libpcap/tcpdump—3—抓包结论(3 packets captured,3 packets received by filter,0 packets dropped by kernel)

红太狼 2023-05-29 11:43 