用pcap编程抓包

最新推荐文章于 2024-07-26 14:22:46 发布
最新推荐文章于 2024-07-26 14:22:46 发布
阅读量1.6k 收藏 12
点赞数 1
分类专栏： 网络安全 文章标签： 网络 c语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_37411461/article/details/105062468
版权

Programming with pcap

流程

  1. 决定要嗅探的接口
  2. 初始化pcap，告诉pcap需要嗅探的接口，创建会话
  3. 定义嗅探的一些规则
  4. 让pcap进入执行循环
  5. 关闭嗅探会话

设置接口

通过设置参数执行参数指定需要嗅探的接口

#include <stdio.h>
#include <pcap.h>
int main(int argc, char *argv[])
{
	 char *dev = argv[1];//将命令中指定接口的参数赋值给dev
	 printf("Device: %s\n", dev);
	 return(0);
}

通过pcap自动检测出接口

#include <stdio.h>
#include <pcap.h>
int main(int argc, char *argv[])
{
	//dev用来存储接口
    //errbuf用来存放错误信息
    char *dev, errbuf[PCAP_ERRBUF_SIZE];
	
    //通过pcap_lookupdev函数检测接口
    //错误信息存放到errbuf中
    dev = pcap_lookupdev(errbuf);
	if (dev == NULL) {
		fprintf(stderr, "Couldn't find default device: %s\n", errbuf);
		return(2);
	}
	printf("Device: %s\n", dev);
	return(0);
}

设置会话（session handler）

新建一个会话session handler

pcap_t *pcap_open_live(char *device, int snaplen, int promisc, int to_ms,char *ebuf)
参数
  • device指定接口
  • snaplen指定可以被pcap捕获的最大的字节数量
  • promisc为真（1）就会进入混杂模式（promiscuous mode）
    • 混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。
    • 普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其它的包一律丢弃。
  • to_ms指定超时时间，单位是毫秒ms，0表示没有超时时间
  • ebuf用来存储错误信息
返回值

这个函数返回session handler（就是一个会话）

举例子
#include <pcap.h>

pcap_t *handle;//一个会话

handle = pcap_open_live(dev, BUFSIZ, 1, 1000, errbuf);
if (handle == NULL) {
    fprintf(stderr, "Couldn't open device %s: %s\n", dev, errbuf);
    return(2);
}

检测链路层的类型

不同的设备可能支持不同的链路层类型，有时我们需要检测设备支持的类型我们，这时我们就能够使用pcap_datalink函数来获取设备的类型。

if (pcap_datalink(handle) != DLT_EN10MB) {
    fprintf(stderr, "Device %s doesn't provide Ethernet headers - not supported\n", dev);
	return(2);
}

pcap_datalink返回一个特定的志来代表链路层的类型，具体到这里看;
这里用以太网为例:

链路类型数值对应的名称描述
LINKTYPE_ETHERNET1DLT_EN10MBIEEE 802.3 Ethernet (10Mb, 100Mb, 1000Mb, and up); the 10MB in the DLT_ name is historical.

流量过滤

pcap设置的机制是：

  1. 将过滤规则编译成一个过滤器filter
  2. 将过滤器filter应用到会话session handler上

编译过滤器

int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask)
参数
  • p，指定会话
  • fp，存储编译完成的过滤器（filter）
  • str，指定表达式（过滤规则）
  • optimize，用来指定表达式是否需要被‘optimized’
  • netmask，指定应用过滤器的网络的子网掩码
返回值
  • -1，表示失败
  • 其他，表示成功

将过滤器应用到相应的会话上

int pcap_setfilter(pcap_t *p, struct bpf_program *fp)
参数
  • p，指定会话
  • fp，指定过滤器filter
返回值
  • -1，表示失败
  • 其他，表示成功

探寻一个ipv4的地址和子网掩码

使用pcap_lookupnet函数探寻一个ipv4的地址和子网掩码，这一步是必须的，因为过滤器编译的时候需要子网掩码。

if (pcap_lookupnet(dev, &net, &mask, errbuf) == -1) {
    fprintf(stderr, "Can't get netmask for device %s\n", dev);
    net = 0;
    mask = 0;
}
参数
  • dev，指定设备名
  • net，返回一个ip地址
  • mask，返回对应的子网掩码
  • errbuf，用来存储错误信息
返回值
  • -1，表示失败
  • 其他，表示成功

