现在我们已经能够捕获并且过滤网络数据包,下面我们就把我们的知识运用到一个简单的“真实的”应用程序中去。
在这节课中我们将从前面的课程中拷贝代码并用它们来构造出一个更有用途的程序。这个程序主要的目的就是说明怎样分析和解释我们已经捕获的数据包的协议结构。最终的应用程序,叫做UDPdump,会打印出一个在我们的网络中的UDP数据包的概要。
在开始阶段我们选择分析并显示UDP协议,因为UDP协议比其他的协议比如TCP协议更容易理解,从而非常适合作为初始阶段的例子。还是让我们开始看代码吧:
- #define HAVE_REMOTE
- #include <pcap.h>
-
- #pragma comment(lib,"wpcap.lib")
- #pragma comment(lib,"Ws2_32.lib")
-
-
- typedef struct ip_address{
- u_char byte1;
- u_char byte2;
- u_char byte3;
- u_char byte4;
- }ip_address;
-
-
- typedef struct ip_header{
- u_char ver_ihl;
- u_char tos;
- u_short tlen;
- u_short identification;
- u_short flags_fo;
- u_char ttl;
- u_char proto;
- u_short crc;
- ip_address saddr;
- ip_address daddr;
- u_int op_pad;
- }ip_header;
-
-
- typedef struct udp_header{
- u_short sport;
- u_short dport;
- u_short len;
- u_short crc;
- }udp_header;
-
-
- void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data);
-
-
- main()
- {
- pcap_if_t *alldevs;
- pcap_if_t *d;
- int inum;
- int i=0;
- pcap_t *adhandle;
- char errbuf[PCAP_ERRBUF_SIZE];
- u_int netmask;
- char packet_filter[] = "ip and udp";
- struct bpf_program fcode;
-
-
- if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1)
- {
- fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf);
- exit(1);
- }
-
-
- for(d=alldevs; d; d=d->next)
- {
- printf("%d. %s", ++i, d->name);
- if (d->description)
- printf(" (%s)\n", d->description);
- else
- printf(" (No description available)\n");
- }
-
- if(i==0)
- {
- printf("\nNo interfaces found! Make sure WinPcap is installed.\n");
- return -1;
- }
-
- printf("Enter the interface number (1-%d):",i);
- scanf("%d", &inum);
-
- if(inum < 1 || inum > i)
- {
- printf("\nInterface number out of range.\n");
-
- pcap_freealldevs(alldevs);
- return -1;
- }
-
-
- for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++);
-
-
- if ( (adhandle= pcap_open(d->name,
- 65536,
-
- PCAP_OPENFLAG_PROMISCUOUS,
- 1000,
- NULL,
- errbuf
- ) ) == NULL)
- {
- fprintf(stderr,"\nUnable to open the adapter. %s is not supported by WinPcap\n");
-
- pcap_freealldevs(alldevs);
- return -1;
- }
-
-
- if(pcap_datalink(adhandle) != DLT_EN10MB)
- {
- fprintf(stderr,"\nThis program works only on Ethernet networks.\n");
-
- pcap_freealldevs(alldevs);
- return -1;
- }
-
- if(d->addresses != NULL)
-
- netmask=((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr;
- else
-
- netmask=0xffffff;
-
-
-
- if (pcap_compile(adhandle, &fcode, packet_filter, 1, netmask) <0 )
- {
- fprintf(stderr,"\nUnable to compile the packet filter. Check the syntax.\n");
-
- pcap_freealldevs(alldevs);
- return -1;
- }
-
-
- if (pcap_setfilter(adhandle, &fcode)<0)
- {
- fprintf(stderr,"\nError setting the filter.\n");
-
- pcap_freealldevs(alldevs);
- return -1;
- }
-
- printf("\nlistening on %s...\n", d->description);
-
-
- pcap_freealldevs(alldevs);
-
-
- pcap_loop(adhandle, 0, packet_handler, NULL);
-
- return 0;
- }
-
-
- void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
- {
- struct tm *ltime;
- char timestr[16];
- ip_header *ih;
- udp_header *uh;
- u_int ip_len;
- u_short sport,dport;
-
-
- ltime=localtime(&header->ts.tv_sec);
- strftime( timestr, sizeof timestr, "%H:%M:%S", ltime);
-
-
- printf("%s.%.6d len:%d ", timestr, header->ts.tv_usec, header->len);
-
-
- ih = (ip_header *) (pkt_data +
- 14);
-
-
- ip_len = (ih->ver_ihl & 0xf) * 4;
- uh = (udp_header *) ((u_char*)ih + ip_len);
-
-
- sport = ntohs( uh->sport );
- dport = ntohs( uh->dport );
-
-
- printf("%d.%d.%d.%d.%d -> %d.%d.%d.%d.%d\n",
- ih->saddr.byte1,
- ih->saddr.byte2,
- ih->saddr.byte3,
- ih->saddr.byte4,
- sport,
- ih->daddr.byte1,
- ih->daddr.byte2,
- ih->daddr.byte3,
- ih->daddr.byte4,
- dport);
- }
首先,我们设置过滤器为”ip and udp”。这样,我们保证packet_handler()将只接收基于IPv4的udp数据包;这样可以简单化分解(parsing)过程和提高程序的执行效率。
我们还创建了一对用来描述IP和UDP头信息的结构体。这两个结构被packet_handler()调用来定位各种各样的信息头域。
Packet_handler(),尽管限制为只为一个协议解剖(UDP OVER IPV4),向我们展示了象tcpdump/windump这种复杂的探测是怎么样对网络信息进行解码的。首先,因为我们对MAC头部不感兴趣,所以我们忽略它。为了简单起见,在开始启动捕获前,我们用pcap_datalink()在MAC层做一个检查,这样UDPdump就会仅仅在以太网上进行工作。这样我们能保证MAC头部是14个字节。
IP头在MAC头之后,我们从IP头中获得源IP地址和目的IP地址。
到了UDP头部就有点复杂,因为IP头没有一个固定的长度。因此,我们使用接口首部长度域来得到大小。一旦我们知道了UDP首部的位置,我们就可以从中提取出源端口和目的端口号。
提取的信息打印在屏幕上,结果象下面所示:
1.
{A7FD048A-5D4B-478E-B3C1-34401AC3B72F} (Xircom t 10/100 Adapter)
Enter the interface number (1-2):1
listening on Xircom CardBus Ethernet 10/100 Adapter...
16:13:15.312784 len:87 130.192.31.67.2682 -> 130.192.3.21.53
16:13:15.314796 len:137 130.192.3.21.53 -> 130.192.31.67.2682
16:13:15.322101 len:78 130.192.31.67.2683 -> 130.192.3.21.53
每一行代表一个数据包。