簡(jiǎn)介這份華中科技大學(xué)2018年計(jì)算機(jī)網(wǎng)絡(luò)安全實(shí)驗(yàn)源碼面向?qū)W習(xí)網(wǎng)絡(luò)協(xié)議分析、WinPcap抓包與ARP欺騙中間人攻擊的高校學(xué)生及安全初學(xué)者可用于復(fù)現(xiàn)嗅探器實(shí)驗(yàn)并理解數(shù)據(jù)包捕獲、解析與攻擊演示的完整流程。壓縮包共27個(gè)文件以C源文件和頭文件為主體配有Qt工程、界面文件及少量圖標(biāo)資源整體約293KB結(jié)構(gòu)緊湊便于在Qt環(huán)境中閱讀和二次調(diào)試。已有2815人學(xué)習(xí)說(shuō)明其實(shí)驗(yàn)設(shè)計(jì)具有一定參考價(jià)值。源碼覆蓋抓包線程、協(xié)議解析、ARP欺騙對(duì)話框與發(fā)包線程、主窗口交互等模塊讀者可據(jù)此梳理嗅探器從捕獲到分析、從ARP攻擊到中間人演示的實(shí)現(xiàn)脈絡(luò)并對(duì)照實(shí)驗(yàn)要求完成環(huán)境搭建、代碼閱讀與排錯(cuò)。1. 從一次抓不到包的實(shí)驗(yàn)說(shuō)起Winpcap 嗅探器到底在解決什么做計(jì)算機(jī)網(wǎng)絡(luò)安全實(shí)驗(yàn)時(shí)最容易被低估的一步是數(shù)據(jù)包捕獲?；?Winpcap 的數(shù)據(jù)分析器嗅探源碼核心不是調(diào)用一個(gè)抓包函數(shù)而是把網(wǎng)卡收到的原始字節(jié)按協(xié)議棧逐層拆開再?zèng)Q定哪些字段值得記錄。它適合剛接觸網(wǎng)絡(luò)協(xié)議分析、需要一套能編譯運(yùn)行的實(shí)驗(yàn)源碼的人也適合想對(duì)照檢查自己解析邏輯的熟手。這份源碼把抓包、鏈路層解析、IP 頭拆分、TCP/UDP 會(huì)話字段提取和過(guò)濾規(guī)則串成一條線。很多人第一次跑會(huì)卡在驅(qū)動(dòng)、權(quán)限或字節(jié)序上抓到的包要么為空要么字段全是亂碼。下面按工程骨架、協(xié)議解析、過(guò)濾與落盤、排錯(cuò)、回放驗(yàn)證的順序拆開講盡量讓每一步都能對(duì)著源碼復(fù)現(xiàn)。2. 環(huán)境與工程骨架Winpcap 開發(fā)包、編譯鏈和最小抓包循環(huán)2.1 為什么先選 Winpcap 而不是原始套接字在 Windows 平臺(tái)做鏈路層嗅探原始套接字能拿到的信息有限權(quán)限和驅(qū)動(dòng)限制也多。Winpcap 的路徑更直接網(wǎng)卡收到幀后由內(nèi)核態(tài)捕獲驅(qū)動(dòng)把數(shù)據(jù)放進(jìn)環(huán)形緩沖區(qū)用戶態(tài)通過(guò)wpcap.dll提供的 API 讀出來(lái)。常見組成是捕獲驅(qū)動(dòng)、Packet.dll適配層和wpcap.dll接口層三層各管一段實(shí)驗(yàn)源碼只面向wpcap.dll編程移植和調(diào)試都省事。選它還有一個(gè)現(xiàn)實(shí)原因?qū)嶒?yàn)源碼里的pcap_findalldevs、pcap_open_live、pcap_loop、pcap_compile這些接口很穩(wěn)定能直接對(duì)應(yīng)到“選網(wǎng)卡、開混雜、收包、過(guò)濾”四個(gè)動(dòng)作。對(duì)課程實(shí)驗(yàn)來(lái)說(shuō)先把抓包鏈路跑通再往協(xié)議解析里填字段比一上來(lái)手寫驅(qū)動(dòng)靠譜得多。需要留意的是Winpcap 的開發(fā)包要同時(shí)配頭文件和導(dǎo)入庫(kù)只裝運(yùn)行庫(kù)不夠如果本機(jī)裝的是兼容 Winpcap API 的抓包驅(qū)動(dòng)安裝時(shí)要把開發(fā)頭文件和庫(kù)勾上否則編譯階段就會(huì)缺pcap.h或鏈接不到wpcap.lib。提示抓包程序要以管理員權(quán)限運(yùn)行。普通權(quán)限下pcap_findalldevs可能返回空列表或者只能看到回環(huán)設(shè)備這不是代碼問(wèn)題。2.2 工程骨架與依賴配置這套實(shí)驗(yàn)源碼按職責(zé)拆成幾個(gè)模塊讀的時(shí)候不要從main一路平鋪看到底先看數(shù)據(jù)流main負(fù)責(zé)參數(shù)和設(shè)備選擇capture負(fù)責(zé)打開網(wǎng)卡和回調(diào)注冊(cè)decode_eth剝以太網(wǎng)頭decode_ip判斷 IPv4/ARPdecode_tcpudp取端口和標(biāo)志位filter編譯 BPF 表達(dá)式log負(fù)責(zé)格式化輸出。模塊之間只傳“幀起始指針 caplen 時(shí)間戳”避免把pcap_pkthdr到處透?jìng)?。