学习笔记7

在这里先草草结束这种笔记的方法，发现实在是在记流水帐，毫无章法，太费时间又难以查询，以后还是要有甄别地挑一些比较有意义的内容来写才是。

##########################################################################
2014-02-08
主要函数接口：
pcap_t *pcap_open_live(char *device, int snalen, int promisc, int to_ms, char *ebuf)
获得用于捕获数据包的数据包捕获描述字。device参数为指定打开的网络设备名。snaplen参数定义捕获数据的最大字节数。promisc参数指定是否将网络接口置于混杂模式。to_ms参数指定超时时间（毫秒）。ebuf参数则仅在pcap_open_live()函数出错返回NULL函数出错返回NULL时用于传递错误消息。

pcap_t *pcap_open_offline(char *fname, char *ebuf)
打开以前保存捕获数据包的文件，用于读取。fname参数指定打开的文件名。该文件中的数据格式与tcpdump和tcpslice兼容。"-"为标准输入。ebuf参数则仅在pcap_open_offline()函数出错返回NULL时用于传递错误消息。

pcap_dumper_t *pcap_dump_open(pcap_t *p, char *fname)
打开以前保存捕获数据包的文件，用于写入。fname参数为"-"时表示标准输出。出错时返回NULL。p参数为调用pcap_open_offline()或pcap_open_live()函数后返回的pcap结构指针。fname参数指定打开的文件名。如果返回NULL，则可调用pcap_geterr()函数获取错误消息。

char *pcap_lookupdev(char *errbuf)
用于返回可被pcap_open_live()或pcap_lookupnet()函数调用的网络设备名指针。如果函数出错，则返回NULL，同时errbuf中存放相关的错误信息。

int pcap_lookupnet(char *device, bpf_u_int32 *netp, bpf_u_int32 *maskp, char *errbuf)
获得指定网络设备的网络号和掩码。netp参数和maskp参数都是bpf_u_int32指针。如果函数出错，则返回-1，同时errbuf中存放相关的错误信息。

int pcap_dispatch(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
捕获并处理数据包。cnt参数指定函数返回前所处理数据包的最大值。cnt=-1表示在一个缓冲区中处理所有的数据包。cnt=0表示处理所有数据包，直到产生以下错误之一：读取到EOF；超时读取。callback参数指定一个带有三个参数的回调函数，这三个参数为：一个从pcap_dispatch()函数传递过来的u_char指针，一个pcap_pkthdr结构的指针，和一个数据包大小的u_char指针。如果成功则返回读取到的字节数。读取到EOF则返回零值。出错则返回-1，此时可调用pcap_perror()或pcap_geterr()函数获取错误信息。

int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user)
功能基本与pcap_dispatch()函数相同，只不过函数在cnt个数据包被处理或出错误时才返回，但读取超时不会返回。而如果为pcap_open_live()函数指定一个非零值的超时设置，然后调用pcap_dispatch()，则当超时发生时pcap_dispatch函数会返回。cnt参数为负值时pcap_loop()函数将始终循环运行，除非出现错误。

void pcap_dump(u_char *user, struct pcap_pkthdr *h, uchar *sp)
向调用pcap_dump_open()函数打开的文件输出一个数据包。该函数可作为pcap_dispatch()函数的回调函数。

int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask)
将str参数指定的字符串编译到过滤程序中。fp是一个bpf_program结构的指针，在pcap_compile()函数中被赋值。optimize参数控制结果代码的优化。netmask参数指定本地网络的网络掩码。

int pcap_setfilter(pcap_t *p, struct bpf_program *fp)
指定一个过滤程序。fp参数是bpf_program结构指针，通常取自于pcap_compile()函数调用。出错时返回-1；成功时返回0。

u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h)
返回指向下一个数据包的u_char指针。

int pcap_datalink(pcap_t *p)
返回数据链路层类型，例如DLT_FN10MB。

int pcap_snapshot(pcap_t *p)
返回pcap_open_live()被调用后的snapshot参数值。

int pcap_is_swapped(pcap_t *p)
返回当前系统主机字节与被打开文件的字节顺序是否不同。

int pcap_major_version(pcap_t *t)
返回写入被打开文件所使用的pcap函数的主版本号。

int pcap_minor_version(pcap_t *t)
返回写入被打开文件所使用的pcap函数的副版本号。

int pcap_stats(pcap_t *p, struct pcap_stat *ps)
向pcap_stat结构赋值。成功时返回0。这些数值包括了从开始捕获数据以来至今共捕获到的数据包统计。如果出错或不支持数据包统计，则返回-1，且可调用pcap_perror()或pcap_geterr()函数来获取错误信息。

