類(lèi)UNIX操作系統(tǒng)上提供了三種不同的方式訪問(wèn)數(shù)據(jù)鏈路層，分別是BSD的BSD分組過(guò)濾器(BPF)、SVR4的數(shù)據(jù)鏈路提供者接口(DLPI)和Linux的SOCK_PACKET接口。幸運(yùn)的是，程序員不需要了解這些不同接口的細(xì)節(jié)，直接使用Libpcap函數(shù)庫(kù)就可以。
Libpcap是一個(gè)提供了針對(duì)網(wǎng)絡(luò)數(shù)據(jù)包捕獲系統(tǒng)的高層接口的開(kāi)源函數(shù)庫(kù)。其作用是提供獨(dú)立于平臺(tái)的應(yīng)用程序接口，以消除程序中針對(duì)不同操作系統(tǒng)所包含的數(shù)據(jù)包捕獲代碼模塊。這樣以來(lái)，就解決了程序移植性的問(wèn)題，有利于提高開(kāi)發(fā)的效率。
Libpcap運(yùn)行于大多數(shù)類(lèi)UNIX操作系統(tǒng)上，完整的文檔和源碼可以從tcpdump的官方網(wǎng)站上獲得: http://www.tcpdump.org 其Windows版本 Winpcap可已從 http://www.winpcap.org獲取。下面介紹如何使用Libpcap來(lái)捕獲數(shù)據(jù)包
char *pcap_lookupdev(char *errbuf);
功能：查找用于捕獲數(shù)據(jù)包的缺省設(shè)備
errbuf ：錯(cuò)誤時(shí)保存出錯(cuò)信息
返回值：成功時(shí)返回設(shè)備名稱(chēng)；出錯(cuò)時(shí)返回NULL
pcap_t *pcap_open_live(const char *device, int snaplen, int promisc, int to_ms, char *errbuf);
功能：打開(kāi)用于捕獲數(shù)據(jù)包的網(wǎng)絡(luò)設(shè)備
device：設(shè)備名稱(chēng)
snaplen：要捕獲的數(shù)據(jù)包的最大字節(jié)數(shù)
prosmic：網(wǎng)絡(luò)設(shè)備工作模式(0表示非混雜模式，其他值表示混雜模式)
to_ms： 從內(nèi)核空間復(fù)制數(shù)據(jù)前等待的時(shí)間
err_buf：錯(cuò)誤時(shí)保存出錯(cuò)信息
返回值：成功時(shí)返回pcap_t類(lèi)型的接口描述符(句柄)；出錯(cuò)時(shí)返回NULL
const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h);
功能：捕獲下一個(gè)數(shù)據(jù)包
p：接口描述符
h：捕獲的數(shù)據(jù)包的信息
返回值：成功時(shí)返回指向捕獲的數(shù)據(jù)的指針；出錯(cuò)時(shí)返回NULL
typedef void (*pcap_handler)(u_char *user, const struct pcap_pkthdr *h, const u_char *bytes);
const u_char *pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user);
功能： 捕獲下一個(gè)數(shù)據(jù)包
cnt ：要捕獲的數(shù)據(jù)包的個(gè)數(shù)
callback ：捕獲到數(shù)據(jù)包時(shí)執(zhí)行的回調(diào)函數(shù)
user：傳遞給回調(diào)函數(shù)的參數(shù)
返回值：成功時(shí)返回0；出錯(cuò)時(shí)返回-1
int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask);
功能：創(chuàng)建過(guò)濾器
p ：接口描述符
fp：指向保存過(guò)濾器的結(jié)構(gòu)體的指針
str：要轉(zhuǎn)化的過(guò)濾規(guī)則
optimize： 過(guò)濾器是否要優(yōu)化
netmask：網(wǎng)絡(luò)掩碼
返回值：成功時(shí)返回0；出錯(cuò)時(shí)返回-1
int pcap_setfilter(pcap_t *p, struct bpf_program *fp);
功能： 安裝過(guò)濾器
p：接口描述符
fp：指向包含過(guò)濾器的結(jié)構(gòu)體的指針
返回值：成功時(shí)返回0；出錯(cuò)時(shí)返回-1
以下實(shí)例代碼實(shí)現(xiàn)捕獲并顯示3個(gè)ARP包
#include stdio.h>
#include stdlib.h>
#include string.h>
#include pcap.h>
#define MAXBYTES2CAPTURE 2048
void ProcessPacket(u_char *arg, const struct pcap_pkthdr *pkthdr, const u_char *packet)
{
int i = 0, *counter = (int *)arg;
printf("Packet Count : %d\n", ++(*counter));
printf("Received Packet Size: %d\n", pkthdr->len);
printf("Payload:\n");
for (i=0; ipkthdr->len; i++)
{
printf("%02x ", (unsigned int)packet[i]);
if ( (i%16 = = 15 i != 0) || (i = = pkthdr->len -1))
{
printf("\n");
}
}
printf("\n\n************************************************\n");
return;
}
int main(int argc, char *argv[])
{
int i = 0, count = 0;
pcap_t *descr = NULL;
char errbuf[PCAP_ERRBUF_SIZE], *device = NULL;
bpf_u_int32 netaddr = 0, mask = 0;
struct bpf_program filter;
memset(errbuf, 0, sizeof(errbuf));
if (argc != 2)
{
device = pcap_lookupdev(errbuf);
}
else
{
device = argv[1];
}
printf("Try to open device %s\n", device);
if((descr = pcap_open_live(device, MAXBYTES2CAPTURE, 1, 0, errbuf)) = =NULL)
{
printf("error : %s\n", errbuf);
exit(-1);
}
pcap_lookupnet(device, netaddr, mask, errbuf);
if (pcap_compile(descr, filter, "arp and ether host 00:0c:29:b7:f6:33",0, mask) 0)
{
printf("pcap_compile error\n");
exit(-1);
}
pcap_setfilter(descr, filter);
pcap_loop(descr, 3, ProcessPacket, (u_char *)count);
return 0;
}