模塊關(guān)鍵函數(shù)輸入輸出mainparse_args、select_device命令行參數(shù)設(shè)備名、過(guò)濾表達(dá)式capturepcap_open_live、pcap_loop設(shè)備名、snaplen回調(diào)幀數(shù)據(jù)decode_ethdecode_eth幀指針、caplen以太類型、上層偏移decode_ipdecode_ipv4IP 起始指針五元組、分片信息decode_tcpudpdecode_tcp、decode_udp傳輸層指針端口、標(biāo)志位、載荷長(zhǎng)度f(wàn)ilterpcap_compile、pcap_setfilter表達(dá)式字符串內(nèi)核過(guò)濾器loglog_packet解析結(jié)果結(jié)構(gòu)體CSV 或控制臺(tái)行依賴配置走三步把頭文件目錄加到編譯器的 include 路徑把wpcap.lib加到鏈接器輸入確認(rèn)目標(biāo)平臺(tái)位數(shù)和庫(kù)位數(shù)一致。下面是一段命令行編譯示例路徑按本機(jī)開發(fā)包位置替換不要照抄絕對(duì)路徑。cl /nologo /W3 /IC:\pcap-sdk\Include ^ main.c capture.c decode_eth.c decode_ip.c decode_tcpudp.c filter.c log.c ^ /link /LIBPATH:C:\pcap-sdk\Lib\x64 wpcap.lib這段命令的邏輯很直白/I告訴編譯器去哪找pcap.h/LIBPATH告訴鏈接器去哪找wpcap.lib源文件按模塊列出最后鏈接抓包庫(kù)。/W3打開常用警告結(jié)構(gòu)體對(duì)齊和指針截?cái)噙@類問(wèn)題在抓包代碼里很常見警告不要關(guān)。參數(shù)里唯一需要按機(jī)器改的是 SDK 路徑和 x64/x86 目錄32 位工程鏈 32 位庫(kù)混用會(huì)在鏈接階段報(bào)符號(hào)重定義或找不到入口。如果工程用 IDE 管理對(duì)應(yīng)做法是“附加包含目錄”和“附加庫(kù)目錄”各加一條“附加依賴項(xiàng)”填wpcap.lib。編譯前把運(yùn)行權(quán)限設(shè)為管理員或者編譯后右鍵以管理員身份啟動(dòng)。很多“編譯通過(guò)但抓不到包”的現(xiàn)場(chǎng)最后都落在權(quán)限和庫(kù)位數(shù)上跟解析代碼無(wú)關(guān)。2.3 最小抓包循環(huán)先跑通再談解析在動(dòng)協(xié)議解析之前先寫一個(gè)只打印幀長(zhǎng)度的最小循環(huán)。這個(gè)循環(huán)能把設(shè)備枚舉、打開網(wǎng)卡、回調(diào)、資源釋放四件事跑通后面所有解析函數(shù)都掛在這個(gè)回調(diào)上。#include pcap.h #include stdio.h static void packet_handler(u_char *user, const struct pcap_pkthdr *h, const u_char *bytes) { // 這里只做長(zhǎng)度打印先確認(rèn)回調(diào)真的被觸發(fā) printf(ts%ld.%06ld caplen%u len%u\n, (long)h-ts.tv_sec, (long)h-ts.tv_usec, h-caplen, h-len); } int main(void) { pcap_if_t *alldevs NULL; pcap_if_t *d NULL; pcap_t *handle NULL; char errbuf[PCAP_ERRBUF_SIZE]; // 1. 枚舉網(wǎng)卡errbuf 用于接錯(cuò)誤文本 if (pcap_findalldevs(alldevs, errbuf) -1) { fprintf(stderr, findalldevs: %s\n, errbuf); return 1; } for (d alldevs; d ! NULL; d d-next) { printf(dev: %s\n, d-name); } if (alldevs NULL) { fprintf(stderr, no device, run as administrator\n); return 1; } // 2. 打開第一個(gè)設(shè)備snaplen 取 65535混雜模式 1超時(shí) 1000ms handle pcap_open_live(alldevs-name, 65535, 1, 1000, errbuf); if (handle NULL) { fprintf(stderr, open_live: %s\n, errbuf); pcap_freealldevs(alldevs); return 1; } // 3. cnt-1 表示一直抓直到 CtrlC 或出錯(cuò) pcap_loop(handle, -1, packet_handler, NULL); pcap_close(handle); pcap_freealldevs(alldevs); return 0; }邏輯說(shuō)明pcap_findalldevs拿到設(shè)備鏈表鏈表節(jié)點(diǎn)里的name才是pcap_open_live要的標(biāo)識(shí)pcap_open_live返回的pcap_t是后續(xù)編譯過(guò)濾器、讀包、關(guān)閉句柄的入口pcap_loop每收到一個(gè)包就回調(diào)一次回調(diào)里的bytes只在本次回調(diào)期間有效不要把它存到全局后異步使用。