WinPcap: 过滤数据包

优质

小牛编辑

135浏览

2023-12-01

WinPcap和Libpcap的最强大的特性之一，是拥有过滤数据包的引擎。它提供了有效的方法去获取网络中的某些数据包，这也是WinPcap捕获机制中的一个组成部分。用来过滤数据包的函数是 pcap_compile() 和 pcap_setfilter() 。

pcap_compile() 它将一个高层的布尔过滤表达式编译成一个能够被过滤引擎所解释的低层的字节码。有关布尔过滤表达式的语法可以参见 Filtering expression syntax 这一节的内容。

pcap_setfilter() 将一个过滤器与内核捕获会话向关联。当 pcap_setfilter() 被调用时，这个过滤器将被应用到来自网络的所有数据包，并且，所有的符合要求的数据包 (即那些经过过滤器以后，布尔表达式为真的包) ，将会立即复制给应用程序。

以下代码展示了如何编译并设置过滤器。请注意，我们必须从 pcap_if 结构体中获得掩码，因为一些使用 pcap_compile() 创建的过滤器需要它。

在这段代码片断中，传递给 pcap_compile() 的过滤器是"ip and tcp"，这说明我们只希望保留IPv4和TCP的数据包，并把他们发送给应用程序。

    if (d->addresses != NULL)
        /* 获取接口第一个地址的掩码 */
        netmask=((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr;
    else
        /* 如果这个接口没有地址，那么我们假设这个接口在C类网络中 */
        netmask=0xffffff; 


compile the filter
    if (pcap_compile(adhandle, &fcode, "ip and tcp", 1, netmask) < 0)
    {
        fprintf(stderr,"nUnable to compile the packet filter. Check the syntax.n");
        /* 释放设备列表 */
        pcap_freealldevs(alldevs);
        return -1;
    }
    
set the filter
    if (pcap_setfilter(adhandle, &fcode) < 0)
    {
        fprintf(stderr,"nError setting the filter.n");
        /* 释放设备列表 */
        pcap_freealldevs(alldevs);
        return -1;
    }

如果你想阅读过滤函数的范例代码，请阅读下一讲分析数据包的例子。