Linux网络编程——原始套接字实例：MAC 头部报文分析

通过《Linux网络编程——原始套接字编程》得知，我们可以通过原始套接字以及 recvfrom( ) 可以获取链路层的数据包，那我们接收的链路层数据包到底长什么样的呢？

链路层封包格式

MAC 头部（有线局域网）

注意：CRC、PAD 在组包时可以忽略

链路层数据包的其中一种情况：

 unsigned char msg[] = {
     //--------------组MAC--------14------
     0xb8, 0x88, 0xe3, 0xe1, 0x10, 0xe6, // dst_mac: b8:88:e3:e1:10:e6
     0xc8, 0x9c, 0xdc, 0xb7, 0x0f, 0x19, // src_mac: c8:9c:dc:b7:0f:19
     0x08, 0x00,                         // 类型：0x0800 IP协议
     // …… ……
     // …… ……
 };

接收的链路层数据包，并对其进行简单分析：

 #include <stdio.h>
 #include <string.h>
 #include <stdlib.h>
 #include <sys/socket.h>
 #include <netinet/in.h>
 #include <arpa/inet.h>
 #include <netinet/ether.h>

 int main(int argc,char *argv[])
 {
     int i = ;
     unsigned char buf[] = "";
     int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));
     while()
     {
         unsigned char src_mac[] = "";
         unsigned char dst_mac[] = "";
         //获取链路层的数据帧
         recvfrom(sock_raw_fd, buf, sizeof(buf),,NULL,NULL);
         //从buf里提取目的mac、源mac
         sprintf(dst_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[], buf[], buf[], buf[], buf[], buf[]);
         sprintf(src_mac,"%02x:%02x:%02x:%02x:%02x:%02x", buf[], buf[], buf[], buf[], buf[], buf[]);
         //判断是否为IP数据包
         if(buf[]==0x08 && buf[]==0x00)
         {
             printf("______________IP数据报_______________\n");
             printf("MAC:%s >> %s\n",src_mac,dst_mac);
         }//判断是否为ARP数据包
         else if(buf[]==0x08 && buf[]==0x06)
         {
             printf("______________ARP数据报_______________\n");
             printf("MAC:%s >> %s\n",src_mac,dst_mac);
         }//判断是否为RARP数据包
         else if(buf[]==0x80 && buf[]==0x35)
         {
             printf("______________RARP数据报_______________\n");
             printf("MAC:%s>>%s\n",src_mac,dst_mac);
         }
     }
     return ;
 }

记得以管理者权限运行程序：

每个报文头部都有一个相应的结构体，通过这些结构体对报文进行相应的组包或拆包会方便很多。

ubuntu 12.04 中描述网络协议结构的文件如下：

以太网头部（所需要头文件：#include <net/ethernet.h>）：

上面的例子，改为用结构体实现，如下：

 #include <stdio.h>
 #include <string.h>
 #include <stdlib.h>
 #include <sys/socket.h>
 #include <netinet/in.h>
 #include <arpa/inet.h>
 #include <netinet/ether.h>
 #include <net/ethernet.h>          // 以太网头部 头文件
 #include <netinet/ip.h>            // ip头部 头文件
 // #include <net/if_arp.h>            // arp头部 头文件

 int main(int argc,char *argv[])
 {
     int i = ;
     unsigned char buf[] = "";
     int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));
     while()
     {
         unsigned char src_mac[] = "";
         unsigned char dst_mac[] = "";
         //获取链路层的数据帧
         recvfrom(sock_raw_fd, buf, sizeof(buf),,NULL,NULL);

         //从数据中提取mac首部信息(14个字节)
         struct ether_header *ethdr = NULL;
         ethdr = (struct ether_header *)buf;

         //从buf里提取目的mac、源mac
         sprintf(dst_mac,"%02x:%02x:%02x:%02x:%02x:%02x", ethdr->ether_dhost[], ethdr->ether_dhost[],ethdr->ether_dhost[],ethdr->ether_dhost[],ethdr->ether_dhost[],ethdr->ether_dhost[]);
         sprintf(src_mac,"%02x:%02x:%02x:%02x:%02x:%02x", ethdr->ether_shost[], ethdr->ether_shost[],ethdr->ether_shost[],ethdr->ether_shost[],ethdr->ether_shost[],ethdr->ether_shost[]);

         //判断是否为IP数据包
         if( 0x0800 == ntohs(ethdr->ether_type) )
         {
             printf("______________IP数据报_______________\n");
             printf("MAC:%s >> %s\n",src_mac,dst_mac);

         }//0x0806为ARP数据包, 0x8035为RARP数据包
         else if( 0x0806 == ntohs(ethdr->ether_type) || 0x8035 == ntohs(ethdr->ether_type) )
         {
             printf("______________ARP数据报_______________\n");
             printf("MAC:%s >> %s\n",src_mac,dst_mac);
         }

     }
     return ;
 }

转自：http://blog.csdn.net/tennysonsky/article/details/44751997