參數(shù)說(shuō)明snaplen65535保證常見幀不被截?cái)鄍romisc1打開混雜模式to_ms1000是讀超時(shí)影響pcap_loop的返回節(jié)奏不是抓包間隔。errbuf大小用PCAP_ERRBUF_SIZE別自己寫 256。這一步跑通的標(biāo)準(zhǔn)是控制臺(tái)能持續(xù)打印caplen并且caplen len。如果只打印設(shè)備列表沒(méi)有包先換一個(gè)活躍網(wǎng)卡再檢查權(quán)限和過(guò)濾器。最小循環(huán)不要加解析解析一進(jìn)來(lái)字段錯(cuò)位和抓不到包會(huì)混在一起排錯(cuò)成本翻倍。3. 從鏈路層往上剝以太網(wǎng)幀、ARP 與 IP 頭的解析實(shí)現(xiàn)3.1 以太網(wǎng)幀頭與類型字段以太網(wǎng)幀頭固定 14 字節(jié)目的 MAC 6 字節(jié)、源 MAC 6 字節(jié)、類型 2 字節(jié)。類型字段決定上層走 IPv4、ARP 還是帶 VLAN 標(biāo)簽的幀。寫解析函數(shù)時(shí)第一件事是判斷caplen是否大于等于 14第二件事是把類型字段從網(wǎng)絡(luò)序轉(zhuǎn)成主機(jī)序。結(jié)構(gòu)體定義要加#pragma pack否則編譯器可能插入填充字節(jié)字段偏移全亂。#include stdint.h #include arpa/inet.h #pragma pack(push, 1) struct eth_hdr { uint8_t dst[6]; uint8_t src[6]; uint16_t type; // 網(wǎng)絡(luò)字節(jié)序 }; #pragma pack(pop) int decode_eth(const uint8_t *frame, uint32_t caplen, uint16_t *eth_type, uint32_t *l3_offset) { if (frame NULL || caplen sizeof(struct eth_hdr)) { return -1; // 截?cái)鄮苯觼G棄 } const struct eth_hdr *eth (const struct eth_hdr *)frame; *eth_type ntohs(eth-type); *l3_offset sizeof(struct eth_hdr); // VLAN 標(biāo)簽類型 0x8100 時(shí)后面還有 2 字節(jié) TCI 和 2 字節(jié)內(nèi)層類型 if (*eth_type 0x8100) { if (caplen sizeof(struct eth_hdr) 4) { return -1; } const uint8_t *vlan frame sizeof(struct eth_hdr); *eth_type ntohs(*(const uint16_t *)(vlan 2)); *l3_offset sizeof(struct eth_hdr) 4; } return 0; }邏輯說(shuō)明先做長(zhǎng)度檢查再把type轉(zhuǎn)主機(jī)序遇到0x8100不急著解析內(nèi)層先把偏移往后推 4 字節(jié)再讀內(nèi)層類型。參數(shù)說(shuō)明caplen是實(shí)際抓到的字節(jié)數(shù)len是原始幀長(zhǎng)度解析一律用caplen否則越界讀會(huì)把回調(diào)打崩。l3_offset是上層協(xié)議起始偏移IPv4 解析從這里開始不要在函數(shù)里寫死 14。常見類型值可以對(duì)照下表實(shí)驗(yàn)里最常碰到的是0x0800和0x0806。看到0x86DD說(shuō)明是 IPv6這份源碼如果只做 IPv4就在分支里記一條“未支持”后返回不要硬套 IPv4 頭。類型值含義處理方式0x0800IPv4進(jìn)入 IP 頭解析0x0806ARP進(jìn)入 ARP 解析0x8100VLAN 標(biāo)簽偏移加 4 后重讀類型0x86DDIPv6記錄后跳過(guò)避免誤判3.2 IP 頭字段與分片標(biāo)志IPv4 頭最短 20 字節(jié)首部長(zhǎng)度字段ihl以 4 字節(jié)為單位所以實(shí)際頭長(zhǎng)是ihl * 4。總長(zhǎng)度、標(biāo)識(shí)、標(biāo)志位加片偏移、校驗(yàn)和這些字段是網(wǎng)絡(luò)序讀出來(lái)要轉(zhuǎn)換源和目的 IP 是 4 字節(jié)數(shù)組用inet_ntop轉(zhuǎn)字符串。傳輸層偏移等于l3_offset ihl * 4不要寫死l3_offset 20帶選項(xiàng)的 IP 頭會(huì)把 TCP 頭讀錯(cuò)。