libpcap抓包分析项目（三）

最新推荐文章于 2023-04-27 10:20:25 发布
原创 最新推荐文章于 2023-04-27 10:20:25 发布 · 1.2k 阅读 · 8 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文介绍如何使用libpcap从pcapng文件中解析数据包头部信息，包括以太网帧、PPPoE、PPP、IP、UDP及RIP头部。通过pcap_open_offline()函数读取离线文件，并展示PPPoE和PPP协议PDU头部解析的代码实现，最终成功分离出TS流数据。

在项目二中，我们完成了对局域网中数据包的抓取以及对数据包头部信息的解析，接下来我们要从Wireshark已经抓取并保存好的pcapng文件中解析数据包，提取各层的含义，在本例中，我的pcapng文件包含以太网帧、PPPoE头部、PPP头部、IP头部、UDP头部以及RIP头部，最后提取数据可以还原成TS流文件，是一个电视剧片段。

这次我们的任务就是从pcapng文件中抓获一个数据包，然后把它的头部信息解析出来。

之前我们一直在用pcap_opne_live()函数来打开设备，现在我们不需要打开网卡设备去抓取实时的在线数据包了，而是从文件中读取数据包，所以我们使用pcap_open_offline()函数，来打开离线文件，从离线文件中抓取数据包并解析。

函数用法（传送门）：https://blog.csdn.net/zjl_1026_2001/article/details/2202436

使用Wireshark观察一下离线文件
在这里插入图片描述
数据包中的内容就是我上面分析的内容，我们来看一下PPPoE和PPP协议的PDU头部：
在这里插入图片描述
这里我们自定义一个PPPoE的头文件：PPPoE.h

#include <linux/ip.h>

struct PPPoEhdr {
	__u8  version:4,
		type:4;
	__u8	code;
	__be16	session_id;
	__be16	length;
};

接下来是分析并输出的代码，代码中有较为详细的注释，希望对大家有所帮助。

#include <stdio.h>
#include <stdlib.h>
#include <pcap.h>
#include <time.h>
#include <unistd.h>
#include <errno.h>
#include <sys/socket.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <netinet/if_ether.h>
#include <linux/ip.h>
#include <linux/tcp.h>
#include <linux/udp.h>
#include "PPPoE.h"

//输出以太网帧头部信息
void print_ether_header_info(struct ether_header *eptr){
	int i;	
	u_char *ptr;
	
	printf("Enthernet II:\n");
	ptr = eptr->ether_dhost;//目的MAC地址
	i = ETHER_ADDR_LEN;
	printf("Destination MAC addres: ");	
	do{
        	printf ("%s%02x", (i == ETHER_ADDR_LEN)?"":":", *ptr++);
    	}while(--i>0);
   	printf ("\n");
	
	ptr = eptr->ether_shost;//源MAC地址
    	i = ETHER_ADDR_LEN;
	printf("Sourse MAC address: ");
	do{
        	printf ("%s%02x", (i == ETHER_ADDR_LEN)?"":":", *ptr++);
    	}while(--i>0);
	printf("\n");

	printf("Enthernet type: %#04x ",ntohs(eptr->ether_type));//负载类型
	switch(ntohs(eptr->ether_type)){
		case ETHERTYPE_IP:
			printf("(IPv4)\n");
			break;
		case ETHERTYPE_ARP:
			printf("(ARP)\n");
			break;
		case ETHERTYPE_REVARP:
			printf("(RARP)\n");
			break;
		case 0X8864:
			printf("(PPPoE)\n");
			break;
		default:
			printf("(Other)\n");
			break;
	}
}

//输出PPPoE头部信息
void print_PPPoE_header_info(struct PPPoEhdr *PPPoEptr){
	char *c;
	c = (char *)(PPPoEptr);
	printf("\nPPP-over-Ethernet Session:\n");
	printf("Version: %d\n",PPPoEptr->version);//版本
	printf("Type: %d\n",PPPoEptr->type);//类型
	printf("Code: Session data(0x%#04x)\n",PPPoEptr->code);
	//printf("Session id: %d\n",ntohs(PPPoEptr->session_id));
	printf("Session id: 0x%02x%02x\n",(*(c + 2)),(*(c + 3)));
	printf("Length: %d\n",ntohs(PPPoEptr->length));//长度
}

