Libpcap开发库的使用（最全指南！）（包含实操）

Libpcap开发库的使用

1.Libpcap简介

Libpcap是Packet Capture Libray的英文缩写，即数据包捕获函数库。该库提供的C函数接口用于捕捉经过指定网络接口的数据包，该接口应该是被设为混杂模式。这个在原始套接子中有提到。

著名的软件TCPDUMP就是在Libpcap的基础上开发而成的。Libpcap提供的接口函数实现和封装了与数据包截获有关的过程。

Libpcap提供了用户级别的网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap可以在绝大多数Linux平台上运行。在Windows平台上，也有一款与其功能类似的开发库：Wincap。

它的工作在上层应用程序与网络接口之间。

主要功能：

• 数据包捕获：捕获流经网卡的原始数据包
• 自定义数据包发送：构造任何格式的原始数据包
• 流量采集与统计：采集网络中的流量信息
• 规则过滤：提供自带规则过滤功能，按需要选择过滤规则

它的应用范围非常广泛，典型应用包括玩罗协议分析器，网络流量发生器，网络入侵检测系统，网络扫描器和其他安全工具。

2.Libpcap的安装

打开Linux终端：

sudo apt-get install libpcap-dev

需要包含的头文件：

#include <pcap.h

编译的时候需要加：

-lpcap

利用libpcap函数库开发应用程序的基本步骤：

1. 打开网络设备
2. 设置过滤规则（可选）
3. 捕获数据
4. 关闭网络设备

常用函数：

请注意，第四个部分对函数使用有更详细的注释！

pcap_lookupdev( )
（可选） 查看设备名，返回网卡名

pcap_t *pcap_open_live(const char *device,int snaplen,int promisc,int to_ms,char *ebuf)
功能：
	打开一个用于捕获数据的网络接口
返回值：
	返回一个Libpcap句柄
参数：
	device：网络接口的名字
	snaplen：捕获数据包的长度
	promise：1代表混杂模式,其它非混杂模式
	to_ms：等待时间
	ebuf：存储错误信息

void pcap_close(pcap_t *p)
功能：
	关闭Libpcap操作，并销毁相应的资源
参数
	p:需要关闭的Libpcap句柄
	返回值：无

const u_char *pcap_next(pcap_t *p,struct pcap_pkthdr *h)
功能：
	捕获一个网络数据包
参数：
	p：Libpcap句柄
	h：数据包头
返回值：
	捕获的数据包的地址
	struct pcap_pkthdr结构体信息：记录接受数据的时间以及报文的长度

int pcap_loop(pcap_t *p,int cnt,pcap_handler callback,u_char *user)
功能:
	循环捕获网络数据包，直到遇到错误或者满足退出条件；
	每次捕获一个数据包就会调用callback指示的回调函数，
	所以，可以在回调函数中进行数据包的处理操作
返回值：
	成功返回0，失败返回负数
参数:
	p：Libpcap句柄
	cnt：指定捕获数据包的个数，如果是-1，就会永无休止的捕获
	callback：回调函数
	user：向回调函数中传递的参数

回调函数定义：
void callback(u_char *arg, const struct pcap_pkthdr *packet_header, const u_char *packet_content)
参数1：arg存放pcap_loop传递过来的user用户数据
参数2：packet_heaher 存放接收到的报文的时间以及长度
参数3：packet_content接收到的网络帧数据

过滤规则函数：
int pcap_compile(pcap_t *p,struct bpf_program *program,char *buf,int optimize,bpf_u_int32 mask)
功能：
	编译BPF过滤规则
返回值：
	成功返回0，失败返回-1
参数:
	p：Libpcap句柄
	program：bpf过滤规则（pcap识别的规则）
	buf：过滤规则字符串（用户识别的规则 重心）
	optimize：优化
	mask：掩码

int pcap_setfilter(pcap p,struct bpf_programfp)
功能：
	设置BPF过滤规则
返回值：
	成功返回0，失败返回-1
参数:
	p：Libpcap句柄
	fp：BPF过滤规则

在学习之后，让我们不妨编写一段代码实验一下

测试程序：

功能：查看设备名，返回网卡名

#include <pcap.h>
#include <stdio.h>

int main()
{
   
  char errBuf[PCAP_ERRBUF_SIZE], * device;

  device = pcap_lookupdev(errBuf);

  if(device)
  {
   
    printf("success: device: %s\n", device);
  }
  else
  {
   
    printf("error: %s\n", errBuf);
  }

  return 0;
}

打开终端，进行makefile

//我编写的文件名为test.c
    gcc -Wall -o test test.c -lpcap
/*在这一段显示warning，是由于你在代码中使用了pcap_lookupdev函数，而该函数已经被标记为废弃（deprecated）。取而代之的是使用pcap_findalldevs函数来替代。警告信息中也给出了建议，即使用pcap_findalldevs函数，并且使用第一个设备。（不过，没什么大碍）*/

//成功编译链接后
	./test
//这样你就可以看到自己的端口号了
	success: device: ens33

3.Libpcap的工作原理

作为捕捉网络数据包的库，它是一个独立于系统的用户级的API接口，为底层网络检测提供了一个可移植的框架。

一个包的捕捉分为三个主要部分，包括面向底层包捕获、面向中间层的数据包过滤和面向应用层的用户接口。这与Linux操作系统对数据包的处理流程是相同的（网卡->网卡驱动->数据链路层->IP层->传输层->应用程序）。包捕获机制是在数据链路层增加一个旁路处理（并不干扰系统自身的网络协议栈的处理），对发送和接收的数据包通过Linux内核做过滤和缓冲处理，最后直接传递给上层应用程序。

下面介绍Libpcap的抓包流程：

1. 查找网络设备：目的是发现可用的网卡，实现的函数为pcap_lookupdev()，如果当前有多个网卡，函数就会返回一个网络设备名的指针列表。
2. 打开网络设备：利用上一步中的返回值，可以决定使用哪个网卡，通过函数pcap_open_live()打开网卡，返回用于捕捉网络数据包的秒数字。
3. 获得网络参数：这里是利用函数pcap_lookupnet()，可以获得指定网络设备的IP地址和子网掩码。
4. 编译过滤策略：Lipcap的主要功能就是提供数据包的过滤，函数pcap_compile()来实现。
5. 设置过滤器：在上一步的基础上利用pcap_setfilter()函数来设置。
6. 利用回调函数，捕获数据包：函数pcap_loop()和pcap_dispatch()来抓去数据包，也可以利用函数pcap_next()和pcap_next_ex()来完成同样的工作。
7. 关闭网络设备：pcap_close()函数关系设备，释放资源。

4．函数具体功能介绍和分析

--------------------------------------------------------------------------------------------------------------
获取网络接口：
char * pcap_lookupdev(char * errbuf)

//上面这个函数返回第一个合适的网络接口的字符串指针，如果出错，则errbuf存放出错信息字符串，errbuf至少应该是PCAP_ERRBUF_SIZE个字节长度的

--------------------------------------------------------------------------------------------------------------
可以获取指定设备的ip地址，子网掩码等信息：
int pcap_lookupnet(const char * device, bpf_u_int32 * netp, bpf_u_int32 * maskp, char * errbuf)

//netp：传出参数，指定网络接口的ip地址
//maskp：传出参数，指定网络接口的子网掩码
//pcap_lookupnet()失败返回-1
//net,mask的转换方式，inet_ntoa可以把他转换成10机制字符串 
头文件 arpa/inet.h
addr.s_addr=netp;
net=inet_ntoa(addr);
addr.s_addr=maskp;
mask=inet_ntoa(addr);

------------------------------------------------