#pragma pack(push, 1) struct ipv4_hdr { uint8_t ver_ihl; uint8_t tos; uint16_t tot_len; uint16_t id; uint16_t flags_off; uint8_t ttl; uint8_t proto; uint16_t checksum; uint8_t src[4]; uint8_t dst[4]; }; #pragma pack(pop) int decode_ipv4(const uint8_t *ip, uint32_t caplen, uint32_t *l4_offset, uint8_t *proto, uint16_t *frag_off) { if (caplen sizeof(struct ipv4_hdr)) { return -1; } const struct ipv4_hdr *h (const struct ipv4_hdr *)ip; uint8_t ihl h-ver_ihl 0x0f; if (ihl 5) { return -1; // 首部長(zhǎng)度非法 } uint32_t hdr_len (uint32_t)ihl * 4; if (caplen hdr_len) { return -1; // 選項(xiàng)被截?cái)?} uint16_t flags_off ntohs(h-flags_off); *frag_off flags_off 0x1fff; // 片偏移單位 8 字節(jié) *proto h-proto; *l4_offset hdr_len; // 非首片不帶傳輸層頭不能繼續(xù)解析 TCP/UDP if (*frag_off ! 0) { return 1; } return 0; }邏輯說(shuō)明ver_ihl高 4 位是版本低 4 位是首部長(zhǎng)度f(wàn)lags_off的低 13 位是片偏移0x2000是 MF 標(biāo)志0x4000是 DF 標(biāo)志。返回 1 表示“這是后續(xù)分片停止上層解析”調(diào)用方不要把它當(dāng)錯(cuò)誤。參數(shù)說(shuō)明caplen是 IP 起始位置之后還能讀的字節(jié)數(shù)不是整幀長(zhǎng)度l4_offset返回的是相對(duì) IP 起始的偏移調(diào)用方要再加上l3_offset才是整幀偏移。IP 校驗(yàn)和可以驗(yàn)證但實(shí)驗(yàn)里不必每個(gè)包都算先把字段取對(duì)更重要。需要驗(yàn)證時(shí)把首部按 16 位累加取反注意首部長(zhǎng)度和字節(jié)序。分片重組不在基礎(chǔ)源碼范圍內(nèi)遇到frag_off ! 0記錄“分片”后跳過(guò)比強(qiáng)行解析出錯(cuò)誤端口更可信。3.3 ARP 與 ICMP 的判定分支ARP 不是 IP不能走 IPv4 解析。ARP 頭固定 28 字節(jié)包含硬件類型、協(xié)議類型、操作碼、發(fā)送方 MAC/IP、目標(biāo) MAC/IP。實(shí)驗(yàn)里常看操作碼 1 和 2分別對(duì)應(yīng)請(qǐng)求和應(yīng)答。ICMP 則掛在 IP 的proto1下面類型和代碼在傳輸層起始位置的前兩個(gè)字節(jié)。#pragma pack(push, 1) struct arp_hdr { uint16_t htype; uint16_t ptype; uint8_t hlen; uint8_t plen; uint16_t oper; uint8_t sha[6]; uint8_t spa[4]; uint8_t tha[6]; uint8_t tpa[4]; }; #pragma pack(pop) void decode_arp(const uint8_t *p, uint32_t caplen) { if (caplen sizeof(struct arp_hdr)) { return; } const struct arp_hdr *a (const struct arp_hdr *)p; printf(ARP oper%u spa%u.%u.%u.%u tpa%u.%u.%u.%u\n, ntohs(a-oper), a-spa[0], a-spa[1], a-spa[2], a-spa[3], a-tpa[0], a-tpa[1], a-tpa[2], a-tpa[3]); } void decode_icmp(const uint8_t *p, uint32_t caplen) { if (caplen 8) { return; // ICMP 頭至少 8 字節(jié) } uint8_t type p[0]; uint8_t code p[1]; printf(ICMP type%u code%u\n, type, code); }邏輯說(shuō)明ARP 的oper要ntohsIP 字段直接按字節(jié)打印不需要轉(zhuǎn)序。ICMP 只取類型和代碼差錯(cuò)報(bào)文里還會(huì)帶原始 IP 頭不要遞歸調(diào)用 IP 解析否則遇到畸形包會(huì)無(wú)限展開。參數(shù)說(shuō)明caplen是從 ARP/ICMP 起始位置算起的可讀長(zhǎng)度調(diào)用前已經(jīng)扣掉以太網(wǎng)頭和 IP 頭。