利用libpcap库采集网口数据

最近因为项目需要采集网口数据，学习了libpcap库的数据采集，故作一个终结。

我将libpcap函数库中的函数分为了三部分：获取信息类、获取数据、扩展类。

一、获取信息类

这一部分的函数主要用于获取各种信息：如设备名，pcap_t 结构，设备的网络号和掩码等（这类函数还是比较多介绍几个比较常用的）。

获取设备名：

char *pcap_lookupdev(char *errbuf);  用于返回可被pcap_open_live()或pcap_lookupnet()函数调用的网络设备名指针。

参数说明：如果函数出错，则返回NULL，同时errbuf中存放相关的错误消息。(这个函数可以不用设备名可以直接复制)

获取pcap_t结构：

pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms, char *ebuf)；打开指定设备，返回pcap_t的指针，用于后面函数访问。

device 参数为指定打开的网络设备名。snaplen参数定义捕获数据的最大字节数。promisc指定是否将网络接口置于混杂模式。to_ms参数指*定超时时 间（毫秒）。ebuf参数则仅在pcap_open_live()函数出错返回NULL时用于传递错误消息。

获取网络号和掩码：

int pcap_lookupnet(char *device, bpf_u_int32 *netp,bpf_u_int32 *maskp, char *errbuf)；获取指定设备的网络号和掩码。

netp参数和maskp参数都是bpf_u_int32指针。如果函数出错，则返回-1，同时errbuf中存放相关的错误消息。

二、获取数据类

这一部分函数主要用于抓包，获取数据。主要有三个函数：

int pcap_dispatch(pcap_t *p, int cnt,pcap_handler callback, u_char *user)

cnt 参数指定函数返回前所处理数据包的最大值。cnt=-1表示在一个缓冲区中处理所有的数据包。cnt=0表示处理所有数据包，直到产生以下错误之一：读取 到EOF；超时读取。callback参数指定一个带有三个参数的回调函数，这三个参数为：一个从pcap_dispatch()函数传递过来的 u_char指针，一个pcap_pkthdr结构的指针，和一个数据包大小的u_char指针。如果成功则返回读取到的字节数。读取到EOF时则返回零 值。出错时则返回-1，此时可调用pcap_perror()或pcap_geterr()函数获取错误消息。

int pcap_loop(pcap_t *p, int cnt,pcap_handler callback, u_char *user)

功能基本与pcap_dispatch()函数相同，只不过此函数在cnt个数据包被处理或出现错误时才返回，但读取超时不会返回。而如果为 pcap_open_live()函数指定了一个非零值的超时设置，然后调用pcap_dispatch()函数，则当超时发生时 pcap_dispatch()函数会返回。cnt参数为负值时pcap_loop()函数将始终循环运行，除非出现错误。

pcap_next_ex(pcap_t* p,struct pcap_pkthdr** pkt_header,const u_char** pkt_data)

功能: 从interface或离线记录文件获取一个报文

参数: p: 已打开的捕捉实例的描述符，pkt_header: 报文头，pkt_data: 报文内容
返回值: 1: 成功

0: 获取报文超时

-1: 发生错误

-2: 获取到离线记录文件的最后一个报文

三、扩展类（包括涉及数据读取存储文本函数、过滤函数）

pcap_t *pcap_open_offline(char *fname, char *ebuf)

打开以前保存捕获数据包的文件，用于读取

fname参数指定打开的文件名。该文件中的数据格式与tcpdump和tcpslice兼容。”-“为标准输入。ebuf参数则仅在pcap_open_offline()函数出错返回NULL时用于传递错误消息

pcap_dumper_t *pcap_dump_open(pcap_t *p, char *fname)

打开用于保存捕获数据包的文件，用于写入

fname 参数为”-“时表示标准输出。出错时返回NULL。p参数为调用pcap_open_offline()或pcap_open_live()函数后返回的 pcap结构指针。fname参数指定打开的文件名。如果返回NULL，则可调用pcap_geterr()函数获取错误消 息。

pcap_dumper_t *pcap_dump_open(pcap_t *p, char *fname)
打开用于保存捕获数据包的文件，用于写入。
fname 参数为”-“时表示标准输出。出错时返回NULL。p参数为调用pcap_open_offline()或pcap_open_live()函数后返回的 pcap结构指针。fname参数指定打开的文件名。如果返回NULL，则可调用pcap_geterr()函数获取错误消 息。

int pcap_compile(pcap_t *p, struct bpf_program *fp,char *str, int optimize, bpf_u_int32 netmask)
将str参数指定的字符串编译到过滤程序中。
fp是一个bpf_program结构的指针，在pcap_compile()函数中被赋值。optimize参数控制结果代码的优化。netmask参数指定本地网络的网络掩码。int pcap_setfilter(pcap_t *p, struct bpf_program *fp)
指定一个过滤程序。
fp参数是bpf_program结构指针，通常取自pcap_compile()函数调用。出错时返回-1；成功时返回0。

代码1：

#include <stdio.h>
#include <pcap.h>
#include <arpa/inet.h>

#define PCAP_BUF_SIZE 2084
#define ERR_BUF_SIZE  2000

int main()
{
    char *dev;
    char errbuf[ERR_BUF_SIZE];
    
    dev = pcap_lookupdev(errbuf);
    if(dev == NULL)
    {
        printf("pcap_lookupdev() error: %s\n",dev);
        return -1;
    }
    printf("dev :%s\n",dev);
    
    pcap_t *p;
    p = pcap_open_live(dev,PCAP_BUF_SIZE,1,0,errbuf);
    if(p == NULL)
    {
        printf("pcap_open_live() error: %s\n",errbuf);
        return -1;
    }
    
    struct bpf_program fp;
    bpf_u_int32 localip,netmask;
    /*pcap_lookupnet(dev,&localip,&netmask,errbuf);
    
    pcap_compile(p,&fp,"",1,netmask);
    if(pcap_setfilter(p,&fp) == -1)
        return -1;
    */
    int res = 0;
    struct pcap_pkthdr *ph;
    u_char* pk_data;
    int inum = 0;
    while((res = pcap_next_ex(p,&ph,(const u_char**)&pk_data)) >= 0)
    {
        if(res == 0)
            continue;
            
        printf("packet %d\n",inum++);
        printf("packet len :%d\n",ph->len);
    }
    
}

代码2：

#include <stdio.h>
#include <pcap.h>
#include <arpa/inet.h>

#define PCAP_BUF_SIZE 2084
#define ERR_BUF_SIZE  2000

int main()
{
char *dev;
char errbuf[ERR_BUF_SIZE];
char *file = "2.pcap";

dev = pcap_lookupdev(errbuf);

if(dev == NULL)
    {
        printf("pcap_lookupdev() error:%s\n",dev);
        return -1;
    }
else
    printf("dev :%s\n",dev);

pcap_t *p = NULL;

p = pcap_open_live(dev,RECV_BUF_SIZE,1,0,errbuf);

if(p == NULL)
{
    printf("pcap_open_live() error:%s\n",errbuf);
    return -1;
}

pcap_dumper_t *pfile;
pfile = pcap_dump_open(p,file);

if(pfile == NULL)
{
    printf("pcap_dump_open() error!\n");
    return -1;
}

if(pcap_loop(p,0,pcap_dump,(u_char*)pfile) < -1)
    printf("pcap_loop() error!\n");

return 0;

}