documentation. Copyright (c) 2002-2005 Politecnico di Torino. Copyright (c) 2005-2007
CACE Technologies. All rights reserved.
2007 Translated By CoffeeCat Studio
堆文件的格式是libpcap的一种。这种格式中，包含了被捕捉到的包的二进制数据，并且，这种格式是许多网络工具所使用的一种标准，这些工具包括WinDump，Etheral和Snort。
保存数据包到堆文件
首先，让我们看一下如何将一个数据包写成libpcap的格式。
接下来的例子讲从一个选定的接口捕获数据包，并且将它们保存到用户指定的文件中。
#include "pcap.h" /* 回调函数原型 */ void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data); main(int argc, char **argv) { pcap_if_t *alldevs; pcap_if_t *d; int inum; int i=0; pcap_t *adhandle; char errbuf[PCAP_ERRBUF_SIZE]; pcap_dumper_t *dumpfile; /* 检查程序输入参数 */ if(argc != 2) { printf("usage: %s filename", argv[0]); return -1; } /* 获取本机设备列表 */ if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1) { fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf); exit(1); } /* 打印列表 */ for(d=alldevs; d; d=d->next) { printf("%d. %s", ++i, d->name); if (d->description) printf(" (%s)\n", d->description); else printf(" (No description available)\n"); } if(i==0) { printf("\nNo interfaces found! Make sure WinPcap is installed.\n"); return -1; } printf("Enter the interface number (1-%d):",i); scanf("%d", &inum); if(inum < 1 || inum > i) { printf("\nInterface number out of range.\n"); /* 释放列表 */ pcap_freealldevs(alldevs); return -1; } /* 跳转到选中的适配器 */ for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++); /* 打开适配器 */ if ( (adhandle= pcap_open(d->name, // 设备名 65536, // 要捕捉的数据包的部分 // 65535保证能捕获到不同数据链路层上的每个数据包的全部内容 PCAP_OPENFLAG_PROMISCUOUS, // 混杂模式 1000, // 读取超时时间 NULL, // 远程机器验证 errbuf // 错误缓冲池 ) ) == NULL) { fprintf(stderr,"\nUnable to open the adapter. %s is not supported by WinPcap\n", d->name); /* 释放设备列表 */ pcap_freealldevs(alldevs); return -1; } /* 打开堆文件 */ dumpfile = pcap_dump_open(adhandle, argv[1]); if(dumpfile==NULL) { fprintf(stderr,"\nError opening output file\n"); return -1; } printf("\nlistening on %s... Press Ctrl+C to stop...\n", d->description); /* 释放设备列表 */ pcap_freealldevs(alldevs); /* 开始捕获 */ pcap_loop(adhandle, 0, packet_handler, (unsigned char *)dumpfile); return 0; } /* 回调函数，用来处理数据包 */ void packet_handler(u_char *dumpfile, const struct pcap_pkthdr *header, const u_char *pkt_data) { /* 保存数据包到堆文件 */ pcap_dump(dumpfile, header, pkt_data); }
你可以看到，这个程序的结构和前面几讲的程序非常相似，它们的区别有：
从堆文件中读取数据包
既然我们有了可用的堆文件，那我们就能读取它的内容了。 以下代码将打开一个WinPcap/libpcap的堆文件，并显示文件中每一个包的信息。文件通过 pcap_open_offline() 打开，然后，我们通常使用 pcap_loop() 来有序获取数据包。你可以看到，从脱机文件中读取数据包和从物理接口中接收它们是很相似的。
这个例子还会介绍另一个函数：pcap_createsrcsrc()。这个函数用于创建一个源字符串，这个源字符串以一个标志开头，这个标志会告诉WinPcap这个源的类型。比如，使用"rpcap://"标志来打开一个适配器，使用"file://"来打开一个文件。如果 pcap_findalldevs_ex() 已经被使用，那么这部是不需要的，因为其返回值已经包含了这些字符串。然而，在这个例子中，我们需要它。因为文件的名字来自于用户的输入。
#include <stdio.h> #include <pcap.h> #define LINE_LEN 16 void dispatcher_handler(u_char *, const struct pcap_pkthdr *, const u_char *); main(int argc, char **argv) { pcap_t *fp; char errbuf[PCAP_ERRBUF_SIZE]; char source[PCAP_BUF_SIZE]; if(argc != 2){ printf("usage: %s filename", argv[0]); return -1; } /* 根据新WinPcap语法创建一个源字符串 */ if ( pcap_createsrcstr( source, // 源字符串 PCAP_SRC_FILE, // 我们要打开的文件 NULL, // 远程主机 NULL, // 远程主机端口 argv[1], // 我们要打开的文件名 errbuf // 错误缓冲区 ) != 0) { fprintf(stderr,"\nError creating a source string\n"); return -1; } /* 打开捕获文件 */ if ( (fp= pcap_open(source, // 设备名 65536, // 要捕捉的数据包的部分 // 65535保证能捕获到不同数据链路层上的每个数据包的全部内容 PCAP_OPENFLAG_PROMISCUOUS, // 混杂模式 1000, // 读取超时时间 NULL, // 远程机器验证 errbuf // 错误缓冲池 ) ) == NULL) { fprintf(stderr,"\nUnable to open the file %s.