陈黑客介绍libpcap – 在青春迷失的咖啡馆

这篇摘抄自背后同事有福大神，作为黑客的他他已经成功在乌云漏洞平台提交了多个漏洞，想膜拜的可以传送到：youfu.xyz，除此之外在公司做了快4年底层的他，libpcap应该是手到擒来，我觉得这篇写的比较有特色，不是那么千篇一律念文字废话连篇，就残忍地COPY过来了，方便我以后用的时候查阅

查看pcap.h文件，可以看到libpcap给出的对外接口。
平时使用libpcap捉包常用的数据结构和API如下：

char    *pcap_lookupdev(char *);

这个函数得到当前可以使用的第一个网卡接口，返回的网卡接口可以作为pcap_open_live的参数。

char errbuf[PCAP_ERRBUF_SIZE];
pcap_t *pcap_open_live(const char *device, int snaplen, int promisc, int to_ms, char *errbuf);

这个函数打开一个网络设备，返回一个pcap_t类型的描述符，如果返回值不是NULL，那么就可以在这个设备上开始抓包了。相关的数据结构的初始化已经在这个函数里搞好了。

pcap_t *pcap_open_offline(const char *, char *);

这个函数主要是用来读取pcap文件的，如果你的数据包是从文件中读取，那么用这个函数。

struct pcap_pkthdr {
    struct timeval ts; /* time stamp */
    bpf_u_int32 caplen; /* length of portion present */
    bpf_u_int32 len; /* length this packet (off wire) */
};
int pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user);
typedef void (*pcap_handler)(u_char *user, const struct pcap_pkthdr *h, const u_char *data);

通过上面这三个自古以来就是不可分割的整体。
pcap_pkthdr表示的是当前包的信息，其中主要是caplen和len可能会让人迷糊，caplen表示的是当前包的data的长度，len表示包的原来长度，大多数情况下这两个长度的值是一样的，但是，当来了一个超长包，比如10000bytes，而我们在pcap_open_live中设定的snaplen只有1000, 那么caplen就是1000, len就是10000, 剩下的9000就被libpcap给截断了。
这种情况下需要注意的是后续包的处理中如果使用ip头部的iplen做为偏移量来移动指针，那么可能会越界，需要做严格的长度检查。

pcap_loop作为永恒的主角。
参数cnt表示捕捉cnt个包后退出，大部分情况都是传入一个-1,表示永远不会退出，根本停不下来。callback表示用户层的处理函数，数据包捕捉住后libpcap就将数据包交给pcap_handler了。
user传入用户自定义或者一些私有数据的指针，这个指针也会原封不动的传递给pcap_handler的第一个参数。
pcap_handler中完全就是用户说了算了，数据包的生命都交给你了，这个函数返回的时候也就是当前数据包终结的时候。
第三个参数data指向真正数据包的内容，从二层的MAC地址开始。

struct pcap_stat {
    u_int ps_recv; /* number of packets received */
    u_int ps_drop; /* number of packets dropped */
    u_int ps_ifdrop; /* drops by interface — only supported on some platforms */
#ifdef WIN32
    u_int bs_capt; /* number of packets that reach the application */
#endif /* WIN32 */
};
int pcap_stats(pcap_t *, struct pcap_stat *);

struct pcap_stat和pcap_stats()之前没有用过，再查看pcap.h的时候发现的，这个数据结构可以用来统计数据包的个数，尤其是网卡丢包的个数。
pcap_stats函数需要传入一个pcap_t类型的指针，可以通过pcap_loop的user参数传递给pcap_handler函数，然后在pcap_handler中调用pcap_stats函数，得到收到的包个数和丢包个数。

void pcap_close(pcap_t *);

关闭打开的pcap_t描述符，释放各种资源。
下面给出简单的demo源代码：

#include <pcap.h>
struct pcap_stat pkt_stat;
void yf_pcap_handler(u_char * user, struct pcap_pkthdr *hdr, u_char *data)
{
    //printf(“pkt len is %d\n”, hdr->caplen);
    //packet process code here
    pcap_stats((pcap_t *)user, &pkt_stat);
    printf(“pkt recv %d\n”, pkt_stat.ps_recv);
    printf(“pkt drop %d\n”, pkt_stat.ps_drop);
    printf(“pkt if drop %d\n”, pkt_stat.ps_ifdrop);
    return;
}
int main(int argc, char *argv[])
{
    pcap_t *pcap_desc;
    char errbuf[PCAP_ERRBUF_SIZE];
    int promisc = 1;
    int pcap_timeout = 1024; //milliseconds
    int snaplen = 65535;
    char *device = NULL;
    printf(“libpcap version is: %s\n”, pcap_lib_version());
    device = pcap_lookupdev(errbuf);
    if (device != NULL) {
        printf(“find a device: %s\n”, device);
    } else {
        printf(“ERR: %s”, errbuf);
    }
    pcap_desc = pcap_open_live(device, snaplen, promisc, pcap_timeout, errbuf);
    if(pcap_desc == NULL){
        printf(“%s\n”, errbuf);
        return;
}
    pcap_loop(pcap_desc, -1, (pcap_handler) yf_pcap_handler, (u_char *)pcap_desc);
    pcap_close(pcap_desc);
    return;
}

发表回复 取消回复

发表回复取消回复