pcap_next_ex（）从未设置指向原始数据包的指针？

Question

我尝试使用libpcap（在CentOS 6上为1.4.0）读入原始数据包。

但是，由于某些原因，pcap_next_ex（）之后的rawPacket始终为NULL。

但是，pcap_next_ex（）确实返回1，尽管这可能意味着超时已过期（超时是通过哪种方式设置的？）。

首先，我认为传递给pcap_compile（）的过滤器字符串是错误的。 但是我尝试将相同的字符串复制并粘贴到tcpdump，效果很好-我看到了预期的数据包被捕获。

    struct pcap_pkthdr *pHeader;
    const u_char* rawPacket = NULL;
    int rc = 0;
    while (1) {
        rc = pcap_next_ex(pDevice, &pHeader, &rawPacket);
        if (-1 != rc && NULL != rawPacket) {
            // process
            struct ether_header* eptr = (struct ether_header *) rawPacket;
            if (ntohs (eptr->ether_type) == ETHERTYPE_IP) {
                    printf("Ethernet type hex:%x dec:%d is an IP packet\n",
                            ntohs(eptr->ether_type),
                            ntohs(eptr->ether_type));
            }
        }
    }

任何想法？

提前致谢。

Answer 1

实际上， pcap_next_ex()手册页所说的是

   pcap_next_ex() returns 1 if the packet was read without problems, 0  if
   packets are being read from a live capture, and the timeout expired, -1
   if an error occurred while reading the packet, and -2  if  packets  are
   being  read  from a ``savefile'', and there are no more packets to read
   from the savefile.  If -1 is returned, pcap_geterr()  or  pcap_perror()
   may be called with p as an argument to fetch or display the error text.

我需要对其进行编辑，以删除“实时捕获”和“超时到期”之间的注释，因为这意味着pcap_next_ex()返回：

• 1，如果一个包被读取或捕获，在这种情况下，指针应设置为原始包；
• 0，如果这是实时捕获并且超时（在pcap_open_live()指定，或者，如果您使用了pcap_create()和pcap_activate() ，则pcap_set_timeout() ）在等待数据包时到期，在这种情况下，不会读取任何数据包，并且指针将设置为NULL；
• -1，如果在读取或捕获时发生错误，在这种情况下将不会读取任何数据包，并且指针将设置为NULL；
• -2，如果这是一个正在读取的文件，并且没有剩余的要读取的数据包，则在这种情况下将不读取任何数据包，并且指针将设置为NULL。

因此，在调用pcap_next_ex()之后，您应该做的是：

    if (1 == rc) {
        // process
        struct ether_header* eptr = (struct ether_header *) rawPacket;
        if (ntohs (eptr->ether_type) == ETHERTYPE_IP) {
                printf("Ethernet type hex:%x dec:%d is an IP packet\n",
                        ntohs(eptr->ether_type),
                        ntohs(eptr->ether_type));
        }
    } else if (0 == rc) {
        // do nothing here - this isn't an error, but you have no packet
        ;
    } else if (-1 == rc) {
        // error
        fprintf(stderr, "Error capturing or reading: %s\n", pcap_geterr(pDevice));
        // quit trying to read or capture packets here
    } else if (-2 == rc) {
        // end of file if you're reading from a file
        // this isn't an error, but there are no more packets to read
        // so quit trying to read packets here
    }