举个例子

下面的例子是在设备rl0上用混杂模式嗅探23端口

#include <pcap.h>

pcap_t *handle;		/* Session handle */
char dev[] = "rl0";		/* Device to sniff on */
char errbuf[PCAP_ERRBUF_SIZE];	/* Error string */
struct bpf_program fp;		/* The compiled filter expression */
char filter_exp[] = "port 23";	/* The filter expression */
bpf_u_int32 mask;		/* The netmask of our sniffing device */
bpf_u_int32 net;		/* The IP of our sniffing device */

if (pcap_lookupnet(dev, &net, &mask, errbuf) == -1) {
    fprintf(stderr, "Can't get netmask for device %s\n", dev);
    net = 0;
    mask = 0;
}

handle = pcap_open_live(dev, BUFSIZ, 1, 1000, errbuf);
if (handle == NULL) {
    fprintf(stderr, "Couldn't open device %s: %s\n", dev, errbuf);
	return(2);
}
if (pcap_compile(handle, &fp, filter_exp, 0, net) == -1) {
    fprintf(stderr, "Couldn't parse filter %s: %s\n", filter_exp, pcap_geterr(handle));
    return(2);
}
if (pcap_setfilter(handle, &fp) == -1) {	 
    fprintf(stderr, "Couldn't install filter %s: %s\n", filter_exp, pcap_gete(handle));	 
    return(2);
}

抓包

一次抓一个包

u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h)
参数
  • p，指定会话
  • h，存放捕获的包的信息，包括在线抓包的长度和离线包的长度，结构体代码如下：
struct pcap_pkthdr {
	struct timeval ts; /* time stamp */
	bpf_u_int32 caplen; /* length of portion present 在线抓包的长度*/
	bpf_u_int32 len; /* length this packet (off wire) 离线包的长度*/
};
/*
这里解释一下离线包
离线包 是将包括 HTML、Javascript、CSS 等页面内静态资源打包到一个压缩包内。您预先下载该离线包到本地，然后通过客户端打开，直接从本地加载离线包，从而最大程度地摆脱网络环境对 H5 页面的影响。
*/
返回

返回一个u_char指针指向所捕获的包

举例
#include <pcap.h>
#include <stdio.h>

int main(int argc, char *argv[])
{
    pcap_t *handle;                /* Session handle */
    char *dev;                     /* The device to sniff on */
    char errbuf[PCAP_ERRBUF_SIZE]; /* Error string */
    struct bpf_program fp;         /* The compiled filter */
    char filter_exp[] = "port 23"; /* The filter expression */
    bpf_u_int32 mask;              /* Our netmask */
    bpf_u_int32 net;               /* Our IP */
    struct pcap_pkthdr header;     /* The header that pcap gives us */
    const u_char *packet;          /* The actual packet */

    /* Define the device */
    dev = pcap_lookupdev(errbuf);
    if (dev == NULL)
    {
        fprintf(stderr, "Couldn't find default device: %s\n", errbuf);
        return (2);
    }
    /* Find the properties for the device */
    if (pcap_lookupnet(dev, &net, &mask, errbuf) == -1)
    {
        fprintf(stderr, "Couldn't get netmask for device %s: %s\n", dev, errbuf);
        net = 0;
        mask = 0;
    }
    /* Open the session in promiscuous mode */
    handle = pcap_open_live(dev, BUFSIZ, 1, 1000, errbuf);
    if (handle == NULL)
    {
        fprintf(stderr, "Couldn't open device %s: %s\n", dev, errbuf);
        return (2);
    }
    /* Compile and apply the filter */
    if (pcap_compile(handle, &fp, filter_exp, 0, net) == -1)
    {
        fprintf(stderr, "Couldn't parse filter %s: %s\n", filter_exp, pcap_geterr(handle));
        return (2);
    }
    if (pcap_setfilter(handle, &fp) == -1)
    {
        fprintf(stderr, "Couldn't install filter %s: %s\n", filter_exp, pcap_geterr(handle));
        return (2);
    }
    /* Grab a packet */
    packet = pcap_next(handle, &header);
    /* Print its length */
    printf("Jacked a packet with length of [%d]\n", header.len);
    /* And close the session */
    pcap_close(handle);
    return (0);
}

循环抓n个包

pcap用pcap_loop和pcap_dispatch两个函数来进行循环抓包，这两个函数在抓到包时会启动指定的回掉函数（callback function）进行处理。

pcap_loop
int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
参数
  • p，指定会话
  • cnt，指定需要抓包的数量
  • callback，指定回掉函数，可以是NULL
  • user，用来存放抓的包
callback函数的形式

如下就是一个回掉函数callback function：

void got_packet(u_char *args, const struct pcap_pkthdr *header,const u_char *packet);

callback function对应参数：

  • args，对应pcap_loop的最后一个参数，pcap_loop的将最后一个参数user传给它
  • header，指定嗅探的时间间隔，在线抓包的长度，离线包的长度，具体如下：
struct pcap_pkthdr {
	struct timeval ts; /* time stamp */
	bpf_u_int32 caplen; /* length of portion present */
	bpf_u_int32 len; /* length this packet (off wire) */
};
  • packet，它指向整个包的头一个字节（用这个指针可以轻松的找到一个包协议对应的相应的内容）
用pcap_loop实现对tcp/ip包的抓取

