簡介這份華中科技大學(xué)2018年計算機網(wǎng)絡(luò)安全實驗源碼面向?qū)W習網(wǎng)絡(luò)協(xié)議分析、WinPcap抓包與ARP欺騙中間人攻擊的高校學(xué)生及安全初學(xué)者可用于復(fù)現(xiàn)嗅探器實驗并理解數(shù)據(jù)包捕獲、解析與攻擊演示的完整流程。壓縮包共27個文件以C源文件和頭文件為主體配有Qt工程、界面文件及少量圖標資源整體約293KB結(jié)構(gòu)緊湊便于在Qt環(huán)境中閱讀和二次調(diào)試。已有2815人學(xué)習說明其實驗設(shè)計具有一定參考價值。源碼覆蓋抓包線程、協(xié)議解析、ARP欺騙對話框與發(fā)包線程、主窗口交互等模塊讀者可據(jù)此梳理嗅探器從捕獲到分析、從ARP攻擊到中間人演示的實現(xiàn)脈絡(luò)并對照實驗要求完成環(huán)境搭建、代碼閱讀與排錯。1. 從一次抓不到包的實驗說起Winpcap 嗅探器到底在解決什么做計算機網(wǎng)絡(luò)安全實驗時最容易被低估的一步是數(shù)據(jù)包捕獲。基于 Winpcap 的數(shù)據(jù)分析器嗅探源碼核心不是調(diào)用一個抓包函數(shù)而是把網(wǎng)卡收到的原始字節(jié)按協(xié)議棧逐層拆開再決定哪些字段值得記錄。它適合剛接觸網(wǎng)絡(luò)協(xié)議分析、需要一套能編譯運行的實驗源碼的人也適合想對照檢查自己解析邏輯的熟手。這份源碼把抓包、鏈路層解析、IP 頭拆分、TCP/UDP 會話字段提取和過濾規(guī)則串成一條線。很多人第一次跑會卡在驅(qū)動、權(quán)限或字節(jié)序上抓到的包要么為空要么字段全是亂碼。下面按工程骨架、協(xié)議解析、過濾與落盤、排錯、回放驗證的順序拆開講盡量讓每一步都能對著源碼復(fù)現(xiàn)。2. 環(huán)境與工程骨架Winpcap 開發(fā)包、編譯鏈和最小抓包循環(huán)2.1 為什么先選 Winpcap 而不是原始套接字在 Windows 平臺做鏈路層嗅探原始套接字能拿到的信息有限權(quán)限和驅(qū)動限制也多。Winpcap 的路徑更直接網(wǎng)卡收到幀后由內(nèi)核態(tài)捕獲驅(qū)動把數(shù)據(jù)放進環(huán)形緩沖區(qū)用戶態(tài)通過wpcap.dll提供的 API 讀出來。常見組成是捕獲驅(qū)動、Packet.dll適配層和wpcap.dll接口層三層各管一段實驗源碼只面向wpcap.dll編程移植和調(diào)試都省事。選它還有一個現(xiàn)實原因?qū)嶒炘创a里的pcap_findalldevs、pcap_open_live、pcap_loop、pcap_compile這些接口很穩(wěn)定能直接對應(yīng)到“選網(wǎng)卡、開混雜、收包、過濾”四個動作。對課程實驗來說先把抓包鏈路跑通再往協(xié)議解析里填字段比一上來手寫驅(qū)動靠譜得多。需要留意的是Winpcap 的開發(fā)包要同時配頭文件和導(dǎo)入庫只裝運行庫不夠如果本機裝的是兼容 Winpcap API 的抓包驅(qū)動安裝時要把開發(fā)頭文件和庫勾上否則編譯階段就會缺pcap.h或鏈接不到wpcap.lib。提示抓包程序要以管理員權(quán)限運行。普通權(quán)限下pcap_findalldevs可能返回空列表或者只能看到回環(huán)設(shè)備這不是代碼問題。2.2 工程骨架與依賴配置這套實驗源碼按職責拆成幾個模塊讀的時候不要從main一路平鋪看到底先看數(shù)據(jù)流main負責參數(shù)和設(shè)備選擇capture負責打開網(wǎng)卡和回調(diào)注冊decode_eth剝以太網(wǎng)頭decode_ip判斷 IPv4/ARPdecode_tcpudp取端口和標志位filter編譯 BPF 表達式log負責格式化輸出。模塊之間只傳“幀起始指針 caplen 時間戳”避免把pcap_pkthdr到處透傳。模塊關(guān)鍵函數(shù)輸入輸出mainparse_args、select_device命令行參數(shù)設(shè)備名、過濾表達式capturepcap_open_live、pcap_loop設(shè)備名、snaplen回調(diào)幀數(shù)據(jù)decode_ethdecode_eth幀指針、caplen以太類型、上層偏移decode_ipdecode_ipv4IP 起始指針五元組、分片信息decode_tcpudpdecode_tcp、decode_udp傳輸層指針端口、標志位、載荷長度filterpcap_compile、pcap_setfilter表達式字符串內(nèi)核過濾器loglog_packet解析結(jié)果結(jié)構(gòu)體CSV 或控制臺行依賴配置走三步把頭文件目錄加到編譯器的 include 路徑把wpcap.lib加到鏈接器輸入確認目標平臺位數(shù)和庫位數(shù)一致。