//输出PPP头部信息
void print_PPP_header_info(int i,const u_char *packet){
	printf("\nPoint-to-Point Portocol:\n");
	if(packet[i]==0x00 && packet[i+1]==0x21)
		printf("Protocol: Internet Portocol version 4(0x0021)\n");
	else
		printf("Protocol: Unknow(0x%02x%02x)",packet[i],packet[i+1]);
}

//输出IP头部信息
void print_ip_header_info(struct iphdr *ipptr){		
	struct in_addr addr;
	char *c;
	c = (char *)(ipptr);
	
	printf("\nInternet Portocol:\n");
	printf("Version: %d\n",ipptr->version);//版本号
	printf("Header length: %d\n",ipptr->ihl);//头部长度
	printf("Total length: %d\n",ntohs(ipptr->tot_len));//总长度
	printf("Identification: %#x\n",ipptr->id);//认证
	c += 6;
	printf("Flags: 0x%02x%02x",(*c),(*(c + 1)));//分片标志位DF，MF
	if((*c)==0x40&&(*(c+1))==0x00)
		printf(" Don't fragment\n");
	else printf(" More fragment\n");
	printf("Time to live: %d\n",ipptr->ttl);//TTL
	printf("Protocol: ");//传输层协议
	switch(ipptr->protocol){
		case 1:
			printf("ICMP(1)\n");
			break;
		case 2:
			printf("IGMP(2)\n");
			break;
		case 6:
			printf("TCP(6)\n");
			break;
		case 17:
			printf("UDP(17)\n");
			break;
		default:
			printf("Unknow(%d)\n",ipptr->protocol);
			break;
	}
	c += 4;
	printf("Header checksum: 0x%02x%02x\n",(*(unsigned char *)c),(*(unsigned char *)(c+1)));//检验和
	addr.s_addr = ipptr->saddr;
	printf("Source IP address: %s\n",inet_ntoa(addr));//源IP地址
	addr.s_addr = ipptr->daddr;
	printf("Destination IP address: %s\n",inet_ntoa(addr));//目的IP地址
}

//输出TCP头部信息
void print_tcp_header_info(struct tcphdr *tcpptr){
	char *c = (char *)(tcpptr);
	printf("\nTransmission Control Protocol(TCP):\n"); 
	printf("Destination port: %d\n",ntohs(tcpptr->dest));//目的端口
	printf("Source port: %d\n",ntohs(tcpptr->source));//源端口
	printf("Seq: %u\n",ntohs(tcpptr->seq));//确认号
	c += 16;
	printf("Checksum: 0x%02x%02x\n",(*(unsigned char *)c),(*(unsigned char *)(c+1)));//检验和
}

//输出UDP头部信息
void print_udp_header_info(struct udphdr *udpptr){
	char *c = (char *)(udpptr);
	printf("\nUser Datagram Protocol(UDP):\n");
	printf("Source port: %d\n",ntohs(udpptr->source));//源端口
	printf("Destination port: %d\n",ntohs(udpptr->dest));//目的端口
	printf("Length: %d\n",ntohs(udpptr->len));//长度
	c += 6;
	printf("Checksum: 0x%02x%02x\n",(*(unsigned char *)c),(*(unsigned char *)(c+1)));//检验和
}

//输出数据信息
void print_data_info(int j,const struct pcap_pkthdr *pkthdr,const u_char *packet){
	int i;
	printf("\nData:\n");
	for(i=0;j<pkthdr->len;i++,j++){
		printf(" %02x",packet[j]);
		if((i+1)%16==0)
			printf("\n");
	}
	printf("\n");
}

//回调函数
void print_info(u_char *user,const struct pcap_pkthdr *pkthdr,const u_char *packet){
	int j,*id;
	struct ether_header *eptr;
	struct iphdr *ipptr;
	struct tcphdr *tcpptr;
	struct udphdr *udpptr;
	struct PPPoEhdr *PPPoEptr;
	
	j = 0,id = (int *)user;
	printf("id: %d\n",++(*id));
	printf("Packet length: %d\n",pkthdr->len);//包的长度
	printf("Number of bytes: %d\n",pkthdr->caplen);//包的比特数
	printf("Reciverd time: %s\n",ctime((const time_t *)&pkthdr->ts.tv_sec));//收到包的时间
	
	//获取以太网帧头部
	eptr = (struct ether_header*)packet;
	print_ether_header_info(eptr);
	j += sizeof(struct ether_header);
	
	switch(ntohs(eptr->ether_type)){
		//获取PPPoE协议头部
		case 0x8864:
			PPPoEptr = (struct PPPoEhdr *)(packet + sizeof(struct ether_header));
			print_PPPoE_header_info(PPPoEptr);
			j += sizeof(struct PPPoEhdr);

			print_PPP_header_info(j,packet);
			j += 2;
			
