1

我已经编写了一个pcap使用pcap_open_live()并逐步应用过滤器的程序（即重新编译pcap过滤器并在初始 pcap_loop 之后再次设置过滤器），我想在pcap我保存的一些文件上对其进行测试Wireshark。

但是，当我运行程序时，我什至无法打印出我的数据包，除非我向 ; 提供一个空过滤器pcap_compile_filter。

这只是lpcap在保存的文件上使用的功能，还是我做错了什么？

这是一段代码供仔细阅读：

int main(int argc, char **argv)
{
char *dev = NULL;           /* capture device name */
char errbuf[PCAP_ERRBUF_SIZE];      /* error buffer */
pcap_t *handle;             /* packet capture handle */
char filter_exp[] = "ip";           /* filter expression [3] */
struct bpf_program fp;          /* compiled filter program (expression) */
bpf_u_int32 mask;           /* subnet mask */
bpf_u_int32 net;            /* ip */
int num_packets = -1;           /* number of packets to capture  -1 => capture forever! */

printf("Filter expression: %s\n", filter_exp);

// open capture device
handle = pcap_open_offline("heartbeats2", errbuf);
if (handle == NULL) {
    fprintf(stderr, "pcap_open_offline failed: %s\n", errbuf);
    exit(EXIT_FAILURE);
}

/* make sure we're capturing on an Ethernet device*/
if (pcap_datalink(handle) != DLT_EN10MB) {
    fprintf(stderr, "%s is not an Ethernet\n", dev);
    exit(EXIT_FAILURE);
}

/* compile the filter expression */
if (pcap_compile(handle, &fp, filter_exp, 0, 0) == -1) {
    fprintf(stderr, "Couldn't parse filter %s: %s\n",
        filter_exp, pcap_geterr(handle));
    exit(EXIT_FAILURE);
}

/* apply the compiled filter */
if (pcap_setfilter(handle, &fp) == -1) {
    fprintf(stderr, "Couldn't install filter %s: %s\n",
        filter_exp, pcap_geterr(handle));
    exit(EXIT_FAILURE);
}

pcap_loop(handle, -1, gotPacket, NULL);

pcap_freecode(&fp);
pcap_close(handle);

printf("\nCapture complete.\n");

return(0);
}

got packet 函数只是打印出数据包的有效载荷；输出只是：

Filter expression: ip

Capture complete.
4

1 回答 1

0

如果没有看到你的 gotPacket 函数，就不可能说出那里发生了什么。

由于没有其他错误消息，您的程序运行到代码末尾并打印“捕获完成”。信息。

如果您的程序与 pcap_open_live() 和空过滤器一起使用，那么我唯一怀疑您的 pcap 文件可能不包含任何 ip 数据包。

您可以使用wireshark 打开您的pcap 文件，并在wireshark 过滤器表达式中使用“ip”过滤器。如果您可以在 Wireshark 中看到一些数据包，那么您的上述程序也应该与过滤器一起使用。

有很多网站都有 BPF 示例。一个示例站点可以是http://biot.com/capstats/bpf.html。

于 2013-09-11T13:29:18.197 回答