关于libpcap抓包的问题

chunhui_true

小弟有几个问题请教各位，希望能给指点！！谢谢！！！！

1。我应该用什么函数抓包？？是const u_char *pcap_next() 还是dispatch？？？
2。我用libcap中的函数抓到包后，如何得到这个包的源和目的的 IP  MAC  PORT 以及长度呢？？
3。我可以在规则中设置udp的一个端口和tcp的一个端口一起抓吗？？

chunhui_true

a

abel

chunhui_true 兄
建議您可以看看 snort (www.snort.org) 的 source code
有您需要的答案,唯較費時間而以,但對整個 libpcap 的應用
你會了解的更深些

一點建議,或許對您沒有什麼幫助

chunhui_true

多谢！！！！现在我已经知道怎么抓了。也知道我需要的 ip mac port 都在这个包里，但是就是不知道怎么弄出来！！！！不知道各位还能给什么指教？？

abel

我沒記錯的話,以 pcap 的角度而言,通常只負責抓包而以
再來的 decode 通常都是要自己做的,
不過您可以在 snort-xxx/src/log.c 中找到一些例子
您若會使用 gdb 之類的 tool, 相信對您在 trace 整個流程時(snort)
會有不少的幫助
寫這種程式,千萬手邊一定要有各種封包 Header 的資料,以利您的判讀
因為有時候可能因為一個沒注意,而算錯格子.