点击这里下载实例文件sniff.c

xkaneiki
关注
  • 1
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sharppcap,C#下的pcap抓包
03-11 2851
在做大学最后的毕业设计了,无线局域网络远程安全监控策略那么抓包是这个系统设计的基础以前一直都是知道用winpcap的,现在网上搜了一下,有用C#封装好了的,很好用下面是其中的几个用法这个类库作者的主页:http://www.tamirgal.com/home/default.aspxPcapOpen()有下面几个方法 PcapOpen() PcapOpen(bool
java抓包后对pcap文件解析示例
09-04
在Java编程环境中，抓包（Packet Capture）通常用于网络数据包分析和监控。Pcap文件是一种常见的抓包格式，它包含在网络中捕获的数据包信息。本示例将详细介绍如何使用Java解析pcap文件。 首先，我们需要理解Pcap...
winpcap抓包并进行协议解析
07-15
这是我本学期的网络编程课程设计，是基于winpcap的抓包程序，用MFC实现。 本程序基于winpcap，可以实现抓包类型的选择，如ARP，IP，TCP，UDP，ICMP。一般网上的抓包程序都是利用原始套接字，而基于原始套接字的抓包程序是无法抓到网络层一下的包的，如ARP包。本程序实现的任意类型的抓包。 资源中含有1.程序源码 2.winpcap安装程序3.课程设计文档4.VC++设置说明。内容非常丰富。 本程序界面清晰实用，一目了然，容易上手。把抓包函数放到线程中，避免的主线程无响应。
pcap_dispatch与pcap_loop使用区别
wangzhicheng2013的专栏
10-17 4284
1.pcap_dispatch和pcap_loop使用回调函数结构都一样： static void process_packet(u_char *user, struct pcap_pkthdr *pHeadr, u_char *pkt_data) { // 如果process_packet定义在类中，那么必须以static修饰 } 2.pcap_dispatch和pcap_loop函数参数都一样： int pkts_read = -1; // 让libpcap一直抓包，如果pkts
python 实现指定网卡抓过滤目的ip和端口之后的udp包 ，存为pcap文件，支持开始抓包和指定时间自动停止抓包
zengliguang的专栏
05-29 287
秒或用户按下Ctrl+C。当达到指定的抓包时间时，函数会自动停止抓包并打印一条消息。要实现一个在指定时间后自动停止抓包的版本，我们可以使用。函数来计算开始和结束时间。函数现在使用一个循环来持续抓包，直到达到指定的。
Libpcap库编程指南--数据包捕获
脱离了低级趣味的流氓
09-11 3988
简介Libpcap是一个运行在类UNIX系统下的网络数据包捕获函数库，可以捕获网卡上的数据，也可以发送数据包，相应的Windows版本为WinPcap。
pcap编程深入解析
qdsuiyuan1984的专栏
03-09 1405
首先，该文章不限定OS不单针对Winpcap或者libpcap，对于Winpcap的特殊扩展使用了PS标示。        我以前使用过Winpcap，但并没有对pcap开发进行过深入解析。希望这篇文章可以深入浅出的讲清楚这个问题。Pcap是什么？它是个监视器，或者发生器，它可以监视，也可以发生，但它不能拦截。它可以在网络上增加一些消息，但不能阻止已经存在的消息。        获取设备列表
tcpdump原理之利用libpcap实现抓包
飞翔de刺猬
04-19 1万+
tcpdump原理之利用libpcap实现 (转载请标明出处，请勿用于商业用途) http://blog.csdn.net/linux_embedded/article/details/8826429 Linux 下赫赫有名的抓吧工具tcpdump，想必使用过的人都十分的清楚。但是，其实现的原理却很少人提及过，今天就tcpdump的实现原理做简单的介绍。 tcpdump 首先利
基于Winpcap编程实现抓包实验.doc
12-02
基于Winpcap编程实现抓包实验 本文主要介绍基于Winpcap编程实现抓包实验的设计目标、实现步骤、系统流程图和所需函数等。Winpcap是Windows平台上的一种网络嗅探器，通过编程可以实现对网络数据的捕获和分析。 一、...
pcap 抓包源码
11-15
标题中的“pcap抓包源码”指的是使用pcap库进行网络数据包捕获的原始代码。pcap是一个跨平台的开源库，主要用于在网络层进行数据包捕获和分析，广泛应用于网络安全、网络监控和故障排查等领域。在这个压缩包文件中，...
python 抓包保存为pcap文件并解析的实例
01-20
