Question

我正在尝试使用inet地址127.0.0.1（环回地址）创建一个读取从服务器发送到客户端的文本的嗅探器。即使客户端已从服务器接收数据，程序也会保持暂停状态。

嗅探器代码：

int main(int argc,char **argv)
{ 
    char *dev; 
    char errbuf[PCAP_ERRBUF_SIZE];
    pcap_t* descr;
    bpf_u_int32 maskp;          /* subnet mask               */
    bpf_u_int32 netp;           /* ip*/
    struct bpf_program fp;      /* hold compiled program            */
    char *filter = "host 127.0.0.1";
    //char *filter = "port 5000";

    dev = pcap_lookupdev(errbuf);
    if(dev == NULL)
    { printf("%s\n",errbuf); exit(1); }
                printf("call success");

    /* ask pcap for the network address and mask of the device */
    pcap_lookupnet(dev,&netp,&maskp,errbuf);

    descr = pcap_open_live(dev,BUFSIZ,1,-1,errbuf);
    if(descr == NULL)
    { printf("pcap_open_live(): %s\n",errbuf); exit(1); }

                    /* Lets try and compile the program.. non-optimized */
    if(pcap_compile(descr,&fp,filter,0,netp) == -1)
    { fprintf(stderr,"Error calling pcap_compile\n"); exit(1); }

    /* set the compiled program as the filter */
    if(pcap_setfilter(descr,&fp) == -1)
    { fprintf(stderr,"Error setting filter\n"); exit(1); }


    pcap_loop(descr,2,callback,NULL);

    fprintf(stdout,"\nfinished\n");
    return 0;
}

Answer 1

您将-1作为 to_ms 参数传递给pcap_open_live()。否定超时的行为未定义;您应该指定正值。该值以毫秒为单位; tcpdump使用1000，即1秒，而Wireshark使用250，即1/4秒。

您正在使用pcap_lookupdev()捕获默认设备。环回设备很少（如果有的话），因此如果您在默认设备上捕获，如果您使用过滤器host 127.0.0.1，则很少会看到任何流量。如果服务器和客户端都在与运行程序的机器相同的机器上运行，则需要在环回设备上捕获，该设备在Linux上名为"lo" 。如果服务器和客户端不都在同一台计算机上运行，那么您的流量将不使用地址127.0.0.1，您将需要选择不同的地址。< / p>

客户端和服务器Libpcap之间的Linux嗅探器

1 个答案: