Question

我正在尝试将pcap文件读取到某些数据结构（如矢量或数组），然后在应用程序中使用收集的数据（仅选择一个像数据包长度，时间戳）。我找到了一些用于阅读pcap的示例应用程序：

#include <stdio.h>
#include <pcap.h>

#define LINE_LEN 16

void dispatcher_handler(u_char *, const struct pcap_pkthdr *, const u_char *);

int main(int argc, char **argv)
{
    pcap_t *fp;
    char errbuf[PCAP_ERRBUF_SIZE];

    if(argc != 2)
    {
        printf("usage: %s filename", argv[0]);
        return -1;

    }

    /* Open the capture file */
    if ((fp = pcap_open_offline(argv[1],            // name of the device
                         errbuf                 // error buffer
                         )) == NULL)
    {
        fprintf(stderr,"\nUnable to open the file %s.\n", argv[1]);
        return -1;
    }

    /* read and dispatch packets until EOF is reached */
    pcap_loop(fp, 0, dispatcher_handler, NULL);

    pcap_close(fp);
    return 0;
}



void dispatcher_handler(u_char *temp1,
                        const struct pcap_pkthdr *header,
                        const u_char *pkt_data)
{
    u_int i=0;

    /*
     * unused variable
     */
    (VOID*)temp1;

    /* print pkt timestamp and pkt len */
    printf("%ld:%ld (%ld)\n", header->ts.tv_sec, header->ts.tv_usec, header->len);

    printf("\n\n");

}

问题在于pcap_loop()。我找到了documentation，但唯一的信息是这是读取整个文件，直到文件结束。我一直在尝试将文件视为典型的FILE，并在while循环中读取EOF，但它不起作用，因为我无法简单地对待fp为FILE。

此外，我没有看到任何可能将指针传递给pcap_handler以便稍后检索它。

有人可以建议我如何以其他方式做到这一点吗？

Answer 1

根据文档，您的代码看起来正确。 pcap_loop应该是FILE阅读，你不应该尝试这样做。

文档提到的一件事是，在旧的pcap版本0中，pcap_loop中的count是未定义的，所以如果你链接到旧版本，使用-1应该更安全。

Answer 2

经过进一步的文档和互联网调查后，我发现了功能：pcap_next_ex()

多亏了我现在可以使用while循环并逐行读取（或者更准确地说是逐包）。总体思路如下：

struct pcap_pkthdr *header;
const u_char *pkt_data;
int res;

while((res = pcap_next_ex(fp, &header, &pkt_data)) >= 0)
{
    //Process packet
}

Answer 3

我一直在尝试将文件视为典型的FILE，并在while循环中读取EOF，但它不起作用，因为我不能简单地将fp视为FILE。

不，因为不是FILE。（您还可以从pcap_t *或pcap_open_live() / pcap_create()组合获得pcap_activate()，但这会为您提供实时捕获的句柄，而不是文件。）< / p>

此外，我认为没有可能将指针传递给pcap_handler以便稍后检索它。

pcap_loop()的第四个参数作为第一个参数传递给 pcap_handler ，所以你可以做到

pcap_loop(fp, 0, dispatcher_handler, pointer);

然后，在dispatcher_handler()中，将temp1转换为适当的类型并使用它 - 它将指向pointer所做的相同的事情。

将pcap文件读取到矢量/数组

3 个答案: