2
Я хочу реализовать команду tcpdump -i eth0 arp для наблюдения за пакетами arp на интерфейсе eth0 на моем ubuntu. Я использую libpcap, но возвращаемое значение функции pcap_next_ex всегда равно 0. С tcpdump -i eth0 arp в то же время он может наблюдать arp-пакеты.Как реализовать tcpdump -i интерфейс arp с libpcap
/*
* compile(root): gcc test.c -lpcap
* run : ./a.out
* output : time out
* time out
* time out
* ...
*/
#include <pcap.h>
#include <stdlib.h>
#include <string.h>
#include <stdio.h>
#define ARP_REQUEST 1
#define ARP_REPLY 2
typedef struct arp_hdr_s arp_hdr_t;
struct arp_hdr_s {
u_int16_t htype;
u_int16_t ptype;
u_char hlen;
u_char plen;
u_int16_t oper;
u_char sha[6];
u_char spa[4];
u_char tha[6];
u_char tpa[4];
};
#define MAXBYTES2CAPTURE 2048
int
main(int argc, char **argv)
{
char err_buf[PCAP_ERRBUF_SIZE];
const unsigned char *packet;
int i;
int ret;
arp_hdr_t *arp_header;
bpf_u_int32 net_addr;
bpf_u_int32 mask;
pcap_t *desrc;
struct pcap_pkthdr *pkthdr;
struct bpf_program filter;
net_addr = 0;
mask = 0;
memset(err_buf, 0, PCAP_ERRBUF_SIZE);
desrc = pcap_open_live("eth0", MAXBYTES2CAPTURE, 0, 512, err_buf);
if (desrc == NULL) {
fprintf(stderr, "error: %s\n", err_buf);
exit(-1);
}
ret = pcap_lookupnet("eth0", &net_addr, &mask, err_buf);
if (ret < 0) {
fprintf(stderr, "error: %s\n", err_buf);
exit(-1);
}
ret = pcap_compile(desrc, &filter, "arp", 1, mask);
if (ret < 0) {
fprintf(stderr, "error: %s\n", pcap_geterr(desrc));
exit(-1);
}
ret = pcap_setfilter(desrc, &filter);
if (ret < 0) {
fprintf(stderr, "errnor: %s\n", pcap_geterr(desrc));
exit(-1);
}
while (1) {
ret = pcap_next_ex(desrc, &pkthdr, &packet);
if (ret == -1) {
printf("%s\n", pcap_geterr(desrc));
exit(1);
} else if (ret == -2) {
printf("no more\n");
} else if (ret == 0) { // here
printf("time out\n");
continue;
}
arp_header = (arp_hdr_t *)(packet + 14);
if (ntohs(arp_header->htype) == 1 && ntohs(arp_header->ptype == 0x0800)) {
printf("src IP: ");
for (i = 0; i < 4; i++) {
printf("%d.", arp_header->spa[i]);
}
printf("dst IP: ");
for (i = 0; i < 4; i++) {
printf("%d.", arp_header->tpa[i]);
}
printf("\n");
}
}
return 0;
}
Да, это работает! У меня есть 2 вопроса. В приведенном выше коде «eth0» непосредственно задается как первый параметр 'pcap_open_live'. Если я хочу наблюдать «eth0», а не «eth1» «eth2» .. на моем хосте (несколько интерфейсов), как я могу сделать это с помощью 'pcap_lookupdev' или другими способами? Есть ли хороший способ с libpcap для наблюдения за пакетами arp? Я думаю, что моя программа немного сложна и беспорядочна. – hel
Если вы хотите наблюдать «eth0», вы делаете именно то, что должны делать - вы передаете «eth0» в качестве аргумента в 'pcap_open_live()'. Что вы действительно спрашиваете? –
«Есть ли хороший способ с libpcap для наблюдения за пакетами arp? Я думаю, что моя программа немного сложна и беспорядочна». Вы посмотрели файл 'print-arp.c' tcpdump или' пакет-arp.c' Wireshark? Обработка вашей программы ARP-пакетами * намного проще, чем более полный пакетный анализ ARP, выполненный обеими этими программами. И их код для захвата также более сложный. –