函数说明：
Net：：Pcap的功能由winpcap提供.
Net::Pcap::findalldevs(\$err [,\%description])
返回一个能被函数Net::Pcap::open_live()利用的所有网络设备的名字的列表，这些名字分别是%description中的键，如果提供了可选参数－散列%description，则它存放所有对应与前面的网络设备的描述信息；如果发生错误，则$err中会存放相应的错误消息。
Net::Pcap::open_live($dev, $snaplen, $promisc, $to_ms, \$err)
该函数返回一个用来在网络上捕获包的描述符，$dev指定从哪个网络接口上捕获包，$snaplen设定捕获包的最大字节数，$promisc指定是否将该网络接口设置为混合模式，$to_ms设定以毫秒度量的读超时时间，这是每次读取的时间阀值，如果有错误发生，则不会定义这个描述符，同时将这个错误信息写入参数$err中。
Net::Pcap::sendpacket($pcap_t, $packet)
该函数用来发送数据包，$pcap_t是指定通过哪个网络接口来发送数据包的设备描述符，$packet是要发送的数据，这个数据中不需要包含MAC CRC ,因为网络接口的驱动会自动完成计算并添加。
Net::Pcap::close($pcap_t)
关闭描述符$pcap_t所对应的的网络接口。
Net::Pcap::next($pcap_t, \%hdr)
从描述符$pcap_t关联的的接口上抓取包，这些包的一些信息被放到hash表％hdr中。如果没有获取包，则返回值和头部都会被设成无定义。
％hdr内容：
len--
报文的总长度
caplen--
包数据的实际长度
tv_sec
秒级别的时间戳值
tv_usec
毫秒级别的时间戳值
Net::Pcap::compile($pcap_t, \$filter_t, $filter_str, $optimize, $netmask) $pcap_t 关联一个网络接口，$filter_str存放过滤字段描述，函数执行后把编译的结果放到\$filter_t中，如果$optimize为真，则对$filter_str进行优化处理。
Net::Pcap::setfilter($pcap_t, $filter_t);
将过滤规则$filter_t应用到$pcap_t上去。
Net::Pcap::stats($pcap, \%stats)
该函数返回指定接口上的报文捕获的信息，$pcap关联设备，%stats为一散列，存放报文捕获信息，它的结构如下：
ps_recv
由抓包软件捕获的报文数量，但是报文较多是会不准
ps_drop
由抓包软件丢弃的报文的数量
ps_ifdrop
由网络接口丢弃的报文的数量
常用过滤器写法：
- 过滤ip，arp…等在帧类型字段有对应值的报文
ether proto \ip(由于ip是关键字，前面要加”\”,“\ip”也可以用相应的协议对应的数值来代替)
- 过滤特定ip地址的报文
\ip src a.b.c.d
\ip dst a.b.c.d
3.过滤封装在ip包内的特定报文，如icmp,igmp等
\ip proto 1 (过滤icmp,也可直接用关键字 \icmp)
4.过滤特定的端口号,如
Port port_num 双向过滤
Src port port_num 只过滤源端口号匹配的报文
dst port port_num 只过滤目的端口号匹配的报文
混合使用：
可以通过and ,or,not来合理组合过滤字段，如过滤源ip为a.b.c.d,目的ip为e.f.g.h的报文
\ip src a.b.c.d and dst e.f.g.h
Packet Decoders
这是介绍几个简单的协议解码函数，是参考NetPacket模块中的相关函数修改的。如Windows下通常使用winpcap库抓包，使用模块是
Net::Pcap和Net::PcapUtils，其中Net::Pcap是Perl的winpcap库接口，Net::PcapUtils里映射了一些Net::Pcap中常用的函数，
提供了更方便些的接口。写协议分析程序一般步骤是：
1、打开设备；
2、循环抓包，对每个包进行逐层解码，在每层解码后进行相关字段的过滤；
3、最后将满足过滤条件的包输出；
4、加上对中断信号的处理，各种统计Counter等其他特性；
举例来说，打开Eth0设备，循环抓包，最初获得eth frame，用eth_decode函数处理，获得帧的src_mac、dest_mac、type和data字段，
其中data字段里是上层协议数据。然后根据type字段指示的上层协议类型，对data字段的值应用相应的解码函数，如type是“0x0800”，
则表明这个以太帧里面是IP包－对应就是以太帧的data字段，用ip_decode函数处理这个字段，继而获得这个IP包中的各个字段，
同理它的data字段就是IP层的上层协议包的内容，又IP包中的proto字段指示四层协议的类型，如IP的proto字段是6，
则表明四层是TCP协议，那么就对IP包data字段应用tcp_decode函数进行解析，依此类推。
综上，每层协议头中必定定义了某个字段（如eth.type,ip.proto,ppp.code, etc.）指示如何解析该层携带的上层数据包（data）。
具体解码做法就是参考协议的RFC文档，使用unpack逐层解码、计算生成每层相关字段。当编写某个协议的解码函数时，
可以参考下面几个decode函数，其中关键是unpack的使用，因为是解析网络中的数据包，当然使用网络字节顺序来unpack，
常用下面几个字符：
N - 32bits 网络字节顺序
n - 16bits 网络字节顺序
C - 8bits 网络字节顺序
a - 任意二进制
对于非整字节的字段（如4bits和13bits等），按C或n取得整字节后移位获得，如IP Header的结构是：
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Version| IHL |Type of Service| Total Length | <-CCn
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Identification |Flags| Fragment Offset | <-nn
