1

フィルターを使用して徐々に適用するpcapプログラムを作成しました(つまり、フィルターを再コンパイルし、最初の pcap_loop の後にフィルターを再度設定します) 。pcap_open_live()pcappcapWireshark

ただし、プログラムを実行すると、に空のフィルターを指定しない限り、パケットを出力することさえできませんpcap_compile_filter。

これは、保存されたファイルで使用するための単なる機能lpcapですか、それとも何か間違っていますか?

閲覧用のコードのスニペットを次に示します。

int main(int argc, char **argv)
{
char *dev = NULL;           /* capture device name */
char errbuf[PCAP_ERRBUF_SIZE];      /* error buffer */
pcap_t *handle;             /* packet capture handle */
char filter_exp[] = "ip";           /* filter expression [3] */
struct bpf_program fp;          /* compiled filter program (expression) */
bpf_u_int32 mask;           /* subnet mask */
bpf_u_int32 net;            /* ip */
int num_packets = -1;           /* number of packets to capture  -1 => capture forever! */

printf("Filter expression: %s\n", filter_exp);

// open capture device
handle = pcap_open_offline("heartbeats2", errbuf);
if (handle == NULL) {
    fprintf(stderr, "pcap_open_offline failed: %s\n", errbuf);
    exit(EXIT_FAILURE);
}

/* make sure we're capturing on an Ethernet device*/
if (pcap_datalink(handle) != DLT_EN10MB) {
    fprintf(stderr, "%s is not an Ethernet\n", dev);
    exit(EXIT_FAILURE);
}

/* compile the filter expression */
if (pcap_compile(handle, &fp, filter_exp, 0, 0) == -1) {
    fprintf(stderr, "Couldn't parse filter %s: %s\n",
        filter_exp, pcap_geterr(handle));
    exit(EXIT_FAILURE);
}

/* apply the compiled filter */
if (pcap_setfilter(handle, &fp) == -1) {
    fprintf(stderr, "Couldn't install filter %s: %s\n",
        filter_exp, pcap_geterr(handle));
    exit(EXIT_FAILURE);
}

pcap_loop(handle, -1, gotPacket, NULL);

pcap_freecode(&fp);
pcap_close(handle);

printf("\nCapture complete.\n");

return(0);
}

got packet 関数は、パケットのペイロードを出力するだけです。出力は次のとおりです。

Filter expression: ip

Capture complete.
4

1 に答える 1

0

gotPacket 関数を見なければ、そこで何が起こっているのかを知ることはできません。

他にエラー メッセージがないため、プログラムはコードの最後まで実行され、「キャプチャが完了しました」と出力されます。メッセージ。

プログラムが pcap_open_live() と空のフィルターで動作する場合、pcap ファイルに ip パケットが含まれていない可能性があると私が疑う唯一のことです。

Wireshark で pcap ファイルを開き、wireshark フィルタ式で「ip」フィルタを使用できます。Wireshark でパケットを確認できる場合は、上記のプログラムもフィルターで動作するはずです。

BPF の例があるサイトはたくさんあります。サイトの一例はhttp://biot.com/capstats/bpf.htmlです。

于 2013-09-11T13:29:18.197 に答える