網(wǎng)絡(luò)編程技術(shù)part使用Npcap捕獲和分析數(shù)據(jù)9Npcap相關(guān)函數(shù)Npcap捕獲數(shù)據(jù)Npcap分析數(shù)據(jù)本講要點(diǎn)目錄/ContentsNpcap相關(guān)函數(shù)Npcap捕獲數(shù)據(jù)Npcap分析數(shù)據(jù)Npcap相關(guān)函數(shù)基于Npcap的網(wǎng)絡(luò)程序設(shè)計(jì)中，數(shù)據(jù)捕獲與分析是最主要的應(yīng)用。Npcap相關(guān)函數(shù)數(shù)據(jù)捕獲與分析函數(shù)1：pcap_loop()函數(shù)2：pcap_dispatch()相同點(diǎn)都可用于采集一組數(shù)據(jù)包不同點(diǎn)在于函數(shù)返回條件不同，pcap_dispatch()函數(shù)的處理是當(dāng)超時(shí)時(shí)間到了就返，而pcap_loop()函數(shù)只有當(dāng)數(shù)據(jù)包被捕獲到才返回。Npcap相關(guān)函數(shù)pcap_loop()用于采集一組數(shù)據(jù)包，該函數(shù)定義如下：intpcap_loop( pcap_t*p,//指定一個(gè)打開(kāi)的Npcap會(huì)話intcnt,//指定函數(shù)返回前所處理數(shù)據(jù)包的最大值pcap_handlercallback,//采集數(shù)據(jù)包后調(diào)用的處理函數(shù)u_char*user //傳遞給回調(diào)函數(shù)callback的參數(shù));目錄/ContentsNpcap相關(guān)函數(shù)Npcap捕獲數(shù)據(jù)Npcap分析數(shù)據(jù)Npcap捕獲數(shù)據(jù)分析數(shù)據(jù)包的程序主要工作流程如下第一步，加載Npcap及其函數(shù)；第二步，檢索并打印本地機(jī)器上的設(shè)備列表；第三步，選定待捕獲數(shù)據(jù)包的網(wǎng)絡(luò)設(shè)備；第四步，捕獲網(wǎng)絡(luò)上所有的數(shù)據(jù)包。Npcap捕獲數(shù)據(jù)第一步調(diào)用LoadNpcapDlls()函數(shù)加載Npcap及其函數(shù)，代碼示例如下：

/*加載Npcap及其函數(shù).*/if(!LoadNpcapDlls()){fprintf(stderr,"Couldn'tloadNpcap\n");exit(1);}Npcap捕獲數(shù)據(jù)第二步檢索并打印本地機(jī)器上的設(shè)備列表，代碼示例如下：

/*檢索本地機(jī)器上的設(shè)備列表*/if(pcap_findalldevs_ex(PCAP_SRC_IF_STRING,NULL,&alldevs,errbuf)==-1){fprintf(stderr,"Errorinpcap_findalldevs:%s\n",errbuf);exit(1);}Npcap捕獲數(shù)據(jù)第二步檢索并打印本地機(jī)器上的設(shè)備列表，代碼示例如下：

/*打印列表*/for(d=alldevs;d;d=d->next){printf("%d.%s",++i,d->name);if(d->description)printf("(%s)\n",d->description);elseprintf("(Nodescriptionavailable)\n");}Npcap捕獲數(shù)據(jù)第三步調(diào)用pcap_open()函數(shù)選定待捕獲數(shù)據(jù)包的網(wǎng)絡(luò)設(shè)備，代碼示例如下：

/*打開(kāi)設(shè)備*/if((adhandle=pcap_open(d->name,//nameofthedevice65536,//portionofthepackettocapture//65536guaranteesthatthewholepacketwill//becapturedonallthelinklayersPCAP_OPENFLAG_PROMISCUOUS,//promiscuousmode1000,//readtimeoutNULL,//authenticationontheremotemachineerrbuf//errorbuffer))==NULL)Npcap捕獲數(shù)據(jù)第四步調(diào)用pcap_loop()函數(shù)捕獲網(wǎng)絡(luò)上所有的數(shù)據(jù)包，代碼示例如下：/*packet_handler函數(shù)原型*/voidpacket_handler(u_char*param,conststructpcap_pkthdr*header,constu_char*pkt_data);pcap_if_t*alldevs;//獲取到的設(shè)備列表pcap_t*adhandle;//用于捕獲數(shù)據(jù)的Npcap會(huì)話/*開(kāi)始捕獲*/pcap_loop(adhandle,0,packet_handler,NULL);目錄/ContentsNpcap相關(guān)函數(shù)Npcap捕獲數(shù)據(jù)Npcap分析數(shù)據(jù)Npcap分析數(shù)據(jù)分析數(shù)據(jù)包的程序主要工作流程如下第一步，加載Npcap及其函數(shù)；第二步，獲得本地主機(jī)上的網(wǎng)絡(luò)設(shè)備；第三步，選定待捕獲數(shù)據(jù)包的網(wǎng)絡(luò)設(shè)備；第四步，捕獲并分析網(wǎng)絡(luò)上所有的數(shù)據(jù)包。Npcap分析數(shù)據(jù)第四步捕獲到的數(shù)據(jù)，我們看到的是獨(dú)立的原始數(shù)據(jù)幀，包括幀頭、幀數(shù)據(jù)，另外Npcap還為每個(gè)幀附加了一個(gè)原始數(shù)據(jù)包的首部，用以描述幀的到達(dá)時(shí)間和長(zhǎng)度信息，數(shù)據(jù)分析工作是以原始數(shù)據(jù)包和數(shù)據(jù)包頭結(jié)構(gòu)為基礎(chǔ)進(jìn)行的。Npcap分析數(shù)據(jù)數(shù)據(jù)包分析步驟第一步定義首部結(jié)構(gòu)；第二步解析捕獲數(shù)據(jù)包。Npcap分析數(shù)據(jù)第一步定義IP地址結(jié)構(gòu)、IPv4首部結(jié)構(gòu)和UDP首部結(jié)構(gòu)，以便于在數(shù)據(jù)分析過(guò)程中讀取不同首部的地址信息，以UDP首部為例，代碼實(shí)例如下：/UDP首部typedefstructudp_header{u_shortsport;//源端口(Sourceport)u_shortdport;//目的端口(Destinationport)u_shortlen;//UDP數(shù)據(jù)包長(zhǎng)度(Datagramlength)u_shortcrc;//校驗(yàn)和(Checksum)}udp_header;Npcap分析數(shù)據(jù)第二步在回調(diào)函數(shù)packet_handler()中處理對(duì)數(shù)據(jù)包的解析和打印工作，代碼實(shí)例如下：//獲得IP數(shù)據(jù)包首部的位置ih=(ip_header*)(pkt_data+14);//獲得UDP首部的位置ip_len=(ih->ver_ihl&0xf)*4;uh=(udp_header*)((u_char*)ih+ip_len);//將網(wǎng)絡(luò)字節(jié)序列轉(zhuǎn)換成主機(jī)字節(jié)序