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Time to Live | Protocol | Header Checksum | <-CCn
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Source Address | <-N
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Destination Address | <-N
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Options | Padding | <-a*
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Example Internet Datagram Header
参考rfc791.txt，对应的解码函数可以写成：
sub ip_decode {
my $packet = shift;
my $ippkt_ref = {};
my @fields = qw/tmp tos len id foffset ttl proto cksum src_ip dest_ip options/;
my @values = unpack("CCnnnCCnNNa*" , $packet);
map { $ippkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
#Extract bit fields
$ippkt_ref->{ver} = ($ippkt_ref->{tmp} & 0xf0) >> 4;
$ippkt_ref->{hlen} = $ippkt_ref->{tmp} & 0x0f;
$ippkt_ref->{flags} = $ippkt_ref->{foffset} >> 13;
$ippkt_ref->{foffset} = ($ippkt_ref->{foffset} & 0x1fff) << 3;
#Decode variable length header options and remaining data in field
#Option length is number of 32 bits words
my $olen = ($ippkt_ref->{hlen} - 5) ? ($ippkt_ref->{hlen} - 5) * 4 : 0;
($ippkt_ref->{options}, $ippkt_ref->{data}) = unpack("a".$olen."a*", $ippkt_ref->{options});
#Convert 32 bit ip addresses to dotted quad notation
$ippkt_ref->{src_ip} = to_dotquad($ippkt_ref->{src_ip});
$ippkt_ref->{dest_ip} = to_dotquad($ippkt_ref->{dest_ip});
undef $ippkt_ref->{tmp};
return $ippkt_ref;
}
--Packet Decoders eXamples--
#Packets decoders
sub eth_decode {
my $packet = shift;
my $ethframe_ref = {};
my @fields = qw/sm_lo sm_hi dm_lo dm_hi type data/;
my @values = unpack("NnNnna*", $packet);
map { $ethframe_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
#Convert MAC addresses to hex string to avoid representation problems
$ethframe_ref->{src_mac} = sprintf("%08x%04x", $ethframe_ref->{sm_hi}, $ethframe_ref->{sm_lo});
$ethframe_ref->{dest_mac}= sprintf("%08x%04x", $ethframe_ref->{dm_hi}, $ethframe_ref->{dm_lo});
undef $ethframe_ref->{$_} foreach(qw/sm_lo sm_hi dm_lo dm_hi/);
return $ethframe_ref;
}
sub arp_decode {
my $packet = shift;
my $arppkt_ref = {};
my @fields = qw/htype proto hlen plen opcode sha spa tha tpa data/;
my @values = (unpack("nnCCnH12H8H12H8", $packet), undef);
map { $arppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
return $arppkt_ref;
}
sub ppp_decode {
my $packet = shift;
my $ppppkt_ref = {};
my @fields = qw/code id length data/;
my @values = unpack("ccna*", $packet);
map { $ppppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
if($ppppkt_ref->{code} =~ m/[1-4]/) {
$ppppkt_ref->{type} = unpack("c", $ppppkt_ref->{data});
my @fields;
@fields = qw/type length MRU data/ if($ppppkt_ref->{type} == PPP_TYPE_MRU);
@fields = qw/type length auth data/ if($ppppkt_ref->{type} == PPP_TYPE_AUTHPROTO);
