PCAP研究
一、 pcap简介
封装了OS提供的底层抓包技术，对外提供一些统一的抓包（及发送）接口。实现这些功能的其他技术包括：BPF(Berkeley Packet Filter)，DLPI(Data Link Provider Interface)，NIT ，Linux专用的SOCKET_PACKET或PF_PACKET等。
二、 pcap Linux安装
参考《INSTALL.txt》。
进入pcap源码目录，执行./configure，这将检测系统环境，并生成Makefile文件；执行make；执行make install，这将安装开发头文件、库、手册等；注意这不会安装动态库。
三、 pcap 开发介绍
2.1 API介绍
本部分介绍API，并对主要的API进行详细的说明。
pcap_open_live，打开由dev指定的设备，
pcap_open_dead，只是建立一个pcap_t结构体，用处不大；
pcap_open_offline，打开一个tcpdump/libpcap 格式的文件，从中读取数据；
pcap_dump_open
pcap_setnonblock
pcap_getnonblock
pcap_findalldevs，获取设备列表
pcap_freealldevs，关闭查询的设备
pcap_lookupdev，获得设备信息，如eth0，只是获得找到的第一个设备
pcap_lookupnet，获得IP/Mask信息
pcap_dispatch，抓包引擎，需循环调用
pcap_loop，抓包引擎，与pcap_dispatch的不同处在于它少一个超时返回参数；
pcap_dump
pcap_compile，编译过滤语法
pcap_setfilter，绑定过滤器
pcap_freecode
pcap_next，轮询方式抓包
pcap_datalink
pcap_snapshot
pcap_is_swapped
pcap_major_version
pcap_minor_version
pcap_stats，获取当前捕获的统计信息
pcap_file
pcap_fileno
pcap_perror
pcap_geterr
pcap_strerror
pcap_close，关闭设备
pcap_dump_close
pcap_sendpacket，发送一个原始数据包
说明：
1， 函数的返回值，0表示成功，-1表示错误；
2， 参数errbuf用于接收错误信息，不小于PCAP_ERRBUF_SIZE；
2.2使用pcap的一般步骤
Ø pcap_lookupdev等获得设备信息，网卡设备名、设备所在网络地址；
Ø pcap_open_live打开设备，设置网卡成混杂模式；
Ø 循环调用pcap_loop中实现包捕获引擎，编写包分析程序；
2.3回调函数定义
typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *, const u_char *);
2.4设置过滤条件
首先使用pcap_compile编译一个filter字符串，然后使用pcap_setfilter将编译结果绑定到一个设备；
char* filter = "udp port 5060";
bpf_program fp;
if(-1 == pcap_compile(cap_des, &fp, filter, 0, netp))
{
cout<<"compile err: "<<pcap_geterr(cap_des)<<endl;
return 6;
}
if(-1 == pcap_setfilter(cap_des, &fp))
{
cout<<"set filter err: "<<pcap_geterr(cap_des)<<endl;
return 7;
}
2.5 错误返回
存在两种获取错误原因的方式，一是通过函数参数的errbuf；如果函数没有该参数，则使用pcap_geterr获得，函数执行错误时会将错误信息写入结构体中的预分配的errbuf（其中一些是基于errno），该函数返回该errbuf的地址；
四、 pcap Linux实现
4.1函数
本部分介绍某些关键函数的实现：
1， pcap_findalldevs，首先使用socket()获得一个socket的句柄，然后使用ioctl获得所有网卡信息；该函数会尝试打开找到的设备（add_or_find_if），它只返回能够用于live capture的设备；
2， pcap_lookupdev，调用pcap_findalldevs，将找到的第一个device返回。
3， pcap_open_live，
a) 参数device赋空(NULL)或“any”时将抓取所有网卡的数据包（这种情况下将不支持混杂模式？）；
b) 尝试使用live_open_new打开设备(PF_PACKET)，失败将使用live_open_old（SOCK_PACKET）；
c) live_open_new，对捕获单块网卡，调用socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL))（数据带链路层头），如果需捕获所有网卡，调用socket(PF_PACKET, SOCK_DGRAM, htons(ETH_P_ALL))（不带链路层头）；调用setsockopt设置混杂模式；