\n", source); return -1; } // 读取并解析数据包，直到EOF为真 pcap_loop(fp, 0, dispatcher_handler, NULL); return 0; } void dispatcher_handler(u_char *temp1, const struct pcap_pkthdr *header, const u_char *pkt_data) { u_int i=0; /* 打印pkt时间戳和pkt长度 */ printf("%ld:%ld (%ld)\n", header->ts.tv_sec, header->ts.tv_usec, header->len); /* 打印数据包 */ for (i=1; (i < header->caplen + 1 ) ; i++) { printf("%.2x ", pkt_data[i-1]); if ( (i % LINE_LEN) == 0) printf("\n"); } printf("\n\n"); }
下面的程序同样实现了如上功能，只是，我们使用了 pcap_next_ex() 函数来代替需要进行回调的 pcap_loop() 。
#include <stdio.h> #include <pcap.h> #define LINE_LEN 16 main(int argc, char **argv) { pcap_t *fp; char errbuf[PCAP_ERRBUF_SIZE]; char source[PCAP_BUF_SIZE]; struct pcap_pkthdr *header; const u_char *pkt_data; u_int i=0; int res; if(argc != 2) { printf("usage: %s filename", argv[0]); return -1; } /* 根据新WinPcap语法创建一个源字符串 */ if ( pcap_createsrcstr( source, // 源字符串 PCAP_SRC_FILE, // 我们要打开的文件 NULL, // 远程主机 NULL, // 远程主机端口 argv[1], // 我们要打开的文件名 errbuf // 错误缓冲区 ) != 0) { fprintf(stderr,"\nError creating a source string\n"); return -1; } /* 打开捕获文件 */ if ( (fp= pcap_open(source, // 设备名 65536, // 要捕捉的数据包的部分 // 65535保证能捕获到不同数据链路层上的每个数据包的全部内容 PCAP_OPENFLAG_PROMISCUOUS, // 混杂模式 1000, // 读取超时时间 NULL, // 远程机器验证 errbuf // 错误缓冲池 ) ) == NULL) { fprintf(stderr,"\nUnable to open the file %s.\n", source); return -1; } /* 从文件获取数据包 */ while((res = pcap_next_ex( fp, &header, &pkt_data)) >= 0) { /* 打印pkt时间戳和pkt长度 */ printf("%ld:%ld (%ld)\n", header->ts.tv_sec, header->ts.tv_usec, header->len); /* 打印数据包 */ for (i=1; (i < header->caplen + 1 ) ; i++) { printf("%.2x ", pkt_data[i-1]); if ( (i % LINE_LEN) == 0) printf("\n"); } printf("\n\n"); } if (res == -1) { printf("Error reading the packets: %s\n", pcap_geterr(fp)); } return 0; }
使用pcap_live_dump将包写入堆文件
注意： 此时，由于新内核缓冲的一些问题，这个特性可能不可用。
WinPcap的最近几个版本提供了一个更好的途径，来讲数据流保存到磁盘，那就是 pcap_live_dump() 函数。 pcap_live_dump() 函数有3个参数：文件名，文件最大的大小(字节为单位)，和文件可以允许存储的数据包的最大数量 。 0表示没有限制。 注意，在调用 pcap_live_dump() 将数据流保存下来之前，程序可以设置过滤器(使用 pcap_setfilter()，详情请参见教程的 过滤数据包这部分) ，这样，我们就可以定义要保存的那部分数据流了。
pcap_live_dump() 不会被阻塞， 因此，它开始堆处理后会立即返回。 堆处理以异步的方式进行，直到文件达到最大大小或者存储的数据包达到最大数量。
应用程序可以使用 pcap_live_dump_ended()来检查数据是否存储完毕。 特别注意： sync 参数必须是非零的， 如果它们是0，那么程序将永远被阻塞。
/* * Copyright (c) 1999 - 2005 NetGroup, Politecnico di Torino (Italy) * Copyright (c) 2005 - 2006 CACE Technologies, Davis (California) * All rights reserved. * * Redistribution and use in source and binary forms, with or without * modification, are permitted provided that the following conditions * are met: * * 1. Redistributions of source code must retain the above copyright * notice, this list of conditions and the following disclaimer. * 2. Redistributions in binary form must reproduce the above copyright * notice, this list of conditions and the following disclaimer in the * documentation and/or other materials provided with the distribution. * 3. Neither the name of the Politecnico di Torino, CACE