FILE *pcap_file(pcap_t *p)
返回被打开文件的文件名。

int pcap_fileno(pcap_t *p)
返回被打开文件的文件描述字号码。

void pcap_perror(pcap_t *p, char *prefix)
在标准输出设备上显示最后一个pcap库错误信息。以prefix参数指定的字符串为信息头。

char *pcap_geterr(pcap_t *p)
返回最后一个pcap库错误信息。

char *pcap_strerror(int error)
如果strerror()函数不可用，则可调用pcap_strerror函数替代。

void pcap_close(pcap_t *p)
关闭p参数相应的文件，并释放资源。

安装ubuntu12.04 LTS libpcap库安装
1、下载库，地址：http://www.tcpdump.org/release/libpcap-1.1.1.tar.gz
2、安装
 #tar -zxvf xxx.tar.gz
 #./configure
 若出现错误
 Your operating system's lex is insufficient to compile libpcap.  flex is a lex replacement that has many advantages, including being able to compile libpcap.  For more information, seehttp://www.gnu.org/software/flex/flex.html .
 则安装一下flex: sudo apt-get install flex
 #sudo make install
 若出现错误
 make: yacc: command not found
 make: *** [grammar.c] Error 127
 则安装一下bison: sudo apt-get install bison
 这一步将生成的库安装到系统默认目录中。此目录为/usr/lib，可通过Mackfile中的prefix进行修改。
 #make install-incl
 将头文件安装至系统默认目录，/usr/include，修改同上。
3、使用
 一般加入
 #include <pcap.h>
 编译时加入 -lpcap

（不同的机器可能会出现不同的情况，我的另一台机器在编译时就出现了下面的问题：/usr/local/lib/libpcap.so: undefined reference to 'pcap_parse'，按网上的方法，安装了libpcap开发包之后就可以顺利编译了，具体的步骤是：sudo apt-get install libpcap-dev; sudo apt-get install libnids-dev; sudo apt-get install libnet1-dev）
4、运行（以下部分转载）
 如果运行时出现error while loading shared libraries: xxx.so.x"错误。
 原因一般有两个, 一个是操作系统里确实没有包含该共享库(lib*.so.*文件)或者共享库版本不对, 遇到这种情况那就去网上下载并安装上即可.
 另外一个原因就是已经安装了该共享库, 但执行需要调用该共享库的程序的时候, 程序按照默认共享库路径找不到该共享库文件.
 所以安装共享库后要注意共享库路径设置问题, 如下:
 1) 如果共享库文件安装到了/lib或/usr/lib目录下, 那么需执行一下ldconfig命令
  ldconfig命令的用途, 主要是在默认搜寻目录(/lib和/usr/lib)以及动态库配置文件/etc/ld.so.conf内所列的目录下, 搜索出可共享的动态链接库(格式如lib*.so*), 进而创建出动态装入程序(ld.so)所需的连接和缓存文件. 缓存文件默认为/etc/ld.so.cache, 此文件保存已排好序的动态链接库名字列表.
 2) 如果共享库文件安装到了/usr/local/lib(很多开源的共享库都会安装到该目录下)或其它"非/lib或/usr/lib"目 录下, 那么在执行ldconfig命令前, 还要把新共享库目录加入到共享库配置文件/etc/ld.so.conf中, 如下:
  # cat /etc/ld.so.conf
  include ld.so.conf.d/*.conf
  # echo "/usr/local/lib" >> /etc/ld.so.conf
  # ldconfig
 3) 如果共享库文件安装到了其它"非/lib或/usr/lib" 目录下,  但是又不想在/etc/ld.so.conf中加路径(或者是没 有权限加路径). 那可以export一个全局变量LD_LIBRARY_PATH, 然后运行程序的时候就会去这个目录中找共 享库.
  LD_LIBRARY_PATH的意思是告诉loader在哪些目录中可以找到共享库. 可以设置多个搜索目录, 这些目录之间用冒号分隔开. 比如安装了一个mysql到/usr/local/mysql目录下, 其中有一大堆库文件在/usr/local/mysql/lib下面, 则可以在.bashrc或.bash_profile或shell里加入以下语句即可:
  export LD_LIBRARY_PATH=/usr/local/mysql/lib:$LD_LIBRARY_PATH   
  一般来讲这只是一种临时的解决方案, 在没有权限或临时需要的时候使用.
 4）如果程序需要的库文件比系统目前存在的村文件版本低，可以做一个链接
  比如：
  error while loading shared libraries: libncurses.so.4: cannot open shared
  object file: No such file or directory
  ls /usr/lib/libncu*
  /usr/lib/libncurses.a   /usr/lib/libncurses.so.5
  /usr/lib/libncurses.so  /usr/lib/libncurses.so.5.3
  可见虽然没有libncurses.so.4，但有libncurses.so.5，是可以向下兼容的
  建一个链接就好了
  ln -s  /usr/lib/libncurses.so.5.3  /usr/lib/libncurses.so.4