libpcap api



1.Libpcap简介

Libpcap是Packet Capture Libray的英文缩写，即数据包捕获函数库。该库提供的C函数接口用于捕捉经过指定网络接口的数据包，该接口应该是被设为混杂模式。这个在原始套接子中有提到。

著名的软件TCPDUMP就是在Libpcap的基础上开发而成的。Libpcap提供的接口函数实现和封装了与数据包截获有关的过程。

Libpcap提供了用户级别的网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap可以在绝大多数Linux平台上运行。在Windows平台上，也有一款与其功能类似的开发库：Wincap。

它的工作在上层应用程序与网络接口之间。

主要功能：

• 数据包捕获：捕获流经网卡的原始数据包
• 自定义数据包发送：构造任何格式的原始数据包
• 流量采集与统计：采集网络中的流量信息
• 规则过滤：提供自带规则过滤功能，按需要选择过滤规则

它的应用范围非常广泛，典型应用包括玩罗协议分析器，网络流量发生器，网络入侵检测系统，网络扫描器和其他安全工具。

2.Libpcap的安装

打开Linux终端：

需要包含的头文件：

编译的时候需要加：

利用libpcap函数库开发应用程序的基本步骤：

1. 打开网络设备
2. 设置过滤规则（可选）
3. 捕获数据
4. 关闭网络设备

常用函数：

请注意，第四个部分对函数使用有更详细的注释！

在学习之后，让我们不妨编写一段代码实验一下

测试程序：

功能：查看设备名，返回网卡名

打开终端，进行makefile

3.Libpcap的工作原理

作为捕捉网络数据包的库，它是一个独立于系统的用户级的API接口，为底层网络检测提供了一个可移植的框架。

一个包的捕捉分为三个主要部分，包括面向底层包捕获、面向中间层的数据包过滤和面向应用层的用户接口。这与Linux操作系统对数据包的处理流程是相同的（网卡->网卡驱动->数据链路层->IP层->传输层->应用程序）。包捕获机制是在数据链路层增加一个旁路处理（并不干扰系统自身的网络协议栈的处理），对发送和接收的数据包通过Linux内核做过滤和缓冲处理，最后直接传递给上层应用程序。

下面介绍Libpcap的抓包流程：

1. 查找网络设备：目的是发现可用的网卡，实现的函数为pcap_lookupdev()，如果当前有多个网卡，函数就会返回一个网络设备名的指针列表。
2. 打开网络设备：利用上一步中的返回值，可以决定使用哪个网卡，通过函数pcap_open_live()打开网卡，返回用于捕捉网络数据包的秒数字。
3. 获得网络参数：这里是利用函数pcap_lookupnet()，可以获得指定网络设备的IP地址和子网掩码。
4. 编译过滤策略：Lipcap的主要功能就是提供数据包的过滤，函数pcap_compile()来实现。
5. 设置过滤器：在上一步的基础上利用pcap_setfilter()函数来设置。
6. 利用回调函数，捕获数据包：函数pcap_loop()和pcap_dispatch()来抓去数据包，也可以利用函数pcap_next()和pcap_next_ex()来完成同样的工作。
7. 关闭网络设备：pcap_close()函数关系设备，释放资源。

4．函数具体功能介绍和分析

5.一个简单的网络数据包捕获程序（实操）

基本功能就是来捕获所有流经本网卡的数据包。

• 实现流程：
  • 查找网络设备
  • 打开网络设备
  • 查找设备信息
  • 输入过滤规则
  • 编译输入规则
  • 设置输入规则
  • 开始捕获数据包
  • 调用数据包分析模块
  • 输出MAC，IP，协议以及数据帧
  • 结束

代码功能：

1. 使用libpcap捕获网络数据包。
2. 解析捕获到的数据包，并显示数据包的源MAC地址、目的MAC地址、源IP地址、目的IP地址、协议类型和数据帧内容。
3. 允许用户输入过滤器，根据过滤器过滤特定的数据包。
4. 支持显示数据链路类型。
5. 循环捕获数据包并调用回调函数处理。

可能遇到的问题

解决方法：

在编译链接以后，前面加一个sudo，以提升权限

可以看到，过滤器表达式的具体内容取决于你想要捕获的数据包的特定条件。以下是一些常见的过滤器示例：

1. 仅捕获TCP数据包：

2. 仅捕获IPv4数据包：

3. 仅捕获UDP数据包：

4. 仅捕获ICMP数据包：

学习更多请查阅BPF（Berkley Packet Filter）过滤器表达式

版权声明：

本文来源网络，所有图片文章版权属于原作者，如有侵权，联系删除。

本文网址：https://www.mushiming.com/mjsbk/7074.html