之前在windows下用過winpcap，但是libpcap終究與它還是有區別的。 已經決定從事Linux的方向了，下面就完整的學習下libpcap函式庫。

目的：熟悉庫中的所有函式， 對於其中所有的函式都用例項來驗證

理論知識可以看看下面的連結:

1)    http://www.cnblogs.com/sunev/archive/2012/06/23/2559389.html

2)    http://www.cnblogs.com/coder2012/archive/2013/04/13/3012390.html

由這兩篇文章我們可以知道，如果將網路分為四層的話，那我們的網絡卡驅動程式和網路分介面（network Tap,這個在第三篇文章中能夠清楚的瞭解）是在網路介面層， linux的核心空間是由網路層和傳輸層組成，它包含了過濾規則和核心緩衝；使用者空間則是應用層。

3) http://blog.chinaunix.net/uid-21768364-id-3244502.html

現在基本的理論知識已經掌握了，下面就是程式的編寫：

程式中涉及的函式較多，下面的連結對每個函式進行說明和解析。

上文所寫的每個函式在下面的程式中都有用到。涉及到的資料結構和遺漏的函式會在系列下一篇說明。

#include <stdio.h>
#include <stdlib.h>
#include <pcap.h>
#include <arpa/inet.h>
#define CAP_LEN 1024

pcap_handler handle(u_char * user, const struct pcap_pkthdr * h, const u_char * p) ;


int main()
{
    char *pcap_error;  //用來返回錯誤資訊
    char  *device;   //用來存放裝置名
    char ebuf[PCAP_ERRBUF_SIZE];   //錯放錯誤資訊
    char *fname = "/home/pgm/libpcap/save.pcap";

    int pcap_net;

    int cap_len = CAP_LEN;   //捕獲資料長度
    int dev_flag = 1;  //是否處於混雜模式
    int dev_time = 1000;  //設定超時時間

    pcap_t *pd;    //存放資料包捕獲描述字

    struct bpf_program fcode;// 存放捕獲規則
    bpf_u_int32 netmaskp;//存放掩碼   需要先轉換為 in_addr格式的，然後再進行inet_ntoa()轉換
    bpf_u_int32 netp;  //存放網路號  需要先轉換為 in_addr格式的，然後再進行inet_ntoa()轉換
    char *netmask;    //存放轉換後的掩碼
    char *net;  //存放轉換後的網路號
    struct in_addr addr;   //作為轉換的過度

    int  pcap_link;  //用於返回資料鏈路層型別

    pcap_dumper_t *pd_t;  //開啟用於儲存捕獲資料包的檔案， 函式返回值
    pcap_t *pd_tp;  //開啟以前儲存資料包的檔案
    FILE *pcapfile;  //返回被開啟的檔名
    int pcapno;        //返回被開啟的檔案描述字

    struct pcap_stat stat;

    device = pcap_lookupdev(ebuf);
    if(NULL == device)
        printf("pcap_lookupdev error\n");
    printf("device is %s\n", device);

    pcap_net = pcap_lookupnet(device, &netp,&netmaskp,ebuf);
    if(-1 == (pcap_net))
        printf("pcap_net error\n");

    addr.s_addr = netp; //先賦值給addr
    net = inet_ntoa(addr);//將addr進行轉換，成點分十進位制
    printf("net is:%s\n",inet_ntoa(addr));

    addr.s_addr = netmaskp; //先賦值給addr
    netmask = inet_ntoa(addr);//將addr進行轉換，成點分十進位制
    printf("netmask is:%s\n",inet_ntoa(addr));


    //獲得捕獲描述字
    pd = pcap_open_live(device, cap_len,dev_flag,dev_time,ebuf);
    if(NULL == pd)
        printf("pcap_open_live error\n");

//返回鏈路層型別，每一種都有一個代號
    pcap_link = pcap_datalink(pd);
    printf("now the datalink is:%d\n",pcap_link);

    //返回實際抓取的字元
    int real_cap_len = pcap_snapshot(pd);
    printf("最長抓多少位元組:%d\n",real_cap_len);

    //開啟用於捕獲資料包的檔案
    if( NULL == (pd_t = pcap_dump_open(pd, fname) ) )
        printf("pcap_dump_open error\n");

    //為了驗證這個函式，可以故意在fname中設定一個非法路徑
    /*    1  第一個錯誤函式
    pcap_error = pcap_geterr(pd);
    printf("error information:%s\n",pcap_error);
    */

/*     2 第二個錯誤函式
    pcap_perror(pd, "capture error");
*/
/*3 第三個錯誤函式
    char *pcap_strerror(int error);  這個函式等同於strerror，我就不介紹了。
*/
    netmask = 0;
    //設定過濾規則
    if(pcap_compile(pd, &fcode, NULL,1, netmaskp) < 0)
        printf("pcap_compile error\n");

    //設定過濾器
    if(pcap_setfilter(pd, &fcode) < 0)
        printf("pcap_setfilter error\n");
    //資料包捕獲
    if(pcap_loop(pd, 10 ,handle, (u_char*)pd_t ) < 0)     //這裡可以使用pcap_dispatch，後者在讀取超時的時候也返回，這時的超時時間就是pcap_live_open設定的
        printf("pcap_loop error\n");

//將捕獲的資料包統計資訊計入stat結構體
    if( pcap_stats(pd, &stat) )
        printf("pcap_stat error\n");
    printf("recv:%d, drop:%d,not support:%d\n",stat.ps_recv,stat.ps_drop,stat.ps_ifdrop);

//重新整理緩衝區
    pcap_dump_flush(pd_t);

//開啟儲存的捕獲資料包的檔案,用於對dump檔案進行分析
    if( NULL == (pd_tp = pcap_open_offline(fname, ebuf) ) )
        printf("pcap_dumper_t error\n");
    pcapfile = pcap_file(pd_tp);   //獲得檔案控制代碼 FILE *
    pcapno = pcap_fileno(pd_tp);  //獲得檔案描述字

    //返回當前系統位元組序與被開啟檔案位元組序號是否不同
    printf("zijiexu:%d\n",pcap_is_swapped(pd_tp));

    //獲取被開啟檔案所使用的函式版本號
    printf("major version:%d\n",pcap_major_version(pd_tp));
    printf("minor version:%d\n",pcap_minor_version(pd_tp));

//關閉資源
    pcap_close(pd);
    pcap_dump_close(pd_t);

    return 0;
}


//捕獲的資料包內容由這個函式處理，這個回撥函式的格式必須是下面的形式
pcap_handler handle(u_char * user, const struct pcap_pkthdr * packet_header, const u_char * packet_content)
{
    pcap_dump(user, packet_header,packet_content);    //輸出資料到檔案,輸出過後的檔案就是pcap格式的，可以用wireshark開啟
    printf("I get one packet! \n");
}