libpcap或者mac os下防火墙抓包API问题

zerix

http://bbs3.chinaunix.net/thread-1606747-1-1.html

在freebsd版得不到回复。。转过来问问，比较信任内核版。

原贴：

大家好，现在碰到一个问题，请教大家一下。thx！

想做的程序是一个在mac下抓包，分析后过滤的功能。linux下在netfilter下做就很简单，因为其带的回调函数可以通过返回值来确认包是否该过滤的。

在mac下，搜索资料发现有一个类似netgraph的东西，但是这个东西没有找到其提供的API，资料也很少。

或者有libpcap，但是libpcap的过滤功能不支持字符串，仅仅支持一些表达式的。满足不了要求。。


希望得到大家的指点。万分感谢。。。


thx！

[ 本帖最后由 zerix 于 2009-11-3 14:20 编辑 ]

godbach

mac下抓包，不知道LZ说的是不是ARP filter

zerix

其实我是想找一个在mac下的抓包API，支持字符串过滤的。

类似如netfilter最好。

zerix

我不是过滤特定类型（端口之类）的包，而是要过滤应用层的字符串之类。

故哈

原帖由 zerix 于 2009-11-3 13:26 发表
http://bbs3.chinaunix.net/thread-1606747-1-1.html

在freebsd版得不到回复。。转过来问问，比较信任内核版。

原贴：

大家好，现在碰到一个问题，请教大家一下。thx！

想做的程序是一个在mac下抓包 ...

libpcap 可以获取原始数据报文. 什么都支持
在linux下libpcap是从链路层clone上来的数据包 就说不可以向netfilter那样返回结果.

rainballdh

原帖由 zerix 于 2009-11-3 13:43 发表
我不是过滤特定类型（端口之类）的包，而是要过滤应用层的字符串之类。

把包抓起来进行分析，然后过滤。

zerix

对，我知道libpcap可以抓取，但是我分析之后想将包丢弃，那样就不可能的吧。

zerix

原帖由 rainballdh 于 2009-11-3 13:51 发表

把包抓起来进行分析，然后过滤。

是啊，我想知道mac下是否有这样的编程接口的。。

可以类似netfilter一样抓包分析后，然后确认是否丢弃还是放行的。

故哈

原帖由 zerix 于 2009-11-3 13:56 发表
对，我知道libpcap可以抓取，但是我分析之后想将包丢弃，那样就不可能的吧。

tcp可以发送伪造RST包的方式断开连接.

其他协议目前没有方法.

zerix

原帖由 godbach 于 2009-11-3 13:30 发表
mac下抓包，不知道LZ说的是不是ARP filter

sorry，我说的是苹果的操作系统，mac os下面的抓包API。

sorry everyone。。