linux如何抓包-nlchjian-ChinaUnix博客

nlchjian

博客访问： 891878
博文数量： 132
博客积分： 9976
博客等级：中将
技术积分： 1781
用户组：普通用户
注册时间： 2007-08-30 20:40

文章分类

全部博文（132）

hardware（1）
3G/GPS/CDMA（3）
gui（3）
algorithm（1）
Win（2）
life（2）

农历节日（1）

健康（0）
error_log（1）
others（3）
software enginee（5）
Linux system（23）

sys_app（0）

sys admin（9）

shell_programmin（4）

shell_command（2）
TCP/IP learn（0）
embedded system（29）

Seed_DVS357（1）

hardware（1）

tftp（2）

u-boot（12）
kernel_learn（8）

kernel error log（2）
Editor（10）
Visual C++（0）
DataStructure（0）
C/Cplusplus-lear（40）

linux-signal（2）

C函数用法（3）

network concerni（9）

linux kernel and（4）

C basic tips（12）

C error log（3）
未分配的博文（1）

文章存档

2013年（1）

2011年（1）

2010年（15）

2009年（77）

2008年（36）

2007年（2）

我的朋友

robiniao

相关博文

分类： LINUX

2008-11-24 11:20:28

如何在linux下编写抓包程序

悬赏分：50 - 解决时间：2008-6-23 15:43

在做一个项目，需要编写一个linux下的抓包程序。
虽然现在有很多流行的抓包程序，不过功能太复杂，我这个程序需要移植到嵌入式linux平台下面，需要越简单越好。
但对相关知识懂得不多，希望哪位能给点方向，或者说一下原理，多谢了！！！

提问者： -

你用SOCK_RAW的模式建立原始套接字然后接收包。
剩下的就全是分析内容的事情了。。。。最多再用一下多线程。

用到linux下socket编程的最基本知识，以及对网络协议细节的了解。前者随便找本socket编程的书就很详细了，后者你因该懂。

——————
例如，你需要include以下这些头：
stdio.h,stdlib.h, unistd.h, sys/socket.h, sys/types.h, netinet/if_ether.h, netinet/in.h,

然后建立socket的时候用
socket(PF_PACKET,SOCK_RAW,htons(ETH_P_IP))，这样就能用这个socket来监听以太网的包。
然后循环调用recvfrom函数来听这个socket的接受到的数据，再分析就好了。

