Пишем сниффер (BSD)

Существует в BSD системах очень удобный интерфейс bpf, что расшифровывается как "Пакетный Фильтр Беркли". Его использует каждый сниффер, вспомните хотя бы tcpdump или ipgrab. Для прямой работы с этим фильтром написана очень удобная библиотека libpcap, которую можно скачать с сайта производителя: www.tcpdump.org. Чем же замечательна эта библиотека?

typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *,
 const u_char *);
char*pcap_lookupdev(char *);
intpcap_lookupnet(char *, bpf_u_int32 *, bpf_u_int32 *, char *);
pcap_t*pcap_open_live(char *, int, int, int, char *);
pcap_t*pcap_open_dead(int, int);
pcap_t*pcap_open_offline(const char *, char *);
voidpcap_close(pcap_t *);
intpcap_loop(pcap_t *, int, pcap_handler, u_char *);
intpcap_dispatch(pcap_t *, int, pcap_handler, u_char *);
const u_char*
pcap_next(pcap_t *, struct pcap_pkthdr *);
intpcap_stats(pcap_t *, struct pcap_stat *);
intpcap_setfilter(pcap_t *, struct bpf_program *);
intpcap_getnonblock(pcap_t *, char *);
intpcap_setnonblock(pcap_t *, int, char *);
voidpcap_perror(pcap_t *, char *);
char*pcap_strerror(int);
char*pcap_geterr(pcap_t *);
intpcap_compile(pcap_t *, struct bpf_program *, char *, int,
 bpf_u_int32);
intpcap_compile_nopcap(int, int, struct bpf_program *,
 char *, int, bpf_u_int32);
voidpcap_freecode(struct bpf_program *);
intpcap_datalink(pcap_t *);
intpcap_snapshot(pcap_t *);
intpcap_is_swapped(pcap_t *);
intpcap_major_version(pcap_t *);
intpcap_minor_version(pcap_t *);
FILE*pcap_file(pcap_t *);
intpcap_fileno(pcap_t *);
pcap_dumper_t *pcap_dump_open(pcap_t *, const char *);
voidpcap_dump_close(pcap_dumper_t *);
voidpcap_dump(u_char *, const struct pcap_pkthdr *, const u_char *);
intpcap_findalldevs(pcap_if_t **, char *);
voidpcap_freealldevs(pcap_if_t *);
u_intbpf_filter(struct bpf_insn *, u_char *, u_int, u_int);
intbpf_validate(struct bpf_insn *f, int len);
char*bpf_image(struct bpf_insn *, int);
voidbpf_dump(struct bpf_program *, int);

Как вы знаете, для того чтобы сниффер заработал, его нужно запускать из под рута, так как к bpf устройству доступ есть только у него, не забывайте это при тестировании своего творения.

Поиск устройства
Есть две возможности перехвата трафика: это перехват в промиск-моде и вне него. В первом случае вы перехватываете весь трафик в сети (при условии, что нет свитчей, или их память переполнена арп таблицей - они все работают как простые хабы, и отсутствии роутеров), во втором случае, вы сможете перехватывать только исходящий или приходящий трафик (непосредственно через вашу сетевую карту).
Из этого следует, что при установке сниффера следует выбирать тот интерфейс, на котором вероятность перехвата трафика выше. Выполнить поиск интерфейса можно при помощи функции pcap_lookupdev(); Она вернет указатель на массив символьного типа с названием интерфейса. Стоит также отметить, что вернет она первый интерфейс, находящийся в НЕ_ПРОМИСК_МОДЕ, так что не удивляйтесь, если у вас на машине, на которой стоит arpwatch вернется какой-нить "не тот" интерфейс.

После того, как мы отыскали нужное нам устройство, стоит "заценить" его сетевые настройки - это важно для дальнейшей работы сниффера, так как программе следует знать наверняка метрику сети. Все это происходит с вызовом функции

pcap_lookupnet(char *, bpf_u_int32 *, bpf_u_int32 *, char *);

char ebuf[PCAP_ERRBUFF_SIZE];

Использование устройства
После того, как мы узнали необходимую информацию об устройстве, мы его открываем на чтение. Этим занимается функция

pcap_open_live(char *, int, int, int, char *);

#include <stdio.h>
#include <pcap.h>

int
main(int argc, char *argv[])
{
char *dev,ebuf[PCAP_ERRBUFF_SIZE];
pcap_t *ptr;
bpf_u_int32 mask,net;

if (argc <2)
dev=pcap_lookupdev(ebuf);
else
dev=argv[1];

printf(“We’v choisen the %s – device\n”,dev);
pcap_lookupnet(dev, &net, &mask, ebuf);
ptr=pcap_open_live(dev, BUFSIZ, 1, 0, ebuf);
}

Использование фильтра
Фильтр описывается точно таким же синтаксисом, как и в tcpdump. Описывается он в обычном массиве символьного типа. Принцип следующий: мы вводим наши данные о фильтре в этот массив, а затем, при, так сказать компиляции, нашь фильтр переводится в нужный нам формат для использования:

…….
struct bpf_program bpf_filter;
char filter_buf[]=”foo”;
……..
pcap_compile(ptr, &bpf_filter, filter_buf, 0, net);
pcap_setfilter(ptr, &bpf_filter);
……...

const u_char* pcap_next(pcap_t *, struct pcap_pkthdr *);

struct pcap_pkthdr {
struct timeval ts;/* time stamp */
bpf_u_int32 caplen;/* length of portion present */
bpf_u_int32 len;/* length this packet (off wire) */
};

int pcap_loop(pcap_t *, int, pcap_handler, u_char *);

//вырезано
void
analiz(u_char *stuff,const struct pcap_pkthdr *hdr,const u_char *packet)
{
printf(“New packet has arrived!\n”);
}

//часть инициализации вырезана
//сама функция цикла:

pcap_loop(handle, -1, analiz, NULL);

Aucronix# ./test-snif rl1
New packet has arrived!
New packet has arrived!
New packet has arrived!
New packet has arrived!
New packet has arrived!
………………………..