Jnetpcap实现捕获过滤器和显示过滤器

目前在使用Jnetpcap开发一款实时流量监控系统，其中需要实现捕获过滤器和显示过滤器，记录一下，也很简单,更多是调用API。

 

一、捕获过滤器

主要是利用PcapBpfProgram这个类

使用方法：

PcapBpfProgram filter = new PcapBpfProgram();    
int res = pcap.compile(filter, expression, 1, 0);
pcap.setFilter(filter);

1.PcapBpfProgram filter = new PcapBpfProgram();用于创建一个过滤器对象，(PcapBpfProgram 遵循bpf过滤规则,详细规则参考https://www.wireshark.org/docs/man-pages/pcap-filter.html)此时仅仅创建此对象并不够，他并不知道要按照什么规则过滤，需要将过滤器与表达式对应起来。

2.对应起来的方法并不是操作filter对象，而是使用pcap.compile(PcapBpfProgram program, String expression, int optimize, int netmask)   参数一是第一步创建的filter，参数二是expression过滤表达式，参数三是是否优化（1表示进行优化，任何其他值表示否），参数四是确定广播地址所需的网络掩码（仅仅过滤可以无视），重点是前两个参数，返回值用于确定表达式是否符合规范，返回-1表示有错误。

3.为Pcap对象设置过滤器。

完整示例代码：

import java.util.ArrayList;
import java.util.Date;
import java.util.List;

import org.jnetpcap.Pcap;
import org.jnetpcap.PcapBpfProgram;
import org.jnetpcap.PcapIf;
import org.jnetpcap.packet.PcapPacket;
import org.jnetpcap.packet.PcapPacketHandler;



public class Testt {

	public static void main(String[] args) {
		
		// 获取当前机器的网卡信息
		StringBuilder errbuf = new StringBuilder();

		List<PcapIf> alldevs = new ArrayList<PcapIf>();

		int r = Pcap.findAllDevs(alldevs, errbuf);
		if (r == Pcap.NOT_OK || alldevs.isEmpty()) {
			System.err.printf("Can't read list of devices, error is %s", errbuf.toString());
			return;
		}
		
		// 输出网卡信息
		System.out.println("Network devices found:");

		int i = 0;
		for (PcapIf device : alldevs) {
			System.out.printf("#%d: %s [%s]\n", i++, device.getName(), device.getDescription());
		}

		// 选择要监控的网卡
		PcapIf device = alldevs.get(1);

		// 打开设备

		// openlive方法：这个方法打开一个和指定网络设备有关的，活跃的捕获器

		// 参数：snaplen指定的是可以捕获的最大的byte数，
		// 如果 snaplen的值 比 我们捕获的包的大小要小的话，
		// 那么只有snaplen大小的数据会被捕获并以packet data的形式提供。
		// IP协议用16位来表示IP的数据包长度，所有最大长度是65535的长度
		// 这个长度对于大多数的网络是足够捕获全部的数据包的

		// 参数：flags promisc指定了接口是promisc模式的，也就是混杂模式，
		// 混杂模式是网卡几种工作模式之一，比较于直接模式：
		// 直接模式只接收mac地址是自己的帧，
		// 但是混杂模式是让网卡接收所有的，流过网卡的帧，达到了网络信息监视捕捉的目的

		// 参数：timeout 这个参数使得捕获报后等待一定的时间，来捕获更多的数据包，
		// 然后一次操作读多个包，不过不是所有的平台都支持，不支持的会自动忽略这个参数

		// 参数：errbuf pcap_open_live()失败返回NULL的错误信息，或者成功时候的警告信息

		int snaplen = 64 * 1024;
		int flags = Pcap.MODE_PROMISCUOUS;// 混杂模式 接受所有经过网卡的帧
		int timeout = 10 * 1000;
		Pcap pcap = Pcap.openLive(device.getName(), snaplen, flags, timeout, errbuf);

		if (pcap == null) {
			System.err.printf("Error while opening device for capture: " + errbuf.toString());
			return;
		}