下面是一段命令行編譯示例路徑按本機開發(fā)包位置替換不要照抄絕對路徑。cl /nologo /W3 /IC:\pcap-sdk\Include ^ main.c capture.c decode_eth.c decode_ip.c decode_tcpudp.c filter.c log.c ^ /link /LIBPATH:C:\pcap-sdk\Lib\x64 wpcap.lib這段命令的邏輯很直白/I告訴編譯器去哪找pcap.h/LIBPATH告訴鏈接器去哪找wpcap.lib源文件按模塊列出最后鏈接抓包庫。/W3打開常用警告結(jié)構(gòu)體對齊和指針截斷這類問題在抓包代碼里很常見警告不要關(guān)。參數(shù)里唯一需要按機器改的是 SDK 路徑和 x64/x86 目錄32 位工程鏈 32 位庫混用會在鏈接階段報符號重定義或找不到入口。如果工程用 IDE 管理對應(yīng)做法是“附加包含目錄”和“附加庫目錄”各加一條“附加依賴項”填wpcap.lib。編譯前把運行權(quán)限設(shè)為管理員或者編譯后右鍵以管理員身份啟動。很多“編譯通過但抓不到包”的現(xiàn)場最后都落在權(quán)限和庫位數(shù)上跟解析代碼無關(guān)。2.3 最小抓包循環(huán)先跑通再談解析在動協(xié)議解析之前先寫一個只打印幀長度的最小循環(huán)。這個循環(huán)能把設(shè)備枚舉、打開網(wǎng)卡、回調(diào)、資源釋放四件事跑通后面所有解析函數(shù)都掛在這個回調(diào)上。#include pcap.h #include stdio.h static void packet_handler(u_char *user, const struct pcap_pkthdr *h, const u_char *bytes) { // 這里只做長度打印先確認回調(diào)真的被觸發(fā) printf(ts%ld.%06ld caplen%u len%u\n, (long)h-ts.tv_sec, (long)h-ts.tv_usec, h-caplen, h-len); } int main(void) { pcap_if_t *alldevs NULL; pcap_if_t *d NULL; pcap_t *handle NULL; char errbuf[PCAP_ERRBUF_SIZE]; // 1. 枚舉網(wǎng)卡errbuf 用于接錯誤文本 if (pcap_findalldevs(alldevs, errbuf) -1) { fprintf(stderr, findalldevs: %s\n, errbuf); return 1; } for (d alldevs; d ! NULL; d d-next) { printf(dev: %s\n, d-name); } if (alldevs NULL) { fprintf(stderr, no device, run as administrator\n); return 1; } // 2. 打開第一個設(shè)備snaplen 取 65535混雜模式 1超時 1000ms handle pcap_open_live(alldevs-name, 65535, 1, 1000, errbuf); if (handle NULL) { fprintf(stderr, open_live: %s\n, errbuf); pcap_freealldevs(alldevs); return 1; } // 3. cnt-1 表示一直抓直到 CtrlC 或出錯 pcap_loop(handle, -1, packet_handler, NULL); pcap_close(handle); pcap_freealldevs(alldevs); return 0; }邏輯說明pcap_findalldevs拿到設(shè)備鏈表鏈表節(jié)點里的name才是pcap_open_live要的標識pcap_open_live返回的pcap_t是后續(xù)編譯過濾器、讀包、關(guān)閉句柄的入口pcap_loop每收到一個包就回調(diào)一次回調(diào)里的bytes只在本次回調(diào)期間有效不要把它存到全局后異步使用。參數(shù)說明snaplen65535保證常見幀不被截斷promisc1打開混雜模式to_ms1000是讀超時影響pcap_loop的返回節(jié)奏不是抓包間隔。errbuf大小用PCAP_ERRBUF_SIZE別自己寫 256。這一步跑通的標準是控制臺能持續(xù)打印caplen并且caplen len。如果只打印設(shè)備列表沒有包先換一個活躍網(wǎng)卡再檢查權(quán)限和過濾器。最小循環(huán)不要加解析解析一進來字段錯位和抓不到包會混在一起排錯成本翻倍。3. 從鏈路層往上剝以太網(wǎng)幀、ARP 與 IP 頭的解析實現(xiàn)3.1 以太網(wǎng)幀頭與類型字段以太網(wǎng)幀頭固定 14 字節(jié)目的 MAC 6 字節(jié)、源 MAC 6 字節(jié)、類型 2 字節(jié)。類型字段決定上層走 IPv4、ARP 還是帶 VLAN 標簽的幀。寫解析函數(shù)時第一件事是判斷caplen是否大于等于 14第二件事是把類型字段從網(wǎng)絡(luò)序轉(zhuǎn)成主機序。結(jié)構(gòu)體定義要加#pragma pack否則編譯器可能插入填充字節(jié)字段偏移全亂。#include stdint.h #include arpa/inet.h #pragma pack(push, 1) struct eth_hdr { uint8_t dst[6]; uint8_t src[6]; uint16_t type; // 網(wǎng)絡(luò)字節(jié)序 }; #pragma pack(pop) int decode_eth(const uint8_t *frame, uint32_t caplen, uint16_t *eth_type, uint32_t *l3_offset) { if (frame NULL || caplen sizeof(struct eth_hdr)) { return -1; // 截斷幀直接丟棄 } const struct eth_hdr *eth (const struct eth_hdr *)frame; *eth_type ntohs(eth-type); *l3_offset sizeof(struct eth_hdr); // VLAN 標簽類型 0x8100 時后面還有 2 字節(jié) TCI 和 2 字節(jié)內(nèi)層類型 if (*eth_type 0x8100) { if (caplen sizeof(struct eth_hdr) 4) { return -1; } const uint8_t *vlan frame sizeof(struct eth_hdr); *eth_type ntohs(*(const uint16_t *)(vlan 2)); *l3_offset sizeof(struct eth_hdr) 4; } return 0; }邏輯說明先做長度檢查再把type轉(zhuǎn)主機序遇到0x8100不急著解析內(nèi)層先把偏移往后推 4 字節(jié)再讀內(nèi)層類型。參數(shù)說明caplen是實際抓到的字節(jié)數(shù)len是原始幀長度解析一律用caplen否則越界讀會把回調(diào)打崩。l3_offset是上層協(xié)議起始偏移IPv4 解析從這里開始不要在函數(shù)里寫死 14。常見類型值可以對照下表實驗里最常碰到的是0x0800和0x0806?？吹?x86DD說明是 IPv6這份源碼如果只做 IPv4就在分支里記一條“未支持”后返回不要硬套 IPv4 頭。類型值含義處理方式0x0800IPv4進入 IP 頭解析0x0806ARP進入 ARP 解析0x8100VLAN 標簽偏移加 4 后重讀類型0x86DDIPv6記錄后跳過避免誤判3.2 IP 頭字段與分片標志IPv4 頭最短 20 字節(jié)首部長度字段ihl以 4 字節(jié)為單位所以實際頭長是ihl * 4。總長度、標識、標志位加片偏移、校驗和這些字段是網(wǎng)絡(luò)序讀出來要轉(zhuǎn)換源和目的 IP 是 4 字節(jié)數(shù)組用inet_ntop轉(zhuǎn)字符串。傳輸層偏移等于l3_offset ihl * 4不要寫死l3_offset 20帶選項的 IP 頭會把 TCP 頭讀錯。#pragma pack(push, 1) struct ipv4_hdr { uint8_t ver_ihl; uint8_t tos; uint16_t tot_len; uint16_t id; uint16_t flags_off; uint8_t ttl; uint8_t proto; uint16_t checksum; uint8_t src[4]; uint8_t dst[4]; }; #pragma pack(pop) int decode_ipv4(const uint8_t *ip, uint32_t caplen, uint32_t *l4_offset, uint8_t *proto, uint16_t *frag_off) { if (caplen sizeof(struct ipv4_hdr)) { return -1; } const struct ipv4_hdr *h (const struct ipv4_hdr *)ip; uint8_t ihl h-ver_ihl 0x0f; if (ihl 5) { return -1; // 首部長度非法 } uint32_t hdr_len (uint32_t)ihl * 4; if (caplen hdr_len) { return -1; // 選項被截斷 } uint16_t flags_off ntohs(h-flags_off); *frag_off flags_off 0x1fff; // 片偏移單位 8 字節(jié) *proto h-proto; *l4_offset hdr_len; // 非首片不帶傳輸層頭不能繼續(xù)解析 TCP/UDP if (*frag_off ! 0) { return 1; } return 0; }邏輯說明ver_ihl高 4 位是版本低 4 位是首部長度flags_off的低 13 位是片偏移0x2000是 MF 標志0x4000是 DF 標志。返回 1 表示“這是后續(xù)分片停止上層解析”調(diào)用方不要把它當錯誤。參數(shù)說明caplen是 IP 起始位置之后還能讀的字節(jié)數(shù)不是整幀長度l4_offset返回的是相對 IP 起始的偏移調(diào)用方要再加上l3_offset才是整幀偏移。IP 校驗和可以驗證但實驗里不必每個包都算先把字段取對更重要。需要驗證時把首部按 16 位累加取反注意首部長度和字節(jié)序。分片重組不在基礎(chǔ)源碼范圍內(nèi)遇到frag_off ! 0記錄“分片”后跳過比強行解析出錯誤端口更可信。3.3 ARP 與 ICMP 的判定分支ARP 不是 IP不能走 IPv4 解析。ARP 頭固定 28 字節(jié)包含硬件類型、協(xié)議類型、操作碼、發(fā)送方 MAC/IP、目標 MAC/IP。實驗里常看操作碼 1 和 2分別對應(yīng)請求和應(yīng)答。ICMP 則掛在 IP 的proto1下面類型和代碼在傳輸層起始位置的前兩個字節(jié)。#pragma pack(push, 1) struct arp_hdr { uint16_t htype; uint16_t ptype; uint8_t hlen; uint8_t plen; uint16_t oper; uint8_t sha[6]; uint8_t spa[4]; uint8_t tha[6]; uint8_t tpa[4]; }; #pragma pack(pop) void decode_arp(const uint8_t *p, uint32_t caplen) { if (caplen sizeof(struct arp_hdr)) { return; } const struct arp_hdr *a (const struct arp_hdr *)p; printf(ARP oper%u spa%u.%u.%u.%u tpa%u.%u.%u.%u\n, ntohs(a-oper), a-spa[0], a-spa[1], a-spa[2], a-spa[3], a-tpa[0], a-tpa[1], a-tpa[2], a-tpa[3]); } void decode_icmp(const uint8_t *p, uint32_t caplen) { if (caplen 8) { return; // ICMP 頭至少 8 字節(jié) } uint8_t type p[0]; uint8_t code p[1]; printf(ICMP type%u code%u\n, type, code); }邏輯說明ARP 的oper要ntohsIP 字段直接按字節(jié)打印不需要轉(zhuǎn)序。