			//获取IP数据包头部
			if(packet[j-2]==0x00 && packet[j-1]==0x21){
				ipptr = (struct iphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2);
				print_ip_header_info(ipptr);
				j += sizeof(struct iphdr);
				switch(ipptr->protocol){
					//获取tcp数据包
					case 6:
						tcpptr = (struct tcphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2 + sizeof(struct iphdr));
						print_tcp_header_info(tcpptr);
						j += sizeof(struct tcphdr);
						break;
					//获取udp数据包
					case 17:
						udpptr = (struct udphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2 + sizeof(struct iphdr));
						print_udp_header_info(udpptr);
						j += sizeof(struct udphdr);
						if(packet[j]==0x80)
							j += 12;
						break;
					default:
						printf("\nThis packet didn't use TCP/UDP protocol.\n");
						break;
				}
			}
			break;
		//获取IP数据包头部
		case ETHERTYPE_IP:
			ipptr = (struct iphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2);
			print_ip_header_info(ipptr);
			j += sizeof(struct iphdr);
			switch(ipptr->protocol){
				//获取tcp数据包
				case 6:
					tcpptr = (struct tcphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2 + sizeof(struct iphdr));
					print_tcp_header_info(tcpptr);
					j += sizeof(struct tcphdr);
					break;
				//获取udp数据包
				case 17:
					udpptr = (struct udphdr *)(packet + sizeof(struct ether_header) + sizeof(struct PPPoEhdr) + 2 + sizeof(struct iphdr));
					print_udp_header_info(udpptr);
					j += sizeof(struct udphdr);
					break;
				default:
					printf("\nThis packet didn't use TCP/UDP protocol.\n");
					break;
			}
			break;
		default:
			printf("\nThis packet didn't use IP/PPPoE protocol.\n");
			break;
	}

	//获取数据，如果不是IP，不是UDP/TCP则把其他协议的头部当作数据处理
	if((pkthdr->len - j) % 188 == 0)
		printf("\nThis packet is a TS frame file.\n");
	else
		printf("\nThis packet is not TS frame file.\n");
	print_data_info(j,pkthdr,packet);	

	printf("\n\n");
}

//主函数
int main(){
	//char *device;
	char errBuf[PCAP_ERRBUF_SIZE];
	pcap_t *head;
	int id;
	
	//device = "ens33";//转换成ens33网卡
	//打开设备device，最大字节数65535，不处于混杂模式，不抓到数据包不返回，错误提示消息
	//head = pcap_open_live(device,65535,0,0,errBuf);

	head = pcap_open_offline("医院镜像流.pcapng",errBuf);
	if(head){
		printf("Open device success!\n");
	}else{
		printf("Open device failed. %s\n",errBuf);
		return 0;
	}
	
	//等待一个包返回
	struct pcap_pkthdr packet;
	const u_char *packetflag = pcap_next(head,&packet);
	if(packetflag){
		printf("Get a pcaket success.\n");
		id = 0;
		pcap_loop(head,1,print_info,(u_char *)&id);
	}else{
		printf("Get a pcaket failed. %s\n",errBuf);
		pcap_close(head);
		return 0;
	}
	
	//关闭设备，归还资源
	pcap_close(head);
	
	return 0;
}

来看一下程序运行结果：
在这里插入图片描述
在这里插入图片描述
成功解析各层PDU头部并分离出以0x47开头的TS流数据文件！

PS：本系列完整文章：
libpcap抓包分析项目（六）：https://blog.csdn.net/NCU_CirclePlan/article/details/95624720
libpcap抓包分析项目（五）：https://blog.csdn.net/NCU_CirclePlan/article/details/95601520
libpcap抓包分析项目（四）：https://blog.csdn.net/NCU_CirclePlan/article/details/95500092
libpcap抓包分析项目（三）：https://blog.csdn.net/NCU_CirclePlan/article/details/95451728
libpcap抓包分析项目（二）：https://blog.csdn.net/NCU_CirclePlan/article/details/95353239
libpcap抓包分析项目（一）：https://blog.csdn.net/NCU_CirclePlan/article/details/95351331
libpcap的安装：https://blog.csdn.net/NCU_CirclePlan/article/details/95342991