分支順序建議先判斷以太類型再判斷 IP 協(xié)議號(hào)0x0806直接進(jìn) ARP0x0800進(jìn) IPv4IPv4 里proto1進(jìn) ICMPproto6進(jìn) TCPproto17進(jìn) UDP。每個(gè)分支入口都做一次長(zhǎng)度檢查別指望上層已經(jīng)檢查過(guò)。血淚經(jīng)驗(yàn)是解析函數(shù)返回錯(cuò)誤碼比打印“解析失敗”更有用調(diào)用方可以根據(jù)返回碼決定是跳過(guò)、記錄還是計(jì)數(shù)。4. 傳輸層會(huì)話還原TCP/UDP 解析與 BPF 過(guò)濾表達(dá)式4.1 TCP 頭、端口與標(biāo)志位TCP 頭最短 20 字節(jié)數(shù)據(jù)偏移字段高 4 位表示首部長(zhǎng)度單位是 4 字節(jié)。源端口、目的端口、序號(hào)、確認(rèn)號(hào)、窗口這些字段是網(wǎng)絡(luò)序標(biāo)志位在偏移 13 的位置。解析 TCP 時(shí)先讀數(shù)據(jù)偏移再算載荷起始位置不要把選項(xiàng)區(qū)當(dāng)載荷。#pragma pack(push, 1) struct tcp_hdr { uint16_t sport; uint16_t dport; uint32_t seq; uint32_t ack; uint8_t off_res; uint8_t flags; uint16_t window; uint16_t checksum; uint16_t urg; }; #pragma pack(pop) int decode_tcp(const uint8_t *tcp, uint32_t caplen, uint16_t *sport, uint16_t *dport, uint8_t *flags, uint32_t *payload_len) { if (caplen sizeof(struct tcp_hdr)) { return -1; } const struct tcp_hdr *t (const struct tcp_hdr *)tcp; uint8_t data_off (t-off_res 4) 0x0f; uint32_t hdr_len (uint32_t)data_off * 4; if (hdr_len 20 || caplen hdr_len) { return -1; } *sport ntohs(t-sport); *dport ntohs(t-dport); *flags t-flags; *payload_len caplen - hdr_len; return 0; }邏輯說(shuō)明off_res的高 4 位是數(shù)據(jù)偏移低 4 位保留flags里0x02是 SYN0x10是 ACK0x01是 FIN0x08是 PSH。參數(shù)說(shuō)明caplen是從 TCP 頭起始位置算起的可讀字節(jié)數(shù)payload_len只表示抓到的載荷長(zhǎng)度不等于原始 TCP 載荷長(zhǎng)度截?cái)鄮飼?huì)偏小。需要還原會(huì)話時(shí)用四元組加序號(hào)做鍵別只按端口配對(duì)。4.2 UDP 頭與偽首部校驗(yàn)UDP 頭固定 8 字節(jié)源端口、目的端口、長(zhǎng)度、校驗(yàn)和。長(zhǎng)度字段是 UDP 頭加載荷的總長(zhǎng)度網(wǎng)絡(luò)序。抓包截?cái)鄷r(shí)UDP 長(zhǎng)度可能大于caplen解析要以caplen為準(zhǔn)不能拿長(zhǎng)度字段直接做循環(huán)上界。#pragma pack(push, 1) struct udp_hdr { uint16_t sport; uint16_t dport; uint16_t len; uint16_t checksum; }; #pragma pack(pop) int decode_udp(const uint8_t *udp, uint32_t caplen, uint16_t *sport, uint16_t *dport, uint16_t *payload_len) { if (caplen sizeof(struct udp_hdr)) { return -1; } const struct udp_hdr *u (const struct udp_hdr *)udp; uint16_t udp_len ntohs(u-len); if (udp_len sizeof(struct udp_hdr)) { return -1; } *sport ntohs(u-sport); *dport ntohs(u-dport); uint16_t captured (uint16_t)(caplen - sizeof(struct udp_hdr)); *payload_len (udp_len - sizeof(struct udp_hdr) captured) ? (udp_len - sizeof(struct udp_hdr)) : captured; return 0; }邏輯說(shuō)明先校驗(yàn) UDP 長(zhǎng)度字段合法再取“長(zhǎng)度字段聲明的載荷”和“實(shí)際抓到的載荷”中較小的一個(gè)。