在Python编程环境中，网络数据包抓包和解析是网络分析中的关键步骤，通常涉及网络监控、安全检测或故障排查。本实例将详细讲解如何利用Scapy库来抓包并保存为pcap文件，以及如何解析这些pcap文件。 首先，Scapy是一...
Root手机pcap抓包
02-25
总之，Root手机pcap抓包是Android开发和网络调试中的一个高级技能，涉及了系统权限、网络编程、数据解析等多个领域。通过理解和实践这些技术，开发者能够更好地诊断和优化他们的应用程序，同时也能提升网络安全意识...
工作记录-pcap_dispatch函数
程序狗的成长之路
06-10 6991
1.函数名称：int pcap_dispatch(pcap_t *p, int cnt,pcap_handler callback, u_char *user) 函数功能：捕获并处理数据包。 参数说明：cnt 参数指定函数返回前所处理数据包的最大值。cnt=-1表示在一个缓冲区中处理所有的数据包。cnt=0表示处理所有数据包，直到产生以下错误之一：读取 到EOF；超时读取。callbac
PACP学习笔记三：PCAP方法说明
山鬼谣的专栏
06-30 6373
描述 用于创建数据包捕获句柄()以查看网络上的数据包。 source 是一个字符串，指定要打开的网络设备；在具有 2.2 或更高版本内核的 Linux 系统上，可以使用“any”或 NULL 的源参数来捕获来自所有接口的数据包。 返回的句柄必须先用 激活，然后才能用它捕获数据包；捕获的选项，例如混杂模式，可以在激活之前在句柄上设置。 成功时返回 pcap_t *，失败时返回 NULL。如果返回 NULL，则 errbuf 会填充适当的错误消息。假设 errbuf 至少能够保存 PCAP_ERRBUF_S
npcap 如何获得链路层类型
weixin_35756130的博客
01-03 184
要获得链路层类型，首先需要使用 Npcap 的 API。 你可以使用 pcap_datalink() 函数来获得链路层类型。它接受一个 pcap_t 指针作为参数，并返回一个整数，表示链路层类型。 例如： int link_type = pcap_datalink(handle); 返回的整数可以与预定义的常量进行比较，以确定链路层类型。例如，如果返回 DLT_EN10MB，则链路层类型为以太网...
libpcap库函数介绍(附源代码）
热门推荐
IT老兵
09-04 2万+
libpcap的英文意思是 Packet Capture library，即数据包捕获函数库。该库提供的C函数接口可用于需要捕获经过网络接口（只要经过该接口，目标地址不一定为本机）数据包的系统开发上。由 Berkeley大学Lawrence Berkeley National Laboratory研究院的Van Jacobson、Craig Leres和Steven McCanne编写。该函数库支
pcap库的使用
DoVoid的博客
08-24 5324
libpcap的英文意思是 Packet Capture library，即数据包捕获函数库。该库提供的C函数接口可用于需要捕获经过网络接口（只要经过该接口，目标地址不一定为本机）数据包的系统开发上。由 Berkeley大学Lawrence Berkeley National Laboratory研究院的Van Jacobson、Craig Leres和Steven McCanne编写。该函数库支
pcap入门教程
weixin_40021744的博客
08-14 3719
第一件事就是需要了解 pcap 应用的格式 1.发现哪个网卡需要我们去sniff 嗅探 linux下也许是eth0 BSD下可能是 xl1 我们可以将设备定义为string然后打开该设备，或者我们可以让pcap自己查找然后提供我们网卡的名称 2.初始化pcap ，实际上就是我们告诉pcap 去嗅探哪个网卡设备。如果我们想的话，可以同时嗅探多个网卡设备。 我们使用文件描述符去区分这些网卡，就像我们打...
Linux网络工具“瑞士军刀“集合
最新发布
分享不一样的技术，与你一起共同成长!
07-26 305
下面结合之前的一些使用经验为大家介绍一下一些经典应用场景下，这个网络命令工具如何使用的。例如怎么查看当前服务器监听哪些端口、连接目标主机端口情况如何?平常我们在进行Linux服务器相关运维的时候，总会遇到一些网络相关的问题。我们可以借助这些小巧、功能强悍的工具帮助我们排查问题、解决问题...
Winpcap编程实现网络数据抓包实验
"XX电力学院计算机网络安全课程实验报告，基于Winpcap的网络数据抓包与分析" 在本文档中，我们探讨了如何基于Winpcap编程实现网络数据的捕获和分析。Winpcap是一个开源的包捕获库，主要用于在网络监控、网络安全和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值