，如果我们开始一个捕获（其默认情况下，具有一个NULL过滤器），新的网络流量将使网络饱和。

作为替代方案，我们想先"open"适配器，接着仅当在我们准备好开始捕获时发送一个"start capture"的命令。该函数作了这样的工作：它发送一个“open adapter”命令（根据RPCAP协议），但是它不开始捕获。

既然其它的libpcap函数并不一定共享该工作方式，我们不得不做一些并不优雅的事情，使得每件事情都能妥善的解决。

    注意：万一在捕获还没有开始时，就调用了pcap_compile()函数，过滤器将被存储到pcap_t结构体中，稍后它将被发送到另一个主机（当pcap_startcapture_remote()被调用时）。