參數(shù)說(shuō)明payload_len是可用于后續(xù)應(yīng)用層解析的安全長(zhǎng)度校驗(yàn)和驗(yàn)證需要構(gòu)造偽首部實(shí)驗(yàn)里可以先跳過(guò)但要在日志里標(biāo)記“未校驗(yàn)”避免把校驗(yàn)失敗當(dāng)成協(xié)議錯(cuò)誤。4.3 BPF 過(guò)濾規(guī)則別在應(yīng)用層做全量過(guò)濾抓包器最怕“先全抓再 if 過(guò)濾”。包一多用戶態(tài)拷貝和解析會(huì)把 CPU 吃滿真正有用的包反而被丟。Winpcap 支持 BPF 過(guò)濾表達(dá)式在驅(qū)動(dòng)層編譯執(zhí)行只有命中的包才進(jìn)回調(diào)。常用做法是打開網(wǎng)卡后立刻編譯并設(shè)置過(guò)濾器再進(jìn)pcap_loop。#include pcap.h int install_filter(pcap_t *handle, const char *expr) { struct bpf_program fp; // optimize1 讓 BPF 做優(yōu)化netmask 未知時(shí)用 PCAP_NETMASK_UNKNOWN if (pcap_compile(handle, fp, expr, 1, PCAP_NETMASK_UNKNOWN) -1) { fprintf(stderr, compile: %s\n, pcap_geterr(handle)); return -1; } if (pcap_setfilter(handle, fp) -1) { fprintf(stderr, setfilter: %s\n, pcap_geterr(handle)); pcap_freecode(fp); return -1; } pcap_freecode(fp); // 設(shè)置成功后釋放編譯結(jié)果 return 0; }邏輯說(shuō)明pcap_compile把字符串編譯成 BPF 程序pcap_setfilter把程序掛到句柄上pcap_freecode釋放編譯產(chǎn)物。參數(shù)說(shuō)明optimize1打開優(yōu)化netmask在表達(dá)式里出現(xiàn)broadcast或net時(shí)才有意義不知道就傳PCAP_NETMASK_UNKNOWN。常見表達(dá)式可以對(duì)照下表先窄后寬別一上來(lái)寫ip全收。表達(dá)式用途注意點(diǎn)tcp port 80只看 HTTP端口是主機(jī)序?qū)懛˙PF 自己處理udp port 53只看 DNS不區(qū)分方向時(shí)源/目的都命中host 192.0.2.10指定主機(jī)實(shí)驗(yàn)里用文檔地址別用真實(shí)地址tcp[tcpflags] tcp-syn ! 0只看 SYN需要位移語(yǔ)法支持vlan and ip帶 VLAN 的 IP先匹配vlan再匹配內(nèi)層4.4 輸出格式與日志落盤解析結(jié)果要落盤格式越穩(wěn)定越好排錯(cuò)。實(shí)驗(yàn)源碼常用 CSV一行一個(gè)包字段固定時(shí)間戳、源 IP、目的 IP、協(xié)議、源端口、目的端口、幀長(zhǎng)、載荷長(zhǎng)、標(biāo)志位。寫文件時(shí)不要在回調(diào)里反復(fù)fopen/fclose在main里打開一次回調(diào)里fprintf退出前fflush加fclose。多線程抓包時(shí)給日志加鎖單線程回調(diào)不需要。void log_packet(FILE *fp, const struct pcap_pkthdr *h, const char *src, const char *dst, const char *proto, uint16_t sport, uint16_t dport, uint32_t payload_len, uint8_t flags) { // 時(shí)間戳拆成秒和微秒IP 字符串由調(diào)用方填好 fprintf(fp, %ld.%06ld,%s,%s,%s,%u,%u,%u,%u,0x%02x\n, (long)h-ts.tv_sec, (long)h-ts.tv_usec, src, dst, proto, sport, dport, h-caplen, payload_len, flags); fflush(fp); // 實(shí)驗(yàn)階段保留避免程序中斷丟最后幾行 }邏輯說(shuō)明CSV 字段順序固定后面用腳本切分不會(huì)因?yàn)閰f(xié)議不同而錯(cuò)列。參數(shù)說(shuō)明h-caplen是抓到的幀長(zhǎng)payload_len是傳輸層載荷長(zhǎng)度兩者含義不同flags只對(duì) TCP 有意義UDP 和 ICMP 填 0。fflush每個(gè)包都調(diào)用會(huì)拉低吞吐實(shí)驗(yàn)里可以接受正式跑量時(shí)改成按行緩沖或定時(shí)刷新。