libpcap抓取tcp数据

### 使用 libpcap 抓取 TCP 数据 为了捕获特定类型的网络流量，如TCP数据包，可以利用 `libpcap` 库提供的功能来设置过滤器并处理接收到的数据包。下面是一个简单的例子展示如何编写程序以捕捉并打印出所有的TCP数据包。 #### 创建 BPF 过滤表达式 通过调用函数 `pcap_compile()` 来创建BPF字节码表示形式的过滤条件[^1]： ```c struct bpf_program fp; char filter_exp[] = "tcp"; /* 只接受TCP协议 */ bzero(&fp, sizeof(fp)); if (pcap_compile(handle, &fp, filter_exp, 0, net) == -1) { fprintf(stderr, "Couldn't parse filter %s: %s\n", filter_exp, pcap_geterr(handle)); return(2); } /* 将编译后的过滤器应用到适配器上 */ if (pcap_setfilter(handle, &fp) == -1) { fprintf(stderr, "Couldn't install filter %s: %s\n", filter_exp, pcap_geterr(handle)); return(2); } ``` 这段代码设置了只允许TCP报文进入后续流程的筛选规则，并将其绑定到了指定接口之上。 #### 定义回调函数用于解析每一个到达的数据帧 每当有匹配的数据包被捕获时就会触发此方法，在这里可以根据需求进一步分析有效负载部分的内容[^2]: ```c void packet_handler(u_char *args, const struct pcap_pkthdr* header, const u_char* pkt_data){ static int count = 1; printf("\nPacket Count: %d\n", count++); printf("Received Packet Size: %u bytes\n", header->len); // 解析Ethernet头部... // 如果是IP分组，则继续解析其内部结构... // 判断是否为TCP段落... // 输出源端口和目的端口号等信息 } // 设置监听模式下的回调机制 pcap_loop(handle, cnt, packet_handler, NULL); ``` 上述片段定义了一个名为 `packet_handler` 的处理器原型，它接收三个参数：原始指针、包含时间戳长度元数据的对象以及实际载荷数组；当满足预设条件（即上面提到过的仅限于TCP流）之后便会执行其中封装的操作逻辑。 最后一步就是确保项目能够被正确构建与部署环境相兼容的形式发布出去[^3]: ```bash gcc -o sniffer sniffer.c -lpcap sudo ./sniffer ``` 以上命令先链接必要的库文件再赋予可执行权限给最终产物以便随时启动服务进程。