直接先上demo

以下是一个完整的示例代码，演示如何使用 pcap_open_offline 函数打开一个捕获文件并读取数据包。

#include <stdio.h>
#include <pcap.h>

int main(int argc, char **argv) {
    if (argc != 2) {
        fprintf(stderr, "Usage: %s <capture file>\n", argv[0]);
        return 1;
    }

    char errbuf[PCAP_ERRBUF_SIZE];
    pcap_t *handle = pcap_open_offline(argv[1], errbuf);
    if (handle == NULL) {
        fprintf(stderr, "Error opening capture file: %s\n", errbuf);
        return 1;
    }

    struct pcap_pkthdr header;
    const u_char *packet;

// 这里也可以切换为pcap_loop+ packet_handler回调进行处理。
    while ((packet = pcap_next(handle, &header)) != NULL) {
        printf("Packet length: %d bytes\n", header.len);
        // 进一步处理数据包
    }

    pcap_close(handle);
    return 0;
}

我们再来看下核心函数： pcap_open_offline 是 libpcap 库中的一个重要函数，用于打开一个包含已捕获数据包的文件，以便进行离线分析。这个函数在网络安全分析、协议分析等领域有着广泛的应用。下面详细介绍一下 pcap_open_offline 的实现和使用方法。

函数原型

pcap_t *pcap_open_offline(const char *fname, char *errbuf);

参数说明

• fname：指定要打开的文件名。该文件应该是以 tcpdump/libpcap 格式保存的数据包文件。
• errbuf：一个字符串缓冲区，用于存储错误信息。如果函数调用失败，错误信息会被写入这个缓冲区。

返回值

• 成功时返回一个 pcap_t 类型的指针，这是用于后续操作的数据包捕获描述符。
• 失败时返回 NULL，并且错误信息会被写入 errbuf。

实现细节

1. 文件打开

pcap_open_offline 首先尝试打开指定的文件。如果文件不存在或无法打开，函数会返回 NULL，并将错误信息写入 errbuf。

FILE *fp = fopen(fname, "rb");
if (fp == NULL) {
    snprintf(errbuf, PCAP_ERRBUF_SIZE, "Failed to open file %s: %s", fname, strerror(errno));
    return NULL;
}

2. 文件头读取

接下来，函数会读取文件头信息，以验证文件格式是否符合 libpcap 的要求。文件头包含了一些重要的元数据，如魔数、版本号等。

struct pcap_file_header filehdr;
if (fread(&filehdr, sizeof(filehdr), 1, fp) != 1) {
    fclose(fp);
    snprintf(errbuf, PCAP_ERRBUF_SIZE, "Failed to read file header from %s: %s", fname, strerror(errno));
    return NULL;
}

3. 文件头校验

读取文件头后，函数会进行一系列校验，确保文件格式正确。这包括检查魔数、版本号等。

if (filehdr.magic != TCPDUMP_MAGIC) {
    fclose(fp);
    snprintf(errbuf, PCAP_ERRBUF_SIZE, "Invalid file format: incorrect magic number in %s", fname);
    return NULL;
}

if (filehdr.version_major != PCAP_VERSION_MAJOR || filehdr.version_minor != PCAP_VERSION_MINOR) {
    fclose(fp);
    snprintf(errbuf, PCAP_ERRBUF_SIZE, "Unsupported file version: %d.%d in %s", filehdr.version_major, filehdr.version_minor, fname);
    return NULL;
}

4. 初始化 pcap_t 结构

如果文件头校验通过，函数会初始化一个 pcap_t 结构体，并设置必要的字段。

pcap_t *p = malloc(sizeof(pcap_t));
if (p == NULL) {
    fclose(fp);
    snprintf(errbuf, PCAP_ERRBUF_SIZE, "Memory allocation failed");
    return NULL;
}

p->fd = fileno(fp);
p->snapshot = filehdr.snaplen;
p->linktype = filehdr.linktype;
p->offset = sizeof(filehdr);
p->buffer = NULL;
p->bufsize = 0;

5. 返回 pcap_t 指针

最后，函数返回初始化好的 pcap_t 指针，以便后续调用其他 libpcap 函数进行数据包处理。

return p;