如何用C代碼解析一段網(wǎng)絡(luò)數(shù)據(jù)包？

本文的目的是通過(guò)隨機(jī)截取的一段網(wǎng)絡(luò)數(shù)據(jù)包，然后根據(jù)協(xié)議類(lèi)型來(lái)解析出這段內(nèi)存。

學(xué)習(xí)本文需要掌握的基礎(chǔ)知識(shí)：

1. 網(wǎng)絡(luò)協(xié)議
2. C語(yǔ)言
3. Linux操作
4. 抓包工具的使用

一、截取一個(gè)網(wǎng)絡(luò)數(shù)據(jù)包

通過(guò)抓包工具，隨機(jī)抓取一個(gè)tcp數(shù)據(jù)包

科萊抓包工具解析出的數(shù)據(jù)包信息如下：數(shù)據(jù)包的內(nèi)存信息：數(shù)據(jù)信息可以直接拷貝出來(lái)：

二、用到的結(jié)構(gòu)體

下面，一口君就手把手教大家如何解析出這些數(shù)據(jù)包的信息。

我們可以從Linux內(nèi)核中找到協(xié)議頭的定義

• 以太頭：

drivers\staging\rtl8188eu\include\if_ether.h?
struct?ethhdr?{
?unsigned?char?h_dest[ETH_ALEN];?/*?destination?eth?addr?*/
?unsigned?char?h_source[ETH_ALEN];?/*?source?ether?addr?*/
?unsigned?short?h_proto;??/*?packet?type?ID?field?*/
};


• IP頭

?include\uapi\linux\ip.h?
struct?iphdr?{
#if?defined(__LITTLE_ENDIAN_BITFIELD)??//小端模式
?__u8?ihl:4,
??version:4;
#elif?defined(__BIG_ENDIAN_BITFIELD)????//大端模式
?__u8?version:4,
??ihl:4;
#endif
?__u8?tos;
?__u16?tot_len;
?__u16?id;
?__u16?frag_off;
?__u8?ttl;
?__u8?protocol;
?__u16?check;
?__u32?saddr;
?__u32?daddr;
?/*The?options?start?here.?*/
};
tcp頭

include\uapi\linux\tcp.h
struct?tcphdr?{
?__be16?source;
?__be16?dest;
?__be32?seq;
?__be32?ack_seq;
#if?defined(__LITTLE_ENDIAN_BITFIELD)
?__u16?res1:4,
??doff:4,
??fin:1,
??syn:1,
??rst:1,
??psh:1,
??ack:1,
??urg:1,
??ece:1,
??cwr:1;
#elif?defined(__BIG_ENDIAN_BITFIELD)
?__u16?doff:4,
??res1:4,
??cwr:1,
??ece:1,
??urg:1,
??ack:1,
??psh:1,
??rst:1,
??syn:1,
??fin:1;
#else
#error?"Adjust?your??defines"
#endif?
?__be16?window;
?__sum16?check;
?__be16?urg_ptr;
};
因?yàn)閰f(xié)議頭長(zhǎng)度都是按照標(biāo)準(zhǔn)協(xié)議來(lái)定義的，

所以以太長(zhǎng)度是14， IP頭長(zhǎng)度是20， tcp頭長(zhǎng)度是20，

各個(gè)協(xié)議頭對(duì)應(yīng)的內(nèi)存空間如下：

三、解析以太頭

#define?MAC_ARG(p)?p[0],p[1],p[2],p[3],p[4],p[5]
?struct?ethhdr?*ethh;
?unsigned?char?*p?=?pkt;
?
?ethh?=?(struct?ethhdr?*)p;

?printf("h_dest:x:x:x:x:x:x?\n",?MAC_ARG(ethh->h_dest));
?printf("h_source:x:x:x:x:x:x?\n",?MAC_ARG(ethh->h_source));
?printf("h_proto:x\n",ntohs(ethh->h_proto));


注意，數(shù)據(jù)包中的數(shù)據(jù)是網(wǎng)絡(luò)字節(jié)序，如果要提取數(shù)據(jù)一定要注意字節(jié)序問(wèn)題 ethh->h_proto 是short類(lèi)型，占2個(gè)字節(jié)，所以存儲(chǔ)到本地需要使用函數(shù)ntohs 其中：n：network 網(wǎng)絡(luò)字節(jié)序 h：host ? ? ? 主機(jī)字節(jié)序 s：short ? ? 2個(gè)字節(jié) l：long ? ? ? 4個(gè)字節(jié) ntohl() ?：4字節(jié)網(wǎng)絡(luò)字節(jié)序數(shù)據(jù)轉(zhuǎn)換成主機(jī)字節(jié)序 htons() ：2字節(jié)主機(jī)字節(jié)序數(shù)據(jù)轉(zhuǎn)換成網(wǎng)絡(luò)字節(jié)序 ntohs() ：2字節(jié)網(wǎng)絡(luò)字節(jié)序數(shù)據(jù)轉(zhuǎn)換成主機(jī)字節(jié)序 htonl() ：4字節(jié)主機(jī)字節(jié)序數(shù)據(jù)轉(zhuǎn)換成網(wǎng)絡(luò)字節(jié)序

當(dāng)執(zhí)行下面這條語(yǔ)句時(shí)，

ethh?=?(struct?ethhdr?*)p;
結(jié)構(gòu)體指針變量eth的成員對(duì)應(yīng)關(guān)系如下：

最終打印結(jié)果如下：

四、解析ip頭

解析ip頭思路很簡(jiǎn)單，

就是從pkt頭開(kāi)始偏移過(guò)以太頭長(zhǎng)度(14字節(jié))就可以找到IP頭，

解析代碼如下：

#define?IP_ARG(p)??p[0],p[1],p[2],p[3]
?/*
??解析IP頭
?*/
?if(ntohs(ethh->h_proto)?==?0x0800)
?{
?
??iph?=?(struct?iphdr?*)(p? ?sizeof(struct?ethhdr));

??q?=?(unsigned?char?*)