5. 避坑與排查抓不到包、字段錯(cuò)位和回調(diào)崩潰的五個(gè)現(xiàn)場(chǎng)5.1 現(xiàn)象pcap_findalldevs返回空列表現(xiàn)象很直接程序啟動(dòng)后設(shè)備列表為空或者只打印一個(gè)回環(huán)設(shè)備換網(wǎng)卡名也打不開。原因通常有三類驅(qū)動(dòng)沒(méi)裝好、程序不是管理員權(quán)限、抓包服務(wù)沒(méi)啟動(dòng)。Winpcap 的捕獲驅(qū)動(dòng)是內(nèi)核態(tài)組件普通用戶枚舉設(shè)備時(shí)會(huì)被攔住有些機(jī)器裝了多個(gè)抓包驅(qū)動(dòng)頭文件和運(yùn)行庫(kù)版本不匹配也會(huì)出現(xiàn)枚舉成功但打開失敗。解決順序是先用管理員權(quán)限啟動(dòng)程序再看pcap_geterr返回的具體文本然后確認(rèn)開發(fā)包的頭文件、導(dǎo)入庫(kù)和運(yùn)行庫(kù)來(lái)自同一套安裝最后檢查設(shè)備名是否帶\Device\NPF_前綴pcap_open_live要的是設(shè)備標(biāo)識(shí)不是“以太網(wǎng)”這種顯示名。如果仍然為空換一個(gè)活躍網(wǎng)卡測(cè)試禁用再啟用網(wǎng)卡后重試。不要在沒(méi)有設(shè)備時(shí)繼續(xù)調(diào)用pcap_open_live空指針解引用會(huì)直接崩。5.2 現(xiàn)象能抓到包但 IP 字段全錯(cuò)現(xiàn)象是回調(diào)有數(shù)據(jù)打印出來(lái)的源 IP、目的 IP、協(xié)議號(hào)卻是亂碼或固定值。原因多數(shù)在三個(gè)地方結(jié)構(gòu)體沒(méi)有#pragma pack編譯器插入填充字節(jié)字段沒(méi)有做ntohs/ntohl以太網(wǎng)頭偏移沒(méi)算 VLAN直接把 14 當(dāng) IP 起始。還有一種情況是caplen小于結(jié)構(gòu)體大小代碼仍然強(qiáng)轉(zhuǎn)讀取越界讀到的是緩沖區(qū)外的臟數(shù)據(jù)。解決方法是先把幀的前 32 字節(jié)按十六進(jìn)制打印出來(lái)對(duì)照以太類型和 IP 版本號(hào)人工核對(duì)。結(jié)構(gòu)體一律加pack網(wǎng)絡(luò)序字段顯式轉(zhuǎn)換IP 起始偏移由decode_eth返回不在解析函數(shù)里寫死。每次強(qiáng)轉(zhuǎn)前加長(zhǎng)度檢查caplen sizeof(struct ipv4_hdr)直接返回。帶 VLAN 的幀先用0x8100分支把偏移推到 18再進(jìn) IP 解析。字段錯(cuò)位不是玄學(xué)按字節(jié)打印一輪基本都能定位。5.3 現(xiàn)象回調(diào)里打印亂碼或程序崩潰現(xiàn)象是回調(diào)里printf出亂碼或者抓幾十個(gè)包后程序崩潰。原因通常是拿bytes當(dāng)持久緩沖區(qū)用回調(diào)返回后繼續(xù)訪問(wèn)或者把len當(dāng)可讀長(zhǎng)度實(shí)際caplen更小再或者用%s打印沒(méi)有終止符的載荷?；卣{(diào)里的bytes生命周期只到本次回調(diào)結(jié)束跨回調(diào)保存要自己memcpy一份。解決方法是所有解析以caplen為上界字符串打印用%.*s加長(zhǎng)度不依賴\0。需要異步處理時(shí)把幀數(shù)據(jù)復(fù)制到自己的隊(duì)列隊(duì)列里存caplen和副本指針消費(fèi)完再釋放。回調(diào)里不要做耗時(shí)文件操作和遞歸解析ICMP 差錯(cuò)報(bào)文里帶原始 IP 頭遞歸調(diào)用容易把棧打穿。抓包程序崩在回調(diào)里先注釋掉解析只留長(zhǎng)度打印能復(fù)現(xiàn)就說(shuō)明是解析越界。5.4 現(xiàn)象過(guò)濾表達(dá)式生效但漏包現(xiàn)象是加了tcp port 80后一個(gè)包都沒(méi)有去掉過(guò)濾器就能抓到。原因可能是表達(dá)式寫錯(cuò)、過(guò)濾器掛載位置不對(duì)或者鏈路層帶 VLAN 導(dǎo)致 BPF 匹配不到內(nèi)層 IP。BPF 在鏈路層執(zhí)行tcp port 80默認(rèn)按無(wú) VLAN 的以太網(wǎng)幀偏移匹配帶標(biāo)簽的幀需要先寫vlan。另一種情況是pcap_setfilter返回值沒(méi)檢查編譯失敗但程序繼續(xù)跑看起來(lái)像“過(guò)濾器沒(méi)生效”。解決方法是先不過(guò)濾抓一小段確認(rèn)流量確實(shí)存在再把表達(dá)式拆窄從ip到tcp到port逐級(jí)加帶 VLAN 的環(huán)境用vlan and tcp port 80。每次pcap_compile和pcap_setfilter都檢查返回值用pcap_geterr打印錯(cuò)誤。netmask不確定就傳PCAP_NETMASK_UNKNOWN別隨手填一個(gè)錯(cuò)誤掩碼。