本系列相关的源文件已经上传，有需要的朋友可以自行下载：https://download.csdn.net/download/ncu_circleplan/11340737

libpcap+抓包解析示例
12-11
该示例可以在win10_x86、麒麟V10_arm_华为擎云9000L、麒麟V10_x86、麒麟V4_arm_飞腾2000上运行。 可以根据过滤器，抓取过滤arp、udp、tcp、icmp数据包。 由于系统限制，包最大每次抓包最大长度为1518字节，建议自定义的基于udp的通信协议包不要超过1450字节，这样的话，通过udp传输数据，就不会分片，可以用libpcap直接抓包，不用后期组包处理数据。 libpcap个人认为主要用于udp高密度数据传输，可以做到零丢包。
利用libpcap抓包（三）----------数据包解析函数的实现
lw_yang的博客
09-29 5733
下面是对抓取到的数据包进行解析，分2层以太网的解析，3层ip，icmp的解析，4层tcp，udp的解析 /****************************************************************************** 文 件 名 : callback.c 版 本 号 : V1.1 负 责 人 : Sophisticated ...
用libpcap解析TCP/UDP
计算机的专栏
02-18 5301
解析TCP/UDP 1.定义结构体以太网、IP、TCP、UDP包头的信息 2. 利用pcap_lookupdev（）函数得到网络接口的名字 3.利用pcap_lookupnet（）得到网络地址和网络掩码 4.利用pcap_open_live（）来捕获一个网络包 5.利用pcap_compile（）编译过滤规则 6.利用pcap_setfilter（）来设置过滤规则 7.利用pcap
学习笔记（1):谈谈PPPoE，PPTP和L2TP-Wireshark抓包分析PPPoE
zgg0167的博客
06-06 2119
通过实验和Wireshark抓包方式来分析PPPoE，PPTP和L2TP技术
libpcap解析pcapng文件
weixin_45087979的博客
07-20 2140
libpcap(PacketCaptureLibrary)即数据包捕获函数库，是Unix/Linux平台下的网络数据包捕获函数库。它是独立于系统的用户层包捕获的API接口，为底层网络监测提供了一个可移植的框架。
libpcap库函数介绍(附源代码）
IT老兵
09-04 2万+
libpcap的英文意思是 Packet Capture library，即数据包捕获函数库。该库提供的C函数接口可用于需要捕获经过网络接口（只要经过该接口，目标地址不一定为本机）数据包的系统开发上。由 Berkeley大学Lawrence Berkeley National Laboratory研究院的Van Jacobson、Craig Leres和Steven McCanne编写。该函数库支
基于libpcap实现抓包程序
成长之路
04-28 1万+
紧接着上一篇，成功通过tcpdump和wireshark抓包后，试试自己写一个抓包器。这里我们使用libpcap库开发。 原创文章欢迎转载，请保留出处。 若有任何疑问建议，欢迎回复。 邮箱:Maxwell_nc@163.com
Libpcap和Qt的安装及数据包抓包、过滤、保存
m0_62022097的博客
04-18 4062
是unix/linux平台下的网络数据包捕获函数包，大多数网络监控软件都以它为基础。Libpcap可以在绝大多数类unix平台下工作。Libpcap是一个网络数据包捕获函数库，功能非常强大，Linux下著名的tcpdump就是以它为基础的。
libpcap抓包分析项目（二）
NCU_CirclePlan的博客
07-10 1082
在项目（一）中，我们成功抓到了数据包并提取出了数据包中的基本信息，这次我们来输出数据包的所运用的各种协议，并输出每层协议的含义。（其实就是手写一个Wireshark）。 为了输出各层的信息所表示的含义，我们先来了解一下各层的PDU头部吧： 以太网帧头部 IP数据报头部： TCP数据报： UDP数据报： 在我的代码中，引用了一些Linux系统的库的头文件，而没有自己重新写一份头文件，库文...
libpcap抓包延时问题分析
weixin_38299404的博客
04-27 3027
按照上面的描述就会有个问题，如果抓取的网络包不是连续的，就会是的pcap_loop进入阻塞模式，如果这个时候有网络数据包过来，触发处理包的回调函数会有约一分钟的延时，对于实时系统或者类似Wireshark、Tcpdump等工具那就能立即反应的系统来说很不实用，因此上述方式并不实用与这种场景。因此，如果没有数据包到达，pcap_loop函数就会一直等待。在默认情况下，pcap_loop函数的超时时间是1秒，也就是说，如果1秒内没有数据包到达，pcap_loop函数就会返回，然后再次等待。函数之前是不可用的。
