UNIX网络编程——网络数据包检测

网络数据包检测

---

数据包捕获（sniffer）：是指在网络上进行数据收集的行为，需要通过网卡来完成。

---

三种访问方式：

• BSD Packet Filter(BPF)
• SVR4 Datalink Provider Interface(DLPI)
• linux SOCK_PACKET interface

---

libpcap库

---

安装：

apt-get install libpcap-dev

---

常用API

---

捕获数据包

---

查找缺省的用来捕获数据网络设备

char * pcap_lookupdev ( char * errbuf )//出错时保存系统返回的错误信息。

返回值：

成功时返回指向设备名称的指针，

失败返回NULL

---

查找指定设备的网络号和子网掩码

int pcap_lookupnet( const char * device,//指向设备名称的指针

                                    bpf_u_int32 * netp,//指向获取的网络号的指针

                                    bpf_u_int32 * maskp,//指向获取的子网掩码的指针

                                    char * errbuf)//出错时保存系统返回的错误信息

返回值：

成功返回0，

失败返回-1，并保存错误信息到errbuf中。

---

打开一个网络设备用于捕获数据包

pcap_t * pcap_open_live( const char * device,//指向设备名称的指针

                                   int snaplen, //捕获的数据包的长度

                                   int promisc,//网络接口工作模式

                                   int to_ms,//读取数据包时的超时

                                   char * errbuf)//出错时保存系统错误信息

返回值：

成功返回捕获数据包的句柄

失败返回NULL并保存错误信息到errbuf中

---

捕获下一帧数据

const u_char * pcap_next ( pcap_t * p//pcap_open_live返回的句柄

                      struct pcap_pkthdr * h)保存捕获的数据包属性的结构体指针

返回值:

成功时返回捕获的数据帧的指针，

失败或无数据返回NULL。

---

循环捕获多帧数据并处理

typedef void ( * pcap_handler )( u_char *user, 

const struct pcap_pkthdr * h,const u_char *bytes);

int pcap_loop( pcap_t * p,//pcap_open_live返回的句柄

                          int cnt,//要捕获的数据帧的个数

                          pcap_handler callback,//捕获到一帧数据时执行的处理函数

                          u_char * user )//传递给callback的参数

返回值：

成功返回0，

失败返回-1，

被中断返回-2.

---

过滤数据包

---

根据过滤器表达式生成过滤器

int * pcap_compile( pcap_t * p,//pcap_open_live返回的句柄

                                   struct bpf_program * fp,//保存过滤器的结构体指针

                                   const char * str,//要转换的过滤器表达式

                                   int optimize,//过滤程序是否优化

                                   bpf_u_int32 netmask )//子网掩码

返回值：

成功返回0，

失败返回-1。

---

为指定的捕捉句柄安装过滤器

int pcap_next ( pcap_t * p//pcap_open_live返回的句柄

                           struct bpf_program * fp);//指向要安装的过滤器的指针

返回值：

成功返回0；

失败返回-1. 

---

捕获数据包流程

---

示例程序：

//ping.c

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <signal.h>
#include <arpa/inet.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <unistd.h>
#include <netinet/in.h>
#include <netinet/ip.h>
#include <netinet/ip_icmp.h>
#include <netdb.h>
#include <setjmp.h>
#include <errno.h> 

#define PACKET_SIZE 4096
#define MAX_WAIT_TIME 5
#define MAX_NO_PACKETS 3 

char sendpacket[PACKET_SIZE];
char recvpacket[PACKET_SIZE];
int sockfd,datalen=56;
int nsend=0,nreceived=0;
struct sockaddr_in dest_addr;
pid_t pid;
struct sockaddr_in from;
struct timeval tvrecv; 

void f(int signo) {}
void statistics(int signo);
unsigned short cal_chksum(unsigned short *addr,int len);
int pack(int pack_no);
void send_packet(void);
void recv_packet(void);
int unpack(char *buf,int len);
void tv_sub(struct timeval *out,struct timeval *in); 

void statistics(int signo)
{
   printf("\n--------------------PING statistics-------------------\n");
   printf("%d packets transmitted, %d received , %%%.2f lost\n",nsend,nreceived,(float)(nsend-nreceived)/nsend*100);
   close(sockfd);
   exit(1);
}
/*校验和算法*/
unsigned short cal_chksum(unsigned short *addr,int len)
{
   int nleft=len;
   int sum=0;
   unsigned short *w=addr;
   unsigned short answer=0; 