ICMP 只取類型和代碼差錯報文里還會帶原始 IP 頭不要遞歸調(diào)用 IP 解析否則遇到畸形包會無限展開。參數(shù)說明caplen是從 ARP/ICMP 起始位置算起的可讀長度調(diào)用前已經(jīng)扣掉以太網(wǎng)頭和 IP 頭。分支順序建議先判斷以太類型再判斷 IP 協(xié)議號0x0806直接進 ARP0x0800進 IPv4IPv4 里proto1進 ICMPproto6進 TCPproto17進 UDP。每個分支入口都做一次長度檢查別指望上層已經(jīng)檢查過。血淚經(jīng)驗是解析函數(shù)返回錯誤碼比打印“解析失敗”更有用調(diào)用方可以根據(jù)返回碼決定是跳過、記錄還是計數(shù)。4. 傳輸層會話還原TCP/UDP 解析與 BPF 過濾表達式4.1 TCP 頭、端口與標志位TCP 頭最短 20 字節(jié)數(shù)據(jù)偏移字段高 4 位表示首部長度單位是 4 字節(jié)。源端口、目的端口、序號、確認號、窗口這些字段是網(wǎng)絡(luò)序標志位在偏移 13 的位置。解析 TCP 時先讀數(shù)據(jù)偏移再算載荷起始位置不要把選項區(qū)當載荷。#pragma pack(push, 1) struct tcp_hdr { uint16_t sport; uint16_t dport; uint32_t seq; uint32_t ack; uint8_t off_res; uint8_t flags; uint16_t window; uint16_t checksum; uint16_t urg; }; #pragma pack(pop) int decode_tcp(const uint8_t *tcp, uint32_t caplen, uint16_t *sport, uint16_t *dport, uint8_t *flags, uint32_t *payload_len) { if (caplen sizeof(struct tcp_hdr)) { return -1; } const struct tcp_hdr *t (const struct tcp_hdr *)tcp; uint8_t data_off (t-off_res 4) 0x0f; uint32_t hdr_len (uint32_t)data_off * 4; if (hdr_len 20 || caplen hdr_len) { return -1; } *sport ntohs(t-sport); *dport ntohs(t-dport); *flags t-flags; *payload_len caplen - hdr_len; return 0; }邏輯說明off_res的高 4 位是數(shù)據(jù)偏移低 4 位保留flags里0x02是 SYN0x10是 ACK0x01是 FIN0x08是 PSH。參數(shù)說明caplen是從 TCP 頭起始位置算起的可讀字節(jié)數(shù)payload_len只表示抓到的載荷長度不等于原始 TCP 載荷長度截斷幀里會偏小。需要還原會話時用四元組加序號做鍵別只按端口配對。4.2 UDP 頭與偽首部校驗UDP 頭固定 8 字節(jié)源端口、目的端口、長度、校驗和。長度字段是 UDP 頭加載荷的總長度網(wǎng)絡(luò)序。抓包截斷時UDP 長度可能大于caplen解析要以caplen為準不能拿長度字段直接做循環(huán)上界。#pragma pack(push, 1) struct udp_hdr { uint16_t sport; uint16_t dport; uint16_t len; uint16_t checksum; }; #pragma pack(pop) int decode_udp(const uint8_t *udp, uint32_t caplen, uint16_t *sport, uint16_t *dport, uint16_t *payload_len) { if (caplen sizeof(struct udp_hdr)) { return -1; } const struct udp_hdr *u (const struct udp_hdr *)udp; uint16_t udp_len ntohs(u-len); if (udp_len sizeof(struct udp_hdr)) { return -1; } *sport ntohs(u-sport); *dport ntohs(u-dport); uint16_t captured (uint16_t)(caplen - sizeof(struct udp_hdr)); *payload_len (udp_len - sizeof(struct udp_hdr) captured) ? (udp_len - sizeof(struct udp_hdr)) : captured; return 0; }邏輯說明先校驗 UDP 長度字段合法再取“長度字段聲明的載荷”和“實際抓到的載荷”中較小的一個。參數(shù)說明payload_len是可用于后續(xù)應(yīng)用層解析的安全長度校驗和驗證需要構(gòu)造偽首部實驗里可以先跳過但要在日志里標記“未校驗”避免把校驗失敗當成協(xié)議錯誤。4.3 BPF 過濾規(guī)則別在應(yīng)用層做全量過濾抓包器最怕“先全抓再 if 過濾”。包一多用戶態(tài)拷貝和解析會把 CPU 吃滿真正有用的包反而被丟。Winpcap 支持 BPF 過濾表達式在驅(qū)動層編譯執(zhí)行只有命中的包才進回調(diào)。常用做法是打開網(wǎng)卡后立刻編譯并設(shè)置過濾器再進pcap_loop。#include pcap.h int install_filter(pcap_t *handle, const char *expr) { struct bpf_program fp; // optimize1 讓 BPF 做優(yōu)化netmask 未知時用 PCAP_NETMASK_UNKNOWN if (pcap_compile(handle, fp, expr, 1, PCAP_NETMASK_UNKNOWN) -1) { fprintf(stderr, compile: %s\n, pcap_geterr(handle)); return -1; } if (pcap_setfilter(handle, fp) -1) { fprintf(stderr, setfilter: %s\n, pcap_geterr(handle)); pcap_freecode(fp); return -1; } pcap_freecode(fp); // 設(shè)置成功后釋放編譯結(jié)果 return 0; }邏輯說明pcap_compile把字符串編譯成 BPF 程序pcap_setfilter把程序掛到句柄上pcap_freecode釋放編譯產(chǎn)物。參數(shù)說明optimize1打開優(yōu)化netmask在表達式里出現(xiàn)broadcast或net時才有意義不知道就傳PCAP_NETMASK_UNKNOWN。常見表達式可以對照下表先窄后寬別一上來寫ip全收。表達式用途注意點tcp port 80只看 HTTP端口是主機序?qū)懛˙PF 自己處理udp port 53只看 DNS不區(qū)分方向時源/目的都命中host 192.0.2.10指定主機實驗里用文檔地址別用真實地址tcp[tcpflags] tcp-syn ! 0只看 SYN需要位移語法支持vlan and ip帶 VLAN 的 IP先匹配vlan再匹配內(nèi)層4.4 輸出格式與日志落盤解析結(jié)果要落盤格式越穩(wěn)定越好排錯。實驗源碼常用 CSV一行一個包字段固定時間戳、源 IP、目的 IP、協(xié)議、源端口、目的端口、幀長、載荷長、標志位。寫文件時不要在回調(diào)里反復(fù)fopen/fclose在main里打開一次回調(diào)里fprintf退出前fflush加fclose。多線程抓包時給日志加鎖單線程回調(diào)不需要。void log_packet(FILE *fp, const struct pcap_pkthdr *h, const char *src, const char *dst, const char *proto, uint16_t sport, uint16_t dport, uint32_t payload_len, uint8_t flags) { // 時間戳拆成秒和微秒IP 字符串由調(diào)用方填好 fprintf(fp, %ld.