0

всем привет использую для анализа трафика библиотеку libpcap, может кто с ней работал, можете объяснить кое что в её работе. В этой либе есть функция pcap_loop(..) она срабатывает когда в pcap появляется новый пакет (насколько я понял). Возможно ли разграничить пакеты на те что пришли из вне и те что отправляю я ???? Или всё зависит от того к какому интерфейсу я подключаюсь? Если так то к какому я подключаюсь по дефолту ? Если несу фигню поправьте.

1
  • Попробуйте использовать wireshark.
    – 0andriy
    10 мая 2020 в 8:03

1 ответ 1

2

libpcap захватывает пакеты с фильтром беркли bpf.

Повесь ether src host <MAC> и будут только исходящие пакеты.

struct bpf_program fp;
char filter_exp[] = "ether src host 1c:af:f7:08:21:2b";   
char dev[] = "enp2s0";

pcap_t *handle;
handle = pcap_open_live(dev, BUFSIZ, 1, 1000, errbuf);

pcap_compile(handle, &fp, filter_exp, 0, 0)

pcap_setfilter(handle, &fp)

pcap_loop(handle, -1, (pcap_handler) got_packet, NULL);

А устройство указываешь параметром dev в pcap_open_live.

Узнать направление на лету похоже нельзя

struct pcap_pkthdr { 
 struct timeval ts; /* time stamp */
 bpf_u_int32 caplen; /* length of portion present */
 bpf_u_int32 len; /*
 length this packet (off wire) */ 
};

Без фильтра нпверное также будет проще по src mac, но сравнивать при разборе пакета.

А ещё можно сделать 2 захвата с разными фильтрами

1
  • понял спасибо, а без фильтра все подряд? Тогда как отдельно посмотреть входящие ?
    – DanBit
    8 мая 2020 в 6:46

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.