		PcapBpfProgram filter = new PcapBpfProgram();
		String expression = "tcp";
		 int res = pcap.compile(filter, expression, 1, 0);
		 pcap.setFilter(filter);
		 if (res != 0) {
			 System.out.println("Filter error：" + pcap.getErr());
		 }

		// 创建一个数据包处理器
		PcapPacketHandler<String> jpacketHandler = new PcapPacketHandler<String>() {

			public void nextPacket(PcapPacket packet, String user) {

				System.out.printf("%s Received at %s caplen=%-4d len=%-4d %s\n", PacketParse.parseProtocol(packet),
						new Date(packet.getCaptureHeader().timestampInMillis()), packet.getCaptureHeader().caplen(), // Length
						// actually
						// captured
						packet.getCaptureHeader().wirelen(), // Original length
						user // User supplied object
				);
			}
		};
		// 循环监听
		pcap.loop(Integer.MAX_VALUE, jpacketHandler, "jNetPcap rocks!");
		// 监听结束后关闭
		pcap.close();
	}
}

如果过滤表达式有错误，可使用pcap.getErr()获取详细错误

二、显示过滤器

Pacp并没有直接提供显示过滤器接口，wireshark显示过滤器也是和捕获过滤器不同的另一套过滤系统。

但仔细查看jnetpcap API可以发现

	/**
	 * Returns if a given filter applies to an offline packet. This function is
	 * used to apply a filter to a packet that is currently in memory. This
	 * process does not need to open an adapter; we need just to create the proper
	 * filter (by settings parameters like the snapshot length, or the link-layer
	 * type) by means of the pcap_compile_nopcap(). The current API of libpcap
	 * does not allow to receive a packet and to filter the packet after it has
	 * been received. However, this can be useful in case you want to filter
	 * packets in the application, instead of into the receiving process. This
	 * function allows you to do the job.
	 * 
	 * @param program
	 *          bpf filter
	 * @param header
	 *          packets header
	 * @param buffer
	 *          buffer containing packet data
	 * @return snaplen of the packet or 0 if packet should be rejected
	 * @since 1.2
	 */
	@LibraryMember("pcap_offline_filter")
	public static native int offlineFilter(PcapBpfProgram program,
			PcapHeader header,
			JBuffer buffer);

WinPcap.offlineFilter()提供了用于显示过滤器的接口

 

使用方法

PcapBpfProgram filter = new PcapBpfProgram();
int res = winPcap.compile(filter, expression, 1, 0);
if (res != 0) {
	System.out.println("Filter error：" + winPcap.getErr());
	return -1;
}
int flag = WinPcap.offlineFilter(filter, packet.getCaptureHeader(), packet);

代码和前边捕获过滤器很相似，可将单个PcapPacket对象进行过滤. flag==0表示没有通过过滤规则的数据包（并不是过滤表达式出错）

 

示例代码：

import java.util.ArrayList;
import java.util.Date;
import java.util.List;

import org.jnetpcap.Pcap;
import org.jnetpcap.PcapBpfProgram;
import org.jnetpcap.PcapIf;
import org.jnetpcap.packet.PcapPacket;
import org.jnetpcap.packet.PcapPacketHandler;
import org.jnetpcap.winpcap.WinPcap;



public class Testt {

	public static void main(String[] args) {

		// 获取当前机器的网卡信息
		StringBuilder errbuf = new StringBuilder();

		List<PcapIf> alldevs = new ArrayList<PcapIf>();

		int r = Pcap.findAllDevs(alldevs, errbuf);
		if (r == Pcap.NOT_OK || alldevs.isEmpty()) {
			System.err.printf("Can't read list of devices, error is %s", errbuf.toString());
			return;
		}

		// 输出网卡信息
		System.out.println("Network devices found:");

		int i = 0;
		for (PcapIf device : alldevs) {
			System.out.printf("#%d: %s [%s]\n", i++, device.getName(), device.getDescription());
		}

		// 选择要监控的网卡
		PcapIf device = alldevs.get(1);