%06ld,%s,%s,%s,%u,%u,%u,%u,0x%02x\n, (long)h-ts.tv_sec, (long)h-ts.tv_usec, src, dst, proto, sport, dport, h-caplen, payload_len, flags); fflush(fp); // 實驗階段保留避免程序中斷丟最后幾行 }邏輯說明CSV 字段順序固定后面用腳本切分不會因為協(xié)議不同而錯列。參數(shù)說明h-caplen是抓到的幀長payload_len是傳輸層載荷長度兩者含義不同flags只對 TCP 有意義UDP 和 ICMP 填 0。fflush每個包都調(diào)用會拉低吞吐實驗里可以接受正式跑量時改成按行緩沖或定時刷新。5. 避坑與排查抓不到包、字段錯位和回調(diào)崩潰的五個現(xiàn)場5.1 現(xiàn)象pcap_findalldevs返回空列表現(xiàn)象很直接程序啟動后設(shè)備列表為空或者只打印一個回環(huán)設(shè)備換網(wǎng)卡名也打不開。原因通常有三類驅(qū)動沒裝好、程序不是管理員權(quán)限、抓包服務(wù)沒啟動。Winpcap 的捕獲驅(qū)動是內(nèi)核態(tài)組件普通用戶枚舉設(shè)備時會被攔住有些機器裝了多個抓包驅(qū)動頭文件和運行庫版本不匹配也會出現(xiàn)枚舉成功但打開失敗。解決順序是先用管理員權(quán)限啟動程序再看pcap_geterr返回的具體文本然后確認開發(fā)包的頭文件、導(dǎo)入庫和運行庫來自同一套安裝最后檢查設(shè)備名是否帶\Device\NPF_前綴pcap_open_live要的是設(shè)備標識不是“以太網(wǎng)”這種顯示名。如果仍然為空換一個活躍網(wǎng)卡測試禁用再啟用網(wǎng)卡后重試。不要在沒有設(shè)備時繼續(xù)調(diào)用pcap_open_live空指針解引用會直接崩。5.2 現(xiàn)象能抓到包但 IP 字段全錯現(xiàn)象是回調(diào)有數(shù)據(jù)打印出來的源 IP、目的 IP、協(xié)議號卻是亂碼或固定值。原因多數(shù)在三個地方結(jié)構(gòu)體沒有#pragma pack編譯器插入填充字節(jié)字段沒有做ntohs/ntohl以太網(wǎng)頭偏移沒算 VLAN直接把 14 當 IP 起始。還有一種情況是caplen小于結(jié)構(gòu)體大小代碼仍然強轉(zhuǎn)讀取越界讀到的是緩沖區(qū)外的臟數(shù)據(jù)。解決方法是先把幀的前 32 字節(jié)按十六進制打印出來對照以太類型和 IP 版本號人工核對。結(jié)構(gòu)體一律加pack網(wǎng)絡(luò)序字段顯式轉(zhuǎn)換IP 起始偏移由decode_eth返回不在解析函數(shù)里寫死。每次強轉(zhuǎn)前加長度檢查caplen sizeof(struct ipv4_hdr)直接返回。帶 VLAN 的幀先用0x8100分支把偏移推到 18再進 IP 解析。字段錯位不是玄學(xué)按字節(jié)打印一輪基本都能定位。5.3 現(xiàn)象回調(diào)里打印亂碼或程序崩潰現(xiàn)象是回調(diào)里printf出亂碼或者抓幾十個包后程序崩潰。原因通常是拿bytes當持久緩沖區(qū)用回調(diào)返回后繼續(xù)訪問或者把len當可讀長度實際caplen更小再或者用%s打印沒有終止符的載荷?；卣{(diào)里的bytes生命周期只到本次回調(diào)結(jié)束跨回調(diào)保存要自己memcpy一份。解決方法是所有解析以caplen為上界字符串打印用%.*s加長度不依賴\0。需要異步處理時把幀數(shù)據(jù)復(fù)制到自己的隊列隊列里存caplen和副本指針消費完再釋放?；卣{(diào)里不要做耗時文件操作和遞歸解析ICMP 差錯報文里帶原始 IP 頭遞歸調(diào)用容易把棧打穿。抓包程序崩在回調(diào)里先注釋掉解析只留長度打印能復(fù)現(xiàn)就說明是解析越界。5.4 現(xiàn)象過濾表達式生效但漏包現(xiàn)象是加了tcp port 80后一個包都沒有去掉過濾器就能抓到。原因可能是表達式寫錯、過濾器掛載位置不對或者鏈路層帶 VLAN 導(dǎo)致 BPF 匹配不到內(nèi)層 IP。BPF 在鏈路層執(zhí)行tcp port 80默認按無 VLAN 的以太網(wǎng)幀偏移匹配帶標簽的幀需要先寫vlan。另一種情況是pcap_setfilter返回值沒檢查編譯失敗但程序繼續(xù)跑看起來像“過濾器沒生效”。解決方法是先不過濾抓一小段確認流量確實存在再把表達式拆窄從ip到tcp到port逐級加帶 VLAN 的環(huán)境用vlan and tcp port 80。