d) 设置pcap_t对象，设置操作系统相关的处理函数的指针，及初始化buffer（大小由参数snaplen确定），
4， pcap_close，调用pcap_close_linux，
5， pcap_lookupnet，先使用socket()获得一个socket句柄，然后调用ioctl获得设备相关的参数；
6， pcap_loop，判断open方式，循环调用pcap_offline_read读取文件或read_op（pcap_read_linux）读取socket，读取cnt个packet，并对每个packet调用callback函数；将参数user传给callbask函数；函数返回已处理的packet数；
a) pcap_read_linux调用pcap_read_packet，后者调用recvfrom将数据接收到bufsize；如果kernel filter没有起作用，调用bpf_filter进行处理；最后调用callback函数；
7， pcap_dispatch，仅调用一次read_op，相对pcap_loop，不能用于读取文件，及不循环；这样它的处理少一些；在Linux下，每次调用只抓一个packet；
8， pcap_next，调用pcap_dispatch实现，每次只抓一个packet，将packet作为函数返回值；
9， pcap_next_ex，提供了读取文件的能力，其他处理与pcap_next相仿；
10， pcap_compile，调用了lex_init等函数——没看到这些函数的实现；
11， pcap_setfilter，调用了pcap_setfilter_linux（#ifdef SO_ATTACH_FILTER）；filter分内核filter及pcap自己实现的filter两种，pcap会优先使用内核filter；如果filter语法过于复杂（#ifdef USHRT_MAX），会使用或经检查filter不能在内核执行时，
a) 调用fix_program，
b) 调用set_kernel_filter设置内核filter，使用setsockopt（SO_ATTACH_FILTER）；
12， pcap_inject，调用p->inject_op，pcap_inject_linux，send发送数据；
13， pcap_sendpacket，与pcap_inject实现一样，只是更改了接口；
14， pcap_stats，调用stats_op（pcap_stats_linux）函数，内核版本需2.4 以上，调用getsockopt获得数据；可统计数据包括：经过filter到达pcap的packet数量、通过了filter但是因为buffer不足等原因而没有到达pcap的packet数量；
15， pcap_setnonblock，将socket设置成阻塞或非阻塞模式；
16， pcap_setdirection，设置要抓取的packet的方向，发出还是收到？；
4.1数据结构
本部分为pcap的关键数据结构：
struct pcap_if {
struct pcap_if *next;
char *name;
char *description;
struct pcap_addr *addresses;
bpf_u_int32 flags; PCAP_IF_LOOPBACK
};
struct pcap_pkthdr {
struct timeval ts; //获得packet的时间
bpf_u_int32 caplen; //抓取到的packet长度
bpf_u_int32 len; //packet的真实长度
};
len可能大于caplen
pcap_t，摘出了Linux相关部分：
struct pcap {
int fd;
int selectable_fd;
int send_fd;
int snapshot;
int linktype;
int tzoff;
int offset;
int break_loop;
#ifdef PCAP_FDDIPAD
int fddipad;
#endif
struct pcap_sf sf;
struct pcap_md md;
int bufsize;
u_char *buffer;
u_char *bp;
int cc;
u_char *pkt;
pcap_direction_t direction;
int (*read_op)(pcap_t *, int cnt, pcap_handler, u_char *);
int (*inject_op)(pcap_t *, const void *, size_t);
int (*setfilter_op)(pcap_t *, struct bpf_program *);
int (*setdirection_op)(pcap_t *, pcap_direction_t);
