使用 libpcap 将 pcap 数据包写入结构

Question

我有一个由wireshark捕获的pcap文件，现在我需要读取它的每个数据包并将它们写入结构向量。我在将数据包写入结构时遇到了一些问题。 结构：

struct pktStruct {
    struct pcap_pkthdr * pkt_header; // header object
    const u_char * pkt_data; // data object
    long time; // used to compare with each other
};

我如何将每个数据包保存到结构的代码：

string resultFile = "/home/xing/Desktop/tmp.pcap";
char errbuff[PCAP_ERRBUF_SIZE]; 
pcap_t * resultPcap = pcap_open_offline(resultFile.c_str(), errbuff);
struct pcap_pkthdr * header; // header object
const u_char * data; // data object
vector<pktStruct> pktVector; // this vector contains each pktStruct
pktStruct myStruct; 
    while (int i=pcap_next_ex(resultPcap,&header,&data) >=0) {

        myStruct.pkt_header = header;
        myStruct.pkt_data = data;
        myStruct.time = header->ts.tv_sec * 1000000 + header->ts.tv_usec;
        pktVector.push_back(myStruct);
    }

当我打印每个数据包的信息时，我发现每个存储数据包的结构都是完全一样的。我是否将相同的数据包保存到向量的每个结构中？

Answer 1

您从 libpcap/WinPcap 获得的数据包头和数据指针并非永远有效。

如果您使用pcap_loop() 或pcap_dispatch()，则在您的回调返回后，传递给您的回调的那些数据包头和数据指针将不会指向它们在您的回调运行时所做的相同数据。

如果您使用pcap_next() 或pcap_next_ex()，在您再次调用相关例程后，您从该例程获得的先前指针将不会指向与之前相同的数据。

所以您必须制作数据包标头和数据的副本：

struct pktStruct {
    struct pcap_pkthdr pkt_header; // header object - *not* a pointer
    const u_char * pkt_data; // data object
    long time; // used to compare with each other
};

和

string resultFile = "/home/xing/Desktop/tmp.pcap";
char errbuff[PCAP_ERRBUF_SIZE]; 
pcap_t * resultPcap = pcap_open_offline(resultFile.c_str(), errbuff);
struct pcap_pkthdr * header; // header object
const u_char * data; // data object
const u_char * data_copy;
vector<pktStruct> pktVector; // this vector contains each pktStruct
pktStruct myStruct; 
    while (int i=pcap_next_ex(resultPcap,&header,&data) >=0) {

        myStruct.pkt_header = *header;
        data_copy = (u_char *)malloc(myStruct.pkt_header.caplen);
        memcpy(data_copy, data, myStruct.pkt_header.caplen);
        myStruct.pkt_data = data_copy;
        myStruct.time = header->ts.tv_sec * 1000000 + header->ts.tv_usec;
        pktVector.push_back(myStruct);
    }

这意味着您可能需要释放这些副本。