基于Linux C的socket抓包程序和Package分析 (一)



测试运行平台：CentOS 6.5发行版，内核版本3.11

1. Linux抓包源程序

在OSI七层模型中，网卡工作在物理层和数据链路层的MAC子层。

进行网络通信时，源主机通过socket（或其它）应用程序产生IP报文，经过各个OSI层层封装，数据包以Ethernet帧的形式进入物理层。Ethernet帧包含源主机地址、IP报文、目标地址（IP地址、端口号或映射的6字节MAC地址）和需要传送到目标主机的其它信息。

目标的MAC地址是哪里来的呢？这牵扯到一个ARP协议（介乎于网络层和数据链路层的一个协议）。第一次传送某个目的IP地址的数据的时候，先会发出一个ARP包，其MAC的目标地址是广播地址，里面说到："谁是xxx.xxx.xxx.xxx这个IP地址的主人？"因为是广播包，所有这个局域网的主机都收到了这个ARP请求。收到请求的主机将这个IP地址和自己的相比较，如果不相同就不予理会，如果相同就发出ARP响应包。这个IP地址的主机收到这个ARP请求包后回复的ARP响应里说到："我是这个IP地址的主人"。这个包里面就包括了他的MAC地址。以后的给这个IP地址的帧的目标MAC地址就被确定了。

就这样，以太网帧开始在数据链路层传播。Ethernet帧在链路层基于广播方式传播，即网段内的所有网卡都能观察该帧，但只有一个网卡通