每次pcap_compile和pcap_setfilter都檢查返回值用pcap_geterr打印錯誤。netmask不確定就傳PCAP_NETMASK_UNKNOWN別隨手填一個錯誤掩碼。過濾器漏包時先懷疑表達式再懷疑網(wǎng)卡和鏈路類型最后才懷疑庫。5.5 現(xiàn)象Debug 能跑Release 崩現(xiàn)象是調(diào)試配置下抓包正常切到發(fā)布配置后啟動就崩或者解析結(jié)果隨機變化。原因常見于未初始化指針、緩沖區(qū)大小按調(diào)試堆布局“碰巧夠用”、結(jié)構(gòu)體對齊在優(yōu)化后暴露、日志函數(shù)里用了只在 Debug 下存在的斷言。抓包代碼里還有一類坑pcap_t關(guān)閉后回調(diào)仍在跑Release 下時序變化更容易觸發(fā)。解決方法是打開編譯警告并逐條清理指針初始化為NULL緩沖區(qū)大小用sizeof和常量不寫魔數(shù)。關(guān)閉順序固定為先停止循環(huán)再pcap_close最后釋放自己的隊列。結(jié)構(gòu)體強轉(zhuǎn)前做長度檢查Release 下也不要關(guān)掉運行時檢查。日志里記錄caplen、偏移和返回碼崩一次就能定位到具體解析分支。后悔藥是編譯期多看一眼警告比運行期抓崩潰便宜得多。6. 驗證與進階用構(gòu)造流量回放核對解析結(jié)果6.1 用構(gòu)造流量回放核對解析結(jié)果實時網(wǎng)卡抓包受環(huán)境影響今天有流量、明天沒有排錯不可重復(fù)。更穩(wěn)的做法是先抓一段固定流量存成 pcap 文件再用離線接口回放。用ping生成 ICMP用curl訪問一個文檔地址生成 TCP抓包時只留目標主機的流量保存后把解析器切到離線模式。下面這段代碼把pcap_open_live換成pcap_open_offline回調(diào)不變。#include pcap.h int replay(const char *path) { char errbuf[PCAP_ERRBUF_SIZE]; pcap_t *handle pcap_open_offline(path, errbuf); if (handle NULL) { fprintf(stderr, open_offline: %s\n, errbuf); return -1; } struct pcap_pkthdr *h NULL; const u_char *bytes NULL; int rc; // pcap_next_ex 返回 1 表示讀到包0 表示超時-2 表示文件結(jié)束 while ((rc pcap_next_ex(handle, h, bytes)) 1) { packet_handler(NULL, h, bytes); } pcap_close(handle); return (rc -2) ? 0 : -1; }邏輯說明離線接口和實時接口共用同一套回調(diào)解析函數(shù)不用改驗證成本最低。參數(shù)說明pcap_next_ex的返回值要區(qū)分 0、1、-1、-2文件結(jié)束是 -2不是錯誤h和bytes由庫內(nèi)部維護下一次調(diào)用會覆蓋跨包保存要復(fù)制?；胤艜r把過濾器關(guān)掉先看全量再在命令行里加表達式做對比。6.2 字段對照表與驗收標準回放時拿同一份 pcap 用圖形化抓包工具打開逐字段對照。重點看五元組、IP 總長度、TCP 數(shù)據(jù)偏移、UDP 長度和標志位。驗收標準可以定三條同一包的源/目的 IP 和端口一致caplen與幀長關(guān)系合理分片包不輸出傳輸層端口。字段對不上時先查結(jié)構(gòu)體對齊再查字節(jié)序最后查偏移計算。字段預(yù)期常見偏差以太類型0x0800 / 0x0806未轉(zhuǎn)主機序顯示 0x0008IP 首部長度ihl * 4寫死 20帶選項時錯位TCP 數(shù)據(jù)偏移off_res 4乘 4直接讀off_res載荷起點偏UDP 載荷長度長度字段與 caplen 取小用長度字段做循環(huán)上界越界從那以后我每次改解析函數(shù)都先用固定 pcap 回放一遍再上實時網(wǎng)卡實時抓包只用來驗證過濾器和權(quán)限不用來定位字段錯誤。這套實驗源碼適合當骨架按標題里的實驗名去資源頁取完整工程先跑最小循環(huán)再逐層加解析能少走不少彎路。希望幫到你。本文還有配套的精品資源點擊獲取