底层网络数据包解析库-libpcap
2013-01-24 15:50:41 
阿炯
libpcap是一个C语言库，libpcap的英文意思是 Packet Capture library，即数据包捕获函数库，其功能是通过网卡抓取网络以太网中的数据包。这个库为不同的平台提供了一致的c函数编程接口，在安装了 libpcap 的平台上，以 libpcap 为接口写的程序、应用，能够自由地跨平台使用，它支持多种操作系统。libpcap 结构简单，使用方便；它提供了20多个api封装函数，我们利用这些api函数即可完成本网络探测器所需的网络数据包监听功能。 ibpcap is a system-independent interface for user-level packet capture. libpcap provides a portable framework for low-level network monitoring. Applications include network statistics collection, security monitoring, network debugging, etc.
使用说明
基于pcap的嗅探器程序的总体架构，其流程如下：
1.首先要决定用哪一个接口进行嗅探开始。在Linux中，这可能是eth0，而在BSD系统中则可能是xl1等等。我们也可以用一个字符串来定义这个设备，或者采用pcap提供的接口名来工作。
2.初始化pcap。在这里需要告诉pcap对什么设备进行嗅探。假如愿意的话，我们还可以嗅探多个设备。怎样区分它们呢？使用 文件句柄。就像打开一个文件进行读写一样，必须命名我们的嗅探“会话”，以此使它们各自区别开来。
3.如果只想嗅探特定的传输(如TCP/IP包，发往端口23的包等等)，我们必须创建一个规则集合，编译并且使用它。这个过程分为三个相互紧密关联的阶段。规则集合被置于一个字符串内，并且被转换成能被pcap读的格式(因此编译它)。编译实际上就是在我们的程序里调用一个不被外部程序使用的函数。接下来我们要告诉 pcap使用它来过滤出我们想要的那一个会话。(此步骤可选)
4.最后，我们告诉pcap进入它的主体执行循环。在这个阶段内pcap一直工作到它接收了所有我们想要的包为止。每当它收到一个包就调用另一个已经定义好的函数，这个函数可以做我们想要的任何工作，它可以剖析所部获的包并给用户打印出结果，它可以将结果保存为一个文件，或者什么也不作。
5.在嗅探到所需的数据后，我们要关闭会话并结束。
最新版本：1.3
项目主页：http://www.tcpdump.org/
中文参考：libpcap函数库使用示例