int (*set_datalink_op)(pcap_t *, int);
int (*getnonblock_op)(pcap_t *, char *);
int (*setnonblock_op)(pcap_t *, int, char *);
int (*stats_op)(pcap_t *, struct pcap_stat *);
void (*close_op)(pcap_t *);
struct bpf_program fcode;
char errbuf[PCAP_ERRBUF_SIZE + 1];
int dlt_count;
u_int *dlt_list;
struct pcap_pkthdr pcap_header;
};
五、 一些问题
1，c代码与c++代码风格比较
1， C++使用继承结构区分共性与个性，将代表个性的数据结构放到子类中，这样区别能集中到子类中；C中使用大量的条件编译，如#ifdef HAVE_PF_PACKET_SOCKETS，代码混杂；
2， C中实现多态的方式，结构体中定义函数指针，不同的实现赋不同的值；
六、 一些测试数据
1，基于Winpcap，使用filter；
程序执行环境：Windows XP sp2，无线网卡；
测试方式：向10.130.24.158拷贝一个超过1G的文件，检查程序的性能情况；
测试数据：
|
|
描述 |
CPU(%) |
程序消耗(%) |
其他 |
|
1 |
不设置filter，抓取所有数据 |
65～85 |
20 |
|
|
2 |
设置filter(udp)使得不抓取数据 |
15～25 |
0 |
|
|
3 |
设置filter(tcp)抓取所有数据 |
65～80 |
20 |
|
2，Winpcap的发送速度
说明：本次测试只测试了发送函数的执行耗时，未检查接受端的情况，即不能保证数据真的通过网卡发出。
测试方式：每次发送300B大小的数据包，每循环执行100000或500000次发送，记录每循环的耗时，取多次循环的折中值；另外24.158机器上安装有两块千兆网卡，一块接在千兆交换机上，另一块接在百兆交换机上。
1， pcap_sendpacket与pcap_sendqueue_transmit的发送速度比较：
每循环执行100000次pcap_sendpacket发送，耗时约6秒，流量约40Mb/s，且100Mb网络稍快于1000Mb网络；
使用pcap_sendqueue_transmit，积累到100个数据包时发送一次；千兆网络每循环耗时0.7秒，流量342Mb/s，百兆网络每循环耗时2.6秒，流量92Mb/s。
结论：pcap_sendqueue_transmit比pcap_sendpacket发送速度快得多。
2， 用户buffer、系统buffer、每次发送数量对发送速度的影响
本部分测试用户buffer、系统buffer、每次发送数量对pcap_sendqueue_transmit的发送速度的影响；本测试每循环发送500000个包，每个包300B；
关于pcap_sendqueue_alloc的说明：该函数用于分配一块用户空间存储，应设置得足够大以容纳数据；测试发现它会影响到程序占用的内存，但对发送速度没有影响。
用户buffer 1M，系统buffer1M
|
每次发包数 |
50 |
100 |
1200 |
1 |
|
1000Mb网络（秒） |
3 |
4 |
3 |
32 |
|
100Mb网络（秒） |
13 |
13 |
13 |
30 |
设置用户buffer为8M，系统buffer 1M；
|
每次发包数 |
|
100 |
1200 |
|
|
1000Mb网络（秒） |
|
2.7 |
3 |
|
|
100Mb网络（秒） |
|
13 |
13.3 |
|
设置用户buffer为64M，系统buffer 1M；
|
每次发包数 |
|
100 |
1200 |
|
|
1000Mb网络（秒） |
|
2.7 |
3 |
|
|
100Mb网络（秒） |
|
13 |
13.4 |
|
设置用户buffer为1M，系统buffer 1M；
|
每次发包数 |
|
100 |
1200 |
|
|
1000Mb网络（秒） |
|
2.7 |
3 |
|
|
100Mb网络（秒） |
|
13 |
13.4 |
|
设置用户buffer为1M，系统buffer 64M；
|
每次发包数 |
|
100 |
1200 |
|
|
1000Mb网络（秒） |
|
3.7 |
3.1 |
|
|
100Mb网络（秒） |
|
13 |
13.3 |
|
设置用户buffer为8M，系统buffer 8M；
|
每次发包数 |
|
100 |
1200 |
12000 |
|
1000Mb网络（秒） |
|
3.7 |
3 |
2.9 |
|
100Mb网络（秒） |
|
13 |
13.4 |
13.6 |
设置用户buffer为8M，系统buffer 64M；
|
每次发包数 |
|
100 |
1200 |
|
|
1000Mb网络（秒） |
|
2.7 |
3 |
|
|
100Mb网络（秒） |
|
13 |
13.4 |
|
