數(shù)據(jù)包的捕獲與分析-資料下載頁
2025-05-10 04:52本頁面
【正文】 被抓包的掩碼，用于檢查 ipv4的廣播包 ? 返回值為 1時出錯 ? int pcap_setfilter(pcap_t *p, struct bpf_program *fp) 設置一個過濾器 35 MAC地址為 00:d0:f8:00:00:03 網(wǎng)絡設備通信的所有報文 ether host 00:d0:f8:00:00:03 IP地址為 網(wǎng)絡設備通信的所有報文 host web瀏覽的所有報文 tcp port 80 外的所有通信數(shù)據(jù)報文 host and not tcp port 80 這些過濾規(guī)則也是軟件 Ethereal直接使用的規(guī)則 過濾規(guī)則舉例 36 更一般的過濾規(guī)則 ? [src|dst] host host ? ether [src|dst] host ehost ? gateway host host ? [src|dst] [{mask mask}|{len len} ? [tcp|udp] [src|dst] port port ? less|greater length ? ip|ether proto protocol ? ether|ip broadcast|multicast 37 捕獲數(shù)據(jù) int pcap_loop(pcap_t *p, int t, //捕獲的最大數(shù)目， 1表無限 pcap_handler callback, //用戶的處理函數(shù) u_char *user//回調(diào)函數(shù)的參數(shù) ) 返回值： 1出錯， 0表 t耗盡 int pcap_next_ex (pcap_t * p, struct pcap_pkthdr ** pkt_header, const u_char ** pkt_data ) 38 用戶的包處理函數(shù) void CallbackFunc(unsigned char *user, const struct pcap_pkthdr *winpcaphead, const unsigned char *packetdata) 參數(shù) winpcaphead：說明包的一些輔助信息，包括時間，長度。 packetdata：捕獲的幀 39 以太網(wǎng)幀結構 ? 前導碼與幀前定界符：前導碼為 56bit的 1010… 101010，幀前定界符為 10101011 ? 目的地址和源地址： MAC地址為 48bit ? 長度 /類型：長度（小于 0800H），類型（大于等于0800H，如 IP為 0800H、 ARP為 0806H） ? 數(shù)據(jù)字段：用于攜帶上層傳下來的數(shù)據(jù)。 ? 幀校驗字段： 32位的 CRC ? 前導碼、幀前定界符和幀校驗和三個字段屬于物理層內(nèi)容，在數(shù)據(jù)鏈路層不會得到這些字段，因此在 MAC層只需解析目的地址、源地址、長度 /類型和數(shù)據(jù)字段。 前 導 碼（ 7 B ）幀 前 定 界 符（ 1 B ）目 的 地 址（ 6 B ）數(shù) 據(jù)（ 可 變 長 度 ）源 地 址（ 6 B ）長 度 /類 型（ 2 B ）幀 校 驗 和（ 4 B ）40 代碼閱讀 ? P244247 ? 改進：識別 arp， icmp， tcp和 udp包，極其長度 ? 已。 41 用 winpcap發(fā)送原始 數(shù)據(jù)包 ? Winpcap提供了一個簡單而快捷的方式發(fā)送一個原始數(shù)據(jù)包。 /* 發(fā)送自定義數(shù)據(jù)包。 * pPacketBuf中是數(shù)據(jù)緩沖區(qū)指針， * iSize是數(shù)據(jù)包大小 */ pcap_sendpacket(hAdapterHandle, pPacketBuf, iSize)。 可以發(fā)送自定義的 TCP包，而不受 windows的限制；但需要自己進行路由（從哪個接口出去，發(fā)送給誰），并填寫鏈路層頭部 。
環(huán)評公示相關推薦
鄂ICP備17016276號-1