网络数据包检测
数据包捕获（sniffer）：是指在网络上进行数据收集的行为，需要通过网卡来完成。
三种访问方式：
- BSD Packet Filter(BPF)
- SVR4 Datalink Provider Interface(DLPI)
- linux SOCK_PACKET interface
libpcap库
安装：
apt-get install libpcap-dev
常用API
捕获数据包
查找缺省的用来捕获数据网络设备
char * pcap_lookupdev ( char * errbuf )//出错时保存系统返回的错误信息。
返回值：
成功时返回指向设备名称的指针，
失败返回NULL
查找指定设备的网络号和子网掩码
int pcap_lookupnet( const char * device,//指向设备名称的指针
bpf_u_int32 * netp,//指向获取的网络号的指针
bpf_u_int32 * maskp,//指向获取的子网掩码的指针
char * errbuf)//出错时保存系统返回的错误信息
返回值：
成功返回0，
失败返回-1，并保存错误信息到errbuf中。
打开一个网络设备用于捕获数据包
pcap_t * pcap_open_live( const char * device,//指向设备名称的指针
int snaplen, //捕获的数据包的长度
int promisc,//网络接口工作模式
int to_ms,//读取数据包时的超时
char * errbuf)//出错时保存系统错误信息
返回值：
成功返回捕获数据包的句柄
失败返回NULL并保存错误信息到errbuf中
捕获下一帧数据
捕获下一帧数据
const u_char * pcap_next ( pcap_t * p//pcap_open_live返回的句柄
struct pcap_pkthdr * h)保存捕获的数据包属性的结构体指针
返回值:
成功时返回捕获的数据帧的指针，
失败或无数据返回NULL。
循环捕获多帧数据并处理
循环捕获多帧数据并处理
typedef void ( * pcap_handler )( u_char *user,
const struct pcap_pkthdr * h,const u_char *bytes);
int pcap_loop( pcap_t * p,//pcap_open_live返回的句柄
int cnt,//要捕获的数据帧的个数
pcap_handler callback,//捕获到一帧数据时执行的处理函数
u_char * user )//传递给callback的参数
返回值：
成功返回0，
失败返回-1，
被中断返回-2.
过滤数据包
根据过滤器表达式生成过滤器
int * pcap_compile( pcap_t * p,//pcap_open_live返回的句柄
struct bpf_program * fp,//保存过滤器的结构体指针
const char * str,//要转换的过滤器表达式
int optimize,//过滤程序是否优化
bpf_u_int32 netmask )//子网掩码
返回值：
成功返回0，
失败返回-1。
为指定的捕捉句柄安装过滤器
int pcap_next ( pcap_t * p//pcap_open_live返回的句柄
struct bpf_program * fp);//指向要安装的过滤器的指针
返回值：
成功返回0；
失败返回-1.
捕获数据包流程
示例程序：
参考文档：
捕获数据包流程
示例程序：
//ping.c
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <signal.h>
#include <arpa/inet.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <unistd.h>
#include <netinet/in.h>
#include <netinet/ip.h>
#include <netinet/ip_icmp.h>
#include <netdb.h>
#include <setjmp.h>
#include <errno.h> #define PACKET_SIZE 4096
#define MAX_WAIT_TIME 5
#define MAX_NO_PACKETS 3 char sendpacket[PACKET_SIZE];
char recvpacket[PACKET_SIZE];
int sockfd,datalen=56;
int nsend=0,nreceived=0;
struct sockaddr_in dest_addr;
pid_t pid;
struct sockaddr_in from;
struct timeval tvrecv; void f(int signo) {}
void statistics(int signo);
unsigned short cal_chksum(unsigned short *addr,int len);
int pack(int pack_no);
void send_packet(void);
void recv_packet(void);
int unpack(char *buf,int len);
void tv_sub(struct timeval *out,struct timeval *in); void statistics(int signo)
{
printf("\n--------------------PING statistics-------------------\n");
printf("%d packets transmitted, %d received , %%%.2f lost\n",nsend,nreceived,(float)(nsend-nreceived)/nsend*100);
close(sockfd);
exit(1);
}
/*校验和算法*/
unsigned short cal_chksum(unsigned short *addr,int len)
{
int nleft=len;
int sum=0;