Technologies * nor the names of its contributors may be used to endorse or promote * products derived from this software without specific prior written * permission. * * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS * "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT * LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR * A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT * OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, * SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT * LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, * DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY * THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE * OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. * */ #include <stdlib.h> #include <stdio.h> #include <pcap.h> #error At the moment the kernel dump feature is not supported in the driver main(int argc, char **argv) { pcap_if_t *alldevs, *d; pcap_t *fp; u_int inum, i=0; char errbuf[PCAP_ERRBUF_SIZE]; printf("kdump: saves the network traffic to file using WinPcap kernel-level dump faeature.\n"); printf("\t Usage: %s [adapter] | dump_file_name max_size max_packs\n", argv[0]); printf("\t Where: max_size is the maximum size that the dump file will reach (0 means no limit)\n"); printf("\t Where: max_packs is the maximum number of packets that will be saved (0 means no limit)\n\n"); if(argc < 5){ /* 用户没有提供数据源。获取设备列表 */ if (pcap_findalldevs(&alldevs, errbuf) == -1) { fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf); exit(1); } /* 打印列表 */ for(d=alldevs; d; d=d->next) { printf("%d. %s", ++i, d->name); if (d->description) printf(" (%s)\n", d->description); else printf(" (No description available)\n"); } if(i==0) { printf("\nNo interfaces found! Make sure WinPcap is installed.\n"); return -1; } printf("Enter the interface number (1-%d):",i); scanf("%d", &inum); if(inum < 1 || inum > i) { printf("\nInterface number out of range.\n"); /* 释放列表 */ return -1; } /* 跳转到所选的设备 */ for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++); /* 打开设备 */ if ( (fp = pcap_open_live(d->name, 100, 1, 20, errbuf) ) == NULL) { fprintf(stderr,"\nError opening adapter\n"); return -1; } /* 释放设备列表 */ pcap_freealldevs(alldevs); /* 开始堆过程 */ if(pcap_live_dump(fp, argv[1], atoi(argv[2]), atoi(argv[3]))==-1){ printf("Unable to start the dump, %s\n", pcap_geterr(fp)); return -1; } } else{ /* 打开设备 */ if ( (fp= pcap_open_live(argv[1], 100, 1, 20, errbuf) ) == NULL) { fprintf(stderr,"\nError opening adapter\n"); return -1; } /* 开始堆过程 */ if(pcap_live_dump(fp, argv[0], atoi(argv[1]), atoi(argv[2]))==-1){ printf("Unable to start the dump, %s\n", pcap_geterr(fp)); return -1; } } /* 等待，知道堆过程完成，也就是当数据到达max_size或max_packs的时候 */ pcap_live_dump_ended(fp, TRUE); /* 关闭适配器，这样，就可以将数据立刻输出到文件了 */ pcap_close(fp); return 0; }
pcap_live_dump() 和 pcap_dump()的区别，除了可以设置限制之外，就是运行结果。 pcap_live_dump() 利用了WinPcap NPF驱动自带的功能， (详情请参见 NPF驱动核心手册) ，在内核级来写堆文件，并将上下文交换的数量和内存拷贝的数量最小化。
显然，这个特性目前并不能应用于其它操作系统，因为 pcap_live_dump() 是WinPcap的特性之一，并且只运行于Win32平台下。
documentation. Copyright (c) 2002-2005 Politecnico di Torino. Copyright (c) 2005-2007
CACE Technologies. All rights reserved.
2007 Translated By CoffeeCat Studio