ubuntu20.06+libpcap抓包解析各层协议并保存为pcap文件
qq_43591361的博客
09-07 3941
libpcap(packet capture library)，数据包捕获函数库，是linux平台下的网络数据包捕获函数库。它是一个独立于系统的用户层的包捕获API接口，为底层网络监控提供了一个可移植的框架。
使用libpcap分析网络报文
G_BrightBoy的专栏
09-29 5788
最近要对tcpdump抓到的报文进行分析，开始的时候用wireshark的命令行工具tshark把分析的结果保存成文本文件然后再用正则表达式匹配需要的字段，这样好处是不用自己分析协议，只要抓取需要的字段就行了，缺点是相当地慢，330M的tcpdump文件经过tshark处理后得到
c语言pcap解析,libpcap底层实现变化的分析
weixin_30005929的博客
05-19 380
execve("./t-1.1.0", ["./t-1.1.0", "eth0", "172.16.11.11", "./DHT_nodes.sav"], [/* 52 vars */]) = 0brk(0) = 0x8a2e000access("/etc/ld.so.nohwcap", F_OK) = -1 ENOENT...
Libpcap TCP UDP 抓包
oooooops
01-20 3980
这个官方程序是比较好用的，实现了UDP，TCP的抓包。学习下~ #define APP_NAME "sniffex" #define APP_DESC "Sniffer example using libpcap" #define APP_COPYRIGHT "Copyright (c) 2005 The Tcpdump Group" #define APP_DISCLAIMER "THER
Linux 网络编程—— libpcap 详解
热门推荐
秋叶原 && Mike || 麦克
04-02 6万+
概述libpcap 是一个网络数据包捕获函数库，功能非常强大，Linux 下著名的 tcpdump 就是以它为基础的。libpcap主要的作用1）捕获各种数据包，列如：网络流量统计。2）过滤网络数据包，列如：过滤掉本地上的一些数据，类似防火墙。3）分析网络数据包，列如：分析网络协议，数据的采集。4）存储网络数据包，列如：保存捕获的数据以为将来进行分析。libpcap 的安装libpcap 的抓包框...
对wireshark捕捉的数据包，对数据帧头部、IP数据包头部、ICMP头部进行分析
sparrow_fly_2021的博客
11-13 4884
数据帧、IP数据包、ICMP协议分析
TCP头部格式详解，附Wireshark对TCP头部抓包分析
JorstinChan的专栏
06-13 5762
本文章转载自：http://www.ctowhy.com/125.html TCP之所以能为数据通讯提供可靠的传输，主要在于TCP数据包头部功能非常多。 那么，我们先来看看TCP头部格式（RFC 793、1323定义了TCP头部）： TCP头部格式中的内容解析如下：(文末还有Wireshark对TCP抓包分析图) （根据上图，按从上往下，从左往右的顺
网络编程工程实训_实验三 使用Libpcap库离线抓包并解析
Sandra_93的博客
07-13 2274
实验任务 使用前期搭建好的开发环境（Centos7.0+gcc+libpcap），使用C/C++语言开发一个应用程序，打开离线数据包文件（前期使用tcpdump抓取的数据包文件，已经发送给大家），从其中抓取一个数据包，并对数据包内容进行解析。 实验内容： 1.使用libpcap库的pcap_t *pcap_open_offline(const char *fname, char *errbuf)函...
利用libpcap分析网络上的数据包（入门级）
IT老兵
09-05 9191
本文可任意转载，但请保留作者及出处作者：rainfish出处：http://blog.csdn.net/bat603/经过几天的突击，终于明白了怎样在局域网内抓包，这可是我多年来的梦想。首先说说我的学习过程，一开始从网上搜索了关于sniffer大量资料，大致学会了，可是仔细分析结果发现，都是本机上的数据包，而不是整个局域网的。于是又查资料，在 linuxsir上有高人指点，说，现在局域网内都是交换
libpcap的安装
NCU_CirclePlan的博客
07-10 1981
最近参加了一个实训项目，是把一个WireShark抓到的pcapng文件用libpcap库还原成原始的TS流，需求分析弄了一天，安装环境用了一天，接下来再开始写代码，让我们一起完成这个项目吧。 首先是安装CentOS环境（其实只要是Linux就可以），这里给出资源网站：https://www.centos.org/download/ 可以选择DVD download或者最小化安装。 这里注意，如果...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值