   /*把ICMP报头二进制数据以2字节为单位累加起来*/
   while(nleft>1)
   {
     sum+=*w++;
     nleft-=2;
   }
   /*若ICMP报头为奇数个字节，会剩下最后一字节。把最后一个字节视为一个2字节数据的高字节，
   这个2字节数据的低字节为0，继续累加*/
   if( nleft==1)
   {
       *(unsigned char *)(&answer)=*(unsigned char *)w;
       sum+=answer;
   }
   sum=(sum>>16)+(sum&0xffff);
   sum+=(sum>>16);
   answer=~sum;
   return answer;
}
/*设置ICMP报头*/
int pack(int pack_no)
{
    int i,packsize;
    struct icmp *icmp;
    struct timeval *tval;
    icmp=(struct icmp*)sendpacket; //char sendpacket[4096];
    icmp->icmp_type=ICMP_ECHO;
    icmp->icmp_code=0;
#if 1
    icmp->icmp_seq=pack_no;
    icmp->icmp_cksum = 0;
#endif
    icmp->icmp_id=pid;
    packsize=8+datalen;
    tval= (struct timeval *)icmp->icmp_data;
    gettimeofday(tval,NULL); /*记录发送时间*/
    icmp->icmp_cksum=cal_chksum( (unsigned short *)icmp,packsize); /*校验算法*/
    return packsize;
} 

/*发送三个ICMP报文*/
void send_packet()
{
    int packetsize;
    //while(nsend)
    //{
      nsend++;
      packetsize=pack(nsend); /*设置ICMP报头*/
      if(sendto(sockfd,sendpacket,packetsize,0,(struct sockaddr *)&dest_addr,sizeof(dest_addr))<0 )
      {
        perror("sendto error");
        return;
      }
     // sleep(1); /*每隔一秒发送一个ICMP报文*/
//    }
} 

/*接收所有ICMP报文*/
void recv_packet()
{
     int n,fromlen;
     extern int errno; 

     struct sigaction act;
     sigaction(SIGALRM, NULL, &act);
     act.sa_handler = f;
     sigaction(SIGALRM, &act, NULL);

     fromlen=sizeof(from);
     while(1)
     {
       alarm(5);
       if( (n=recvfrom(sockfd,recvpacket,sizeof(recvpacket),0,(struct sockaddr *)&from,&fromlen)) <0)
       {
           if (errno == EINTR)
           {
               printf("errno=%d\n", errno);
               break;
           }
           else
               exit(-1);
       }
       gettimeofday(&tvrecv,NULL); /*记录接收时间*/ 

       if(unpack(recvpacket,n)==-1)
       {
           continue;
       }
       else
       {
           nreceived++;
           break;
       }
   }
}
/*剥去ICMP报头*/
int unpack(char *buf,int len)
{
    int i,iphdrlen;
    struct ip *ip;
    struct icmp *icmp;
    struct timeval *tvsend;
    double rtt;
    ip=(struct ip *)buf;
    iphdrlen=ip->ip_hl<<2; /*求ip报头长度,即ip报头的长度标志乘4*/
    icmp=(struct icmp *)(buf+iphdrlen); /*越过ip报头,指向ICMP报头*/
    len-=iphdrlen; /*ICMP报头及ICMP数据报的总长度*/
    if(len<8) /*小于ICMP报头长度则不合理*/
    {
      printf("ICMP packets\'s length is less than 8\n");
      return -1;
    }
    /*确保所接收的是我所发的的ICMP的回应*/
    if( (icmp->icmp_type==ICMP_ECHOREPLY) && (icmp->icmp_id==pid) )
    {
        tvsend=(struct timeval *)icmp->icmp_data;
        tv_sub(&tvrecv,tvsend); /*接收和发送的时间差*/
        rtt=tvrecv.tv_sec*1000+(float)tvrecv.tv_usec/1000; /*以毫秒为单位计算rtt*/
        /*显示相关信息*/
        printf("%d byte from %s: icmp_seq=%u ttl=%d rtt=%.3f ms\n",
        len,inet_ntoa(from.sin_addr),icmp->icmp_seq,ip->ip_ttl,rtt);
    }
    else return -1;
} 

int main(int argc,char *argv[])
{
    struct hostent *host;
    struct protoent *protocol;
    unsigned long inaddr=0l;
    int waittime=MAX_WAIT_TIME;
    int size=50*1024; 

    if(argc<2)
    {
       printf("usage:%s hostname/IP address\n",argv[0]);
       exit(1);
    } 