unsigned short *w=addr;
unsigned short answer=0; /*把ICMP报头二进制数据以2字节为单位累加起来*/
while(nleft>1)
{
sum+=*w++;
nleft-=2;
}
/*若ICMP报头为奇数个字节，会剩下最后一字节。把最后一个字节视为一个2字节数据的高字节，
这个2字节数据的低字节为0，继续累加*/
if( nleft==1)
{
*(unsigned char *)(&answer)=*(unsigned char *)w;
sum+=answer;
}
sum=(sum>>16)+(sum&0xffff);
sum+=(sum>>16);
answer=~sum;
return answer;
}
/*设置ICMP报头*/
int pack(int pack_no)
{
int i,packsize;
struct icmp *icmp;
struct timeval *tval;
icmp=(struct icmp*)sendpacket; //char sendpacket[4096];
icmp->icmp_type=ICMP_ECHO;
icmp->icmp_code=0;
#if 1
icmp->icmp_seq=pack_no;
icmp->icmp_cksum = 0;
#endif
icmp->icmp_id=pid;
packsize=8+datalen;
tval= (struct timeval *)icmp->icmp_data;
gettimeofday(tval,NULL); /*记录发送时间*/
icmp->icmp_cksum=cal_chksum( (unsigned short *)icmp,packsize); /*校验算法*/
return packsize;
} /*发送三个ICMP报文*/
void send_packet()
{
int packetsize;
//while(nsend)
//{
nsend++;
packetsize=pack(nsend); /*设置ICMP报头*/
if(sendto(sockfd,sendpacket,packetsize,0,(struct sockaddr *)&dest_addr,sizeof(dest_addr))<0 )
{
perror("sendto error");
return;
}
// sleep(1); /*每隔一秒发送一个ICMP报文*/
// }
} /*接收所有ICMP报文*/
void recv_packet()
{
int n,fromlen;
extern int errno; struct sigaction act;
sigaction(SIGALRM, NULL, &act);
act.sa_handler = f;
sigaction(SIGALRM, &act, NULL); fromlen=sizeof(from);
while(1)
{
alarm(5);
if( (n=recvfrom(sockfd,recvpacket,sizeof(recvpacket),0,(struct sockaddr *)&from,&fromlen)) <0)
{
if (errno == EINTR)
{
printf("errno=%d\n", errno);
break;
}
else
exit(-1);
}
gettimeofday(&tvrecv,NULL); /*记录接收时间*/ if(unpack(recvpacket,n)==-1)
{
continue;
}
else
{
nreceived++;
break;
}
}
}
/*剥去ICMP报头*/
int unpack(char *buf,int len)
{
int i,iphdrlen;
struct ip *ip;
struct icmp *icmp;
struct timeval *tvsend;
double rtt;
ip=(struct ip *)buf;
iphdrlen=ip->ip_hl<<2; /*求ip报头长度,即ip报头的长度标志乘4*/
icmp=(struct icmp *)(buf+iphdrlen); /*越过ip报头,指向ICMP报头*/
len-=iphdrlen; /*ICMP报头及ICMP数据报的总长度*/
if(len<8) /*小于ICMP报头长度则不合理*/
{
printf("ICMP packets\'s length is less than 8\n");
return -1;
}
/*确保所接收的是我所发的的ICMP的回应*/
if( (icmp->icmp_type==ICMP_ECHOREPLY) && (icmp->icmp_id==pid) )
{
tvsend=(struct timeval *)icmp->icmp_data;
tv_sub(&tvrecv,tvsend); /*接收和发送的时间差*/
rtt=tvrecv.tv_sec*1000+(float)tvrecv.tv_usec/1000; /*以毫秒为单位计算rtt*/
/*显示相关信息*/
printf("%d byte from %s: icmp_seq=%u ttl=%d rtt=%.3f ms\n",
len,inet_ntoa(from.sin_addr),icmp->icmp_seq,ip->ip_ttl,rtt);
}
else return -1;
} int main(int argc,char *argv[])
{
struct hostent *host;
struct protoent *protocol;
unsigned long inaddr=0l;
int waittime=MAX_WAIT_TIME;
int size=50*1024; if(argc<2)
{
printf("usage:%s hostname/IP address\n",argv[0]);
exit(1);
} if( (protocol=getprotobyname("icmp") )==NULL)
{
perror("getprotobyname");
exit(1);
}
/*生成使用ICMP的原始套接字,这种套接字只有root才能生成*/
