TCPDump / libpcap - 查找有效负载数据的内存位置答案

【问题标题】：TCPDump / libpcap - find memory location of payload dataTCPDump / libpcap - 查找有效负载数据的内存位置
【发布时间】：2013-08-06 06:43:32
【问题描述】：

我正在尝试使用 libpcap 查看进出我的环回网络适配器的 http 流量。我刚从网络编程开始，对这个库完全陌生。感谢我之前收到的answer，我已经成功检测到我机器的“lo0”适配器（Mac OSx）上的链路层类型。

//lookup link-layer header type
link_layer_type = pcap_datalink(handle);
if(link_layer_type == DLT_NULL){
    printf("DLT_NULL"); // this true in the case of "lo0"
}

Programming with Pcap 指南假设每个数据包都包含一个以太网标头。所以用于查找数据包有效载荷的逻辑如下：

 ethernet = (struct sniff_ethernet*)(packet);
    ip = (struct sniff_ip*)(packet + SIZE_ETHERNET);
    size_ip = IP_HL(ip)*4;
    if (size_ip < 20) {
        printf("   * Invalid IP header length: %u bytes\n", size_ip);
        return;
    }
    tcp = (struct sniff_tcp*)(packet + SIZE_ETHERNET + size_ip);
    size_tcp = TH_OFF(tcp)*4;
    if (size_tcp < 20) {
        printf("   * Invalid TCP header length: %u bytes\n", size_tcp);
        return;
    }
}

payload = (u_char *)(packet + SIZE_ETHERNET + size_ip + size_tcp);

当检查源自不存在以太网标头的环回接口的数据包内容时，此逻辑将不起作用。 Link-Layer Header Types documentation 声明“DTL_NULL”的链路层类型包含一个 4 字节的标头，其中包含一个包含网络层协议的 PF_ 值（在我的情况下我猜是 IPv4）。

鉴于以上信息..我怎样才能正确定位数据包的有效负载位置？

任何指导或信息将不胜感激。谢谢！

【问题讨论】：

标签： c tcp network-programming libpcap tcpdump

【解决方案1】：

鉴于以上信息.. 我怎样才能正确定位数据包的有效负载位置？

对于DLT_NULL，您的程序应将数据包数据的前 4 个字节提取为 32 位数字。如果您正在进行实时捕获，您可以按主机的字节顺序提取它，并将其与操作系统的 AF_INET 和 AF_INET6 值进行比较（如果它具有 AF_INET6 定义；如今，大多数当前操作系统版本应该，因为它们应该支持 IPv6）；如果您正在读取捕获文件，则需要在 pcap_is_swapped() 返回非零值时对值进行字节交换（您也可以将其用于实时捕获；对于实时捕获，它始终返回零），并且您'将需要与几个不同的“IPv6”值（24、28 和 30）进行比较，每个值在某些特定操作系统上都表示“IPv6”（幸运的是，AF_INET 在所有支持 DLT_NULL 的操作系统上都是 2，如他们都从 4.2BSD 中获取了这个值）。

如果该值是 IPv4 值（2，如上所述），那么在这 4 个字节之后，您将获得数据包的 IPv4 标头。如果它是 IPv6 值之一，那么在这 4 个字节之后，您就有了数据包的 IPv6 标头。如果不是这些值中的任何一个，那就是其他协议。

【讨论】：