    if( (protocol=getprotobyname("icmp") )==NULL)
    {
        perror("getprotobyname");
        exit(1);
    }
    /*生成使用ICMP的原始套接字,这种套接字只有root才能生成*/
    if( (sockfd=socket(AF_INET,SOCK_RAW,protocol->p_proto) )<0)
    {
        perror("socket error");
        exit(1);
    }
    /* 回收root权限,设置当前用户权限*/
    setuid(getuid());
    /*扩大套接字接收缓冲区到50K这样做主要为了减小接收缓冲区溢出的
    的可能性,若无意中ping一个广播地址或多播地址,将会引来大量应答*/
    setsockopt(sockfd,SOL_SOCKET,SO_RCVBUF,&size,sizeof(size) );
    bzero(&dest_addr,sizeof(dest_addr));
    dest_addr.sin_family=AF_INET; 

    /*判断是主机名还是ip地址*/
    if( (inaddr=inet_addr(argv[1]))==INADDR_NONE)
    {
        if((host=gethostbyname(argv[1]) )==NULL) /*是主机名*/
        {
           perror("gethostbyname error");
           exit(1);
        }
        memcpy( (char *)&dest_addr.sin_addr,host->h_addr,host->h_length);
    }
    else /*是ip地址*/
        dest_addr.sin_addr.s_addr = inaddr;
    //memcpy( (char *)&dest_addr,(char *)&inaddr,host->h_length);
    /*获取main的进程id,用于设置ICMP的标志符*/
    pid=getpid();
    printf("PING %s(%s): %d bytes data in ICMP packets.\n",argv[1],
    inet_ntoa(dest_addr.sin_addr),datalen); 

    int i = 0;
    bzero(sendpacket, PACKET_SIZE);
    bzero(recvpacket, PACKET_SIZE); 

    while (i < 3)
    {
        send_packet(); /*发送所有ICMP报文*/
        recv_packet(); /*接收所有ICMP报文*/
        sleep(1);
        i++;
    }

    statistics(SIGALRM); /*进行统计*/ 

    return 0; 

}
/*两个timeval结构相减*/
void tv_sub(struct timeval *out,struct timeval *in)
{
     if( (out->tv_usec-=in->tv_usec)<0)
     {
         --out->tv_sec;
         out->tv_usec+=1000000;
     }
     out->tv_sec-=in->tv_sec;
} 

/*------------- The End -----------*/ 

// cap.c

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <pcap.h>

#define MAXBYTES2CAPTURE 2048

void process_packet(u_char *arg, const struct pcap_pkthdr *pkthdr,
        const u_char *packet)
{
    int i = 0, *counter = (int *)arg;

    printf("packet count:%d\n", ++(*counter));
    printf("received packet size %d\n", pkthdr->len);

    printf("payload\n");
    for (i = 0; i < pkthdr->len; i++)
    {
        printf("%02x ", (unsigned int)packet[i]);

        if ((i % 16 == 15 && i != 0) || (i == pkthdr->len-1))
            printf("\n");
    }
    printf("\n\n**************\n");
    return;
}

int main(int argc, char *argv[])
{
    int i = 0, count = 0;
    pcap_t *descr = NULL;
    char errbuf[PCAP_ERRBUF_SIZE], *device = NULL;
    bpf_u_int32 netaddr = 0, mask = 0;
    struct bpf_program filter;

    memset(errbuf, 0, sizeof(errbuf));

    if (argc != 2)
        device = pcap_lookupdev(errbuf);
    else
        device = argv[1];

    printf("Try to open device %s\n", device);

    if ((descr = pcap_open_live(device, MAXBYTES2CAPTURE, 1, 0, errbuf)) == NULL )
    {
        printf("error:%s\n", errbuf);
        exit(-1);
    }
    printf("pcap_open\n");

    pcap_lookupnet(device, &netaddr, &mask, errbuf);
    printf("pcap_look\n");

    //if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:b7:f6:33", 0, mask) < 0)
    if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:cd:d6:dd", 0, mask) < 0)
    {
        printf("pcap_compile error\n");
        exit(-1);
    }
    printf("compile\n");
    pcap_setfilter(descr, &filter);
    printf("setfilter\n");

    pcap_loop(descr, 1, process_packet, (u_char *)&count);

    return 0;
}

---

参考文档：

http://download.csdn.net/detail/ctthunagchneg/5240225

http://download.csdn.net/detail/ctthunagchneg/5240233