@fields = qw/type length quality data/ if($ppppkt_ref->{type} == PPP_TYPE_QUALPROTO);
@fields = qw/type length magic data/ if($ppppkt_ref->{type} == PPP_TYPE_MAGICNUM);
my @values = unpack("ccna*", $ppppkt_ref->{data});
map { $ppppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
}
if($ppppkt_ref->{code} == PPP_CODE_ECHOREQ or $ppppkt_ref->{code} == PPP_CODE_ECHOREPLY) {
my @fields = qw/magic data/;
my @values = unpack("Na*", $ppppkt_ref->{data});
map { $ppppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
}
return $ppppkt_ref;
}
sub ip_decode {
my $packet = shift;
my $ippkt_ref = {};
my @fields = qw/tmp tos len id foffset ttl proto cksum src_ip dest_ip options/;
my @values = unpack("CCnnnCCnNNa*" , $packet);
map { $ippkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
#Extract bit fields
$ippkt_ref->{ver} = ($ippkt_ref->{tmp} & 0xf0) >> 4;
$ippkt_ref->{hlen} = $ippkt_ref->{tmp} & 0x0f;
$ippkt_ref->{flags} = $ippkt_ref->{foffset} >> 13;
$ippkt_ref->{foffset} = ($ippkt_ref->{foffset} & 0x1fff) << 3;
#Decode variable length header options and remaining data in field
#Option length is number of 32 bits words
my $olen = ($ippkt_ref->{hlen} - 5) ? ($ippkt_ref->{hlen} - 5) * 4 : 0;
($ippkt_ref->{options}, $ippkt_ref->{data}) = unpack("a".$olen."a*", $ippkt_ref->{options});
#Convert 32 bit ip addresses to dotted quad notation
$ippkt_ref->{src_ip} = to_dotquad($ippkt_ref->{src_ip});
$ippkt_ref->{dest_ip} = to_dotquad($ippkt_ref->{dest_ip});
undef $ippkt_ref->{tmp};
return $ippkt_ref;
}
sub icmp_decode {
my $packet = shift;
my $icmppkt_ref = {};
my @fields = qw/type code cksum data/;
my @values = unpack("CCna*", $packet);
map { $icmppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
return $icmppkt_ref;
}
sub tcp_decode {
my $packet = shift;
my $tcppkt_ref = {};
my @fields = qw/src_port dest_port seqnum acknum tmp winsize cksum urg options/;
my @values = unpack("nnNNnnnna*", $packet);
map { $tcppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
#Extract flags
$tcppkt_ref->{hlen} = ($tcppkt_ref->{tmp} & 0xf000) >> 12;
$tcppkt_ref->{reserved} = ($tcppkt_ref->{tmp} & 0x0f00) >> 8;
$tcppkt_ref->{flags} = $tcppkt_ref->{tmp} & 0x00ff;
#Decode variable length header and remaining data
my $olen = ($tcppkt_ref->{hlen} - 5) ? ($tcppkt_ref->{hlen} - 5) * 4 : 0;
($tcppkt_ref->{options}, $tcppkt_ref->{data}) = unpack("a".$olen."a*", $tcppkt_ref->{options});
undef $tcppkt_ref->{tmp};
return $tcppkt_ref;
}
sub udp_decode {
my $packet = shift;
my $udppkt_ref = {};
my @fields = qw/src_port dest_port len cksum data/;
my @values = unpack("nnnna*", $packet);
map { $udppkt_ref->{$fields[$_]} = $values[$_] } (0..$#fields);
return $udppkt_ref;
}
---
#who"s r00t?
my $r00t = "fat root";
扫一扫
5368
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