如果要嗅探别人机器的包，就要用ARP欺骗了。。呵呵

　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　#include
　　void die(char *why, int n)
　　{
　　 perror(why);
　　 exit(n);
　　}
　　int do_promisc(char *nif, int sock )
　　{
　　struct ifreq ifr;
　　
　　strncpy(ifr.ifr_name, nif,strlen(nif)+1);
　　 if((ioctl(sock, SIOCGIFFLAGS, &ifr) == -1)) //获得flag
　　 {
　　 die("ioctl", 2);
　　 }
　　
　　 ifr.ifr_flags |= IFF_PROMISC; //重置flag标志
　　
　　 if(ioctl(sock, SIOCSIFFLAGS, &ifr) == -1 ) //改变模式
　　 {
　　 die("ioctl", 3);
　　 }
　　}
　　//修改网卡成PROMISC(混杂)模式
　　char buf[40960];
　　main()
　　{
　　struct sockaddr_in addr;
　　struct ether_header *peth;
　　struct iphdr *pip;
　　struct tcphdr *ptcp;
　　struct udphdr *pudp;
　　char mac[16];
　　int i,sock, r, len;
　　char *data;
　　char *ptemp;
　　char ss[32],dd[32];
　　if((sock = socket(AF_PACKET, SOCK_RAW, htons(ETH_P_ALL))) == -1) //建立socket
　　//man socket可以看到上面几个宏的意思
　　{
　　 die("socket", 1);
　　}
　　do_promisc("eth0", sock); //eth0为网卡名称
　　system("ifconfig");
　　for(;;)
　　{
　　 len = sizeof(addr);
　　 r = recvfrom(sock,(char *)buf,sizeof(buf), 0, (struct sockaddr *)&addr,&len);
　　 //调试的时候可以增加一个输出r的语句判断是否抓到包
　　 buf[r] = 0;
　　 ptemp = buf;
　　 peth = (struct ether_header *)ptemp;
　　 ptemp += sizeof(struct ether_header); //指针后移eth头的长度
　　 pip = (struct ip *)ptemp; //pip指向ip层的包头
　　 ptemp += sizeof(struct ip);//指针后移ip头的长度
　　 switch(pip->protocol) //根据不同协议判断指针类型
　　 {
　　 case IPPROTO_TCP:
　　 ptcp = (struct tcphdr *)ptemp; //ptcp指向tcp头部
　　 printf("TCP pkt :FORM:[%s]:[%d]\n",inet_ntoa(*(struct in_addr*)&(pip->saddr)),ntohs(ptcp->source));
　　 printf("TCP pkt :TO:[%s]:[%d]\n",inet_ntoa(*(struct in_addr*)&(pip->daddr)),ntohs(ptcp->dest));
　　
　　 break;
　　
　　 case IPPROTO_UDP:
　　 pudp = (struct udphdr *)ptemp; //ptcp指向udp头部
　　 printf("UDP pkt:\n len:%d payload len:%d from %s:%d to %s:%d\n",
　　 r,
　　 ntohs(pudp->len),
　　 inet_ntoa(*(struct in_addr*)&(pip->saddr)),
　　 ntohs(pudp->source),
　　 inet_ntoa(*(struct in_addr*)&(pip->daddr)),
　　 ntohs(pudp->dest)
　　 );
　　 break;
　　
　　 case IPPROTO_ICMP:
　　 printf("ICMP pkt:%s\n",inet_ntoa(*(struct in_addr*)&(pip->saddr)));
　　 break;
　　
　　 case IPPROTO_IGMP:
　　 printf("IGMP pkt:\n");
　　 break;
　　
　　 default:
　　 printf("Unkown pkt, protocl:%d\n", pip->protocol);
　　 break;
　　 } //end switch
　　perror("dump");
　　}
　　}
　　/*
　　[playmud@fc3 test]$ gcc -v
　　Reading specs from /usr/lib/gcc/i386-redhat-linux/3.4.2/specs
　　Configured with: ../configure --prefix=/usr --mandir=/usr/share/man --infodir=/usr/share/info --enable-shared --enable-threads=posix --disable-checking --with-system-zlib --enable-__cxa_atexit --disable-libunwind-exceptions --enable-java-awt=gtk --host=i386-redhat-linux
　　Thread model: posix
　　gcc version 3.4.2 20041017 (Red Hat 3.4.2-6.fc3)
　　************************eth的结构**************************************
　　struct ether_header
　　{
　　 u_int8_t ether_dhost[ETH_ALEN]; // destination eth addr
　　 u_int8_t ether_shost[ETH_ALEN]; // source ether addr
　　 u_int16_t ether_type; // packet type ID field
　　} __attribute__ ((__packed__));
　　***********************IP的结构***********************************
　　struct iphdr
　　 {
　　#if __BYTE_ORDER == __LITTLE_ENDIAN
　　 unsigned int ihl:4;
　　 unsigned int version:4;
　　#elif __BYTE_ORDER == __BIG_ENDIAN
　　 unsigned int version:4;
　　 unsigned int ihl:4;
　　#else
　　# error "Please fix "
　　#endif
　　 u_int8_t tos;
　　 u_int16_t tot_len;
　　 u_int16_t id;
　　 u_int16_t frag_off;
　　 u_int8_t ttl;
　　 u_int8_t protocol;
　　 u_int16_t check;
　　 u_int32_t saddr;
　　 u_int32_t daddr;
　　 };
　　***********************TCP的结构****************************
　　struct tcphdr
　　 {
　　 u_int16_t source;
　　 u_int16_t dest;
　　 u_int32_t seq;
　　 u_int32_t ack_seq;
　　# if __BYTE_ORDER == __LITTLE_ENDIAN
　　 u_int16_t res1:4;
　　 u_int16_t doff:4;
　　 u_int16_t fin:1;
　　 u_int16_t syn:1;
　　 u_int16_t rst:1;
　　 u_int16_t psh:1;
　　 u_int16_t ack:1;
　　 u_int16_t urg:1;
　　 u_int16_t res2:2;
　　# elif __BYTE_ORDER == __BIG_ENDIAN
　　 u_int16_t doff:4;
　　 u_int16_t res1:4;
　　 u_int16_t res2:2;
　　 u_int16_t urg:1;
　　 u_int16_t ack:1;
　　 u_int16_t psh:1;
　　 u_int16_t rst:1;
　　 u_int16_t syn:1;
　　 u_int16_t fin:1;
　　# else
　　# error "Adjust your defines"
　　# endif
　　 u_int16_t window;
　　 u_int16_t check;
　　 u_int16_t urg_ptr;
　　};
　　***********************UDP的结构*****************************
　　struct udphdr
　　{
　　 u_int16_t source;
　　 u_int16_t dest;
　　 u_int16_t len;
　　 u_int16_t check;
　　};
　　*************************************************************
　　*/

感谢所有关心和支持过ChinaUnix的朋友们

16024965号-6

Tcpdump：Linux下基于命令行的抓包工具

在linux进行抓包

linux下用socket的抓包程序