		// 打开设备

		// openlive方法：这个方法打开一个和指定网络设备有关的，活跃的捕获器

		// 参数：snaplen指定的是可以捕获的最大的byte数，
		// 如果 snaplen的值 比 我们捕获的包的大小要小的话，
		// 那么只有snaplen大小的数据会被捕获并以packet data的形式提供。
		// IP协议用16位来表示IP的数据包长度，所有最大长度是65535的长度
		// 这个长度对于大多数的网络是足够捕获全部的数据包的

		// 参数：flags promisc指定了接口是promisc模式的，也就是混杂模式，
		// 混杂模式是网卡几种工作模式之一，比较于直接模式：
		// 直接模式只接收mac地址是自己的帧，
		// 但是混杂模式是让网卡接收所有的，流过网卡的帧，达到了网络信息监视捕捉的目的

		// 参数：timeout 这个参数使得捕获报后等待一定的时间，来捕获更多的数据包，
		// 然后一次操作读多个包，不过不是所有的平台都支持，不支持的会自动忽略这个参数

		// 参数：errbuf pcap_open_live()失败返回NULL的错误信息，或者成功时候的警告信息

		int snaplen = 64 * 1024;
		int flags = Pcap.MODE_PROMISCUOUS;// 混杂模式 接受所有经过网卡的帧
		int timeout = 10 * 1000;
		Pcap pcap = Pcap.openLive(device.getName(), snaplen, flags, timeout, errbuf);

		if (pcap == null) {
			System.err.printf("Error while opening device for capture: " + errbuf.toString());
			return;
		}

		PcapBpfProgram filter = new PcapBpfProgram();
		String expression = "tcpp";
		WinPcap winPcap = WinPcap.openDead(1, snaplen);
		int res = winPcap.compile(filter, expression, 1, 0);
		if (res != 0) {
			System.out.println("Filter error：" + winPcap.getErr());
		}
		
		// 创建一个数据包处理器
		PcapPacketHandler<String> jpacketHandler = new PcapPacketHandler<String>() {

			public void nextPacket(PcapPacket packet, String user) {

				int flag = WinPcap.offlineFilter(filter, packet.getCaptureHeader(), packet);

				if (flag != 0) {
					System.out.printf("%s Received at %s caplen=%-4d len=%-4d %s\n", PacketParse.parseProtocol(packet),
							new Date(packet.getCaptureHeader().timestampInMillis()), packet.getCaptureHeader().caplen(), // Length
							// actually
							// captured
							packet.getCaptureHeader().wirelen(), // Original length
							user // User supplied object
					);
				}
			}
		};
		// 循环监听
		pcap.loop(Integer.MAX_VALUE, jpacketHandler, "jNetPcap rocks!");
		// 监听结束后关闭
		pcap.close();
	}
}

三、最后提供一个用于过滤检测表达式是否正确的方法(需要一个用于测试的test.pcap文件)

import java.util.ArrayList;
import java.util.List;

import org.jnetpcap.Pcap;
import org.jnetpcap.PcapBpfProgram;
import org.jnetpcap.PcapIf;



public class ExpressionCheck {
	
	private static PcapBpfProgram filter = new PcapBpfProgram();
	
	//检查表达式是否正确
	/**
	 * @param expression
	 * @return	0表示表达式正确
	 * 			-1表示表达式错误
	 * 			-2表示其他错误
	 */
	public static int checkFilterExpression(String expression) {

		// 获取当前机器的网卡信息
		StringBuilder errbuf = new StringBuilder();

		List<PcapIf> alldevs = new ArrayList<PcapIf>();

		//用于测试表达式
		String filepath = "test.pcap";
		
		Pcap pcap = Pcap.openOffline(filepath, errbuf);

		if (pcap == null) {
			System.err.printf("Error while opening device for capture: " + errbuf.toString());
			return -2;
		}

		int res = pcap.compile(filter, expression, 0, 0);
		pcap.setFilter(filter);

		if (res != 0) {
			System.out.println("Filter error：" + pcap.getErr());
			return -1;
		}
		return 0;
	}
}