【计算机网络】C/C++实现解析Wireshark离线数据包，附源码

直接先上demo

以下是一个完整的示例代码，演示如何使用 pcap_open_offline 函数打开一个捕获文件并读取数据包。

#include <stdio.h>
#include <pcap.h>int main(int argc, char **argv) {if (argc != 2) {fprintf(stderr, "Usage: %s <capture file>\n", argv[0]);return 1;}char errbuf[PCAP_ERRBUF_SIZE];pcap_t *handle = pcap_open_offline(argv[1], errbuf);if (handle == NULL) {fprintf(stderr, "Error opening capture file: %s\n", errbuf);return 1;}struct pcap_pkthdr header;const u_char *packet;// 这里也可以切换为pcap_loop+ packet_handler回调进行处理。while ((packet = pcap_next(handle, &header)) != NULL) {printf("Packet length: %d bytes\n", header.len);// 进一步处理数据包}pcap_close(handle);return 0;
}

我们再来看下核心函数： pcap_open_offline 是 libpcap 库中的一个重要函数，用于打开一个包含已捕获数据包的文件，以便进行离线分析。这个函数在网络安全分析、协议分析等领域有着广泛的应用。下面详细介绍一下 pcap_open_offline 的实现和使用方法。

函数原型

pcap_t *pcap_open_offline(const char *fname, char *errbuf);

参数说明

fname：指定要打开的文件名。该文件应该是以 tcpdump/libpcap 格式保存的数据包文件。
errbuf：一个字符串缓冲区，用于存储错误信息。如果函数调用失败，错误信息会被写入这个缓冲区。

返回值

成功时返回一个 pcap_t 类型的指针，这是用于后续操作的数据包捕获描述符。
失败时返回 NULL，并且错误信息会被写入 errbuf。

实现细节

1. 文件打开

pcap_open_offline 首先尝试打开指定的文件。如果文件不存在或无法打开，函数会返回 NULL，并将错误信息写入 errbuf。

FILE *fp = fopen(fname, "rb");
if (fp == NULL) {snprintf(errbuf, PCAP_ERRBUF_SIZE, "Failed to open file %s: %s", fname, strerror(errno));return NULL;
}

2. 文件头读取

接下来，函数会读取文件头信息，以验证文件格式是否符合 libpcap 的要求。文件头包含了一些重要的元数据，如魔数、版本号等。

struct pcap_file_header filehdr;
if (fread(&filehdr, sizeof(filehdr), 1, fp) != 1) {fclose(fp);snprintf(errbuf, PCAP_ERRBUF_SIZE, "Failed to read file header from %s: %s", fname, strerror(errno));return NULL;
}

3. 文件头校验

读取文件头后，函数会进行一系列校验，确保文件格式正确。这包括检查魔数、版本号等。

if (filehdr.magic != TCPDUMP_MAGIC) {fclose(fp);snprintf(errbuf, PCAP_ERRBUF_SIZE, "Invalid file format: incorrect magic number in %s", fname);return NULL;
}if (filehdr.version_major != PCAP_VERSION_MAJOR || filehdr.version_minor != PCAP_VERSION_MINOR) {fclose(fp);snprintf(errbuf, PCAP_ERRBUF_SIZE, "Unsupported file version: %d.%d in %s", filehdr.version_major, filehdr.version_minor, fname);return NULL;
}

4. 初始化 `pcap_t` 结构

如果文件头校验通过，函数会初始化一个 pcap_t 结构体，并设置必要的字段。

pcap_t *p = malloc(sizeof(pcap_t));
if (p == NULL) {fclose(fp);snprintf(errbuf, PCAP_ERRBUF_SIZE, "Memory allocation failed");return NULL;
}p->fd = fileno(fp);
p->snapshot = filehdr.snaplen;
p->linktype = filehdr.linktype;
p->offset = sizeof(filehdr);
p->buffer = NULL;
p->bufsize = 0;