if( (sockfd=socket(AF_INET,SOCK_RAW,protocol->p_proto) )<0)
{
perror("socket error");
exit(1);
}
/* 回收root权限,设置当前用户权限*/
setuid(getuid());
/*扩大套接字接收缓冲区到50K这样做主要为了减小接收缓冲区溢出的
的可能性,若无意中ping一个广播地址或多播地址,将会引来大量应答*/
setsockopt(sockfd,SOL_SOCKET,SO_RCVBUF,&size,sizeof(size) );
bzero(&dest_addr,sizeof(dest_addr));
dest_addr.sin_family=AF_INET; /*判断是主机名还是ip地址*/
if( (inaddr=inet_addr(argv[1]))==INADDR_NONE)
{
if((host=gethostbyname(argv[1]) )==NULL) /*是主机名*/
{
perror("gethostbyname error");
exit(1);
}
memcpy( (char *)&dest_addr.sin_addr,host->h_addr,host->h_length);
}
else /*是ip地址*/
dest_addr.sin_addr.s_addr = inaddr;
//memcpy( (char *)&dest_addr,(char *)&inaddr,host->h_length);
/*获取main的进程id,用于设置ICMP的标志符*/
pid=getpid();
printf("PING %s(%s): %d bytes data in ICMP packets.\n",argv[1],
inet_ntoa(dest_addr.sin_addr),datalen); int i = 0;
bzero(sendpacket, PACKET_SIZE);
bzero(recvpacket, PACKET_SIZE); while (i < 3)
{
send_packet(); /*发送所有ICMP报文*/
recv_packet(); /*接收所有ICMP报文*/
sleep(1);
i++;
} statistics(SIGALRM); /*进行统计*/ return 0; }
/*两个timeval结构相减*/
void tv_sub(struct timeval *out,struct timeval *in)
{
if( (out->tv_usec-=in->tv_usec)<0)
{
--out->tv_sec;
out->tv_usec+=1000000;
}
out->tv_sec-=in->tv_sec;
} /*------------- The End -----------*/
// cap.c
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <pcap.h> #define MAXBYTES2CAPTURE 2048 void process_packet(u_char *arg, const struct pcap_pkthdr *pkthdr,
const u_char *packet)
{
int i = 0, *counter = (int *)arg; printf("packet count:%d\n", ++(*counter));
printf("received packet size %d\n", pkthdr->len); printf("payload\n");
for (i = 0; i < pkthdr->len; i++)
{
printf("%02x ", (unsigned int)packet[i]); if ((i % 16 == 15 && i != 0) || (i == pkthdr->len-1))
printf("\n");
}
printf("\n\n**************\n");
return;
} int main(int argc, char *argv[])
{
int i = 0, count = 0;
pcap_t *descr = NULL;
char errbuf[PCAP_ERRBUF_SIZE], *device = NULL;
bpf_u_int32 netaddr = 0, mask = 0;
struct bpf_program filter; memset(errbuf, 0, sizeof(errbuf)); if (argc != 2)
device = pcap_lookupdev(errbuf);
else
device = argv[1]; printf("Try to open device %s\n", device); if ((descr = pcap_open_live(device, MAXBYTES2CAPTURE, 1, 0, errbuf)) == NULL )
{
printf("error:%s\n", errbuf);
exit(-1);
}
printf("pcap_open\n"); pcap_lookupnet(device, &netaddr, &mask, errbuf);
printf("pcap_look\n"); //if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:b7:f6:33", 0, mask) < 0)
if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:cd:d6:dd", 0, mask) < 0)
{
printf("pcap_compile error\n");
exit(-1);
}
printf("compile\n");
pcap_setfilter(descr, &filter);
printf("setfilter\n"); pcap_loop(descr, 1, process_packet, (u_char *)&count); return 0;
}
参考文档：