過(guò)濾器漏包時(shí)先懷疑表達(dá)式再懷疑網(wǎng)卡和鏈路類型最后才懷疑庫(kù)。5.5 現(xiàn)象Debug 能跑Release 崩現(xiàn)象是調(diào)試配置下抓包正常切到發(fā)布配置后啟動(dòng)就崩或者解析結(jié)果隨機(jī)變化。原因常見于未初始化指針、緩沖區(qū)大小按調(diào)試堆布局“碰巧夠用”、結(jié)構(gòu)體對(duì)齊在優(yōu)化后暴露、日志函數(shù)里用了只在 Debug 下存在的斷言。抓包代碼里還有一類坑pcap_t關(guān)閉后回調(diào)仍在跑Release 下時(shí)序變化更容易觸發(fā)。解決方法是打開編譯警告并逐條清理指針初始化為NULL緩沖區(qū)大小用sizeof和常量不寫魔數(shù)。關(guān)閉順序固定為先停止循環(huán)再pcap_close最后釋放自己的隊(duì)列。結(jié)構(gòu)體強(qiáng)轉(zhuǎn)前做長(zhǎng)度檢查Release 下也不要關(guān)掉運(yùn)行時(shí)檢查。日志里記錄caplen、偏移和返回碼崩一次就能定位到具體解析分支。后悔藥是編譯期多看一眼警告比運(yùn)行期抓崩潰便宜得多。6. 驗(yàn)證與進(jìn)階用構(gòu)造流量回放核對(duì)解析結(jié)果6.1 用構(gòu)造流量回放核對(duì)解析結(jié)果實(shí)時(shí)網(wǎng)卡抓包受環(huán)境影響今天有流量、明天沒(méi)有排錯(cuò)不可重復(fù)。更穩(wěn)的做法是先抓一段固定流量存成 pcap 文件再用離線接口回放。用ping生成 ICMP用curl訪問(wèn)一個(gè)文檔地址生成 TCP抓包時(shí)只留目標(biāo)主機(jī)的流量保存后把解析器切到離線模式。下面這段代碼把pcap_open_live換成pcap_open_offline回調(diào)不變。#include pcap.h int replay(const char *path) { char errbuf[PCAP_ERRBUF_SIZE]; pcap_t *handle pcap_open_offline(path, errbuf); if (handle NULL) { fprintf(stderr, open_offline: %s\n, errbuf); return -1; } struct pcap_pkthdr *h NULL; const u_char *bytes NULL; int rc; // pcap_next_ex 返回 1 表示讀到包0 表示超時(shí)-2 表示文件結(jié)束 while ((rc pcap_next_ex(handle, h, bytes)) 1) { packet_handler(NULL, h, bytes); } pcap_close(handle); return (rc -2) ? 0 : -1; }邏輯說(shuō)明離線接口和實(shí)時(shí)接口共用同一套回調(diào)解析函數(shù)不用改驗(yàn)證成本最低。參數(shù)說(shuō)明pcap_next_ex的返回值要區(qū)分 0、1、-1、-2文件結(jié)束是 -2不是錯(cuò)誤h和bytes由庫(kù)內(nèi)部維護(hù)下一次調(diào)用會(huì)覆蓋跨包保存要復(fù)制?；胤艜r(shí)把過(guò)濾器關(guān)掉先看全量再在命令行里加表達(dá)式做對(duì)比。6.2 字段對(duì)照表與驗(yàn)收標(biāo)準(zhǔn)回放時(shí)拿同一份 pcap 用圖形化抓包工具打開逐字段對(duì)照。重點(diǎn)看五元組、IP 總長(zhǎng)度、TCP 數(shù)據(jù)偏移、UDP 長(zhǎng)度和標(biāo)志位。驗(yàn)收標(biāo)準(zhǔn)可以定三條同一包的源/目的 IP 和端口一致caplen與幀長(zhǎng)關(guān)系合理分片包不輸出傳輸層端口。字段對(duì)不上時(shí)先查結(jié)構(gòu)體對(duì)齊再查字節(jié)序最后查偏移計(jì)算。字段預(yù)期常見偏差以太類型0x0800 / 0x0806未轉(zhuǎn)主機(jī)序顯示 0x0008IP 首部長(zhǎng)度ihl * 4寫死 20帶選項(xiàng)時(shí)錯(cuò)位TCP 數(shù)據(jù)偏移off_res 4乘 4直接讀off_res載荷起點(diǎn)偏UDP 載荷長(zhǎng)度長(zhǎng)度字段與 caplen 取小用長(zhǎng)度字段做循環(huán)上界越界從那以后我每次改解析函數(shù)都先用固定 pcap 回放一遍再上實(shí)時(shí)網(wǎng)卡實(shí)時(shí)抓包只用來(lái)驗(yàn)證過(guò)濾器和權(quán)限不用來(lái)定位字段錯(cuò)誤。這套實(shí)驗(yàn)源碼適合當(dāng)骨架按標(biāo)題里的實(shí)驗(yàn)名去資源頁(yè)取完整工程先跑最小循環(huán)再逐層加解析能少走不少?gòu)澛贰ＯＭ麕偷侥?。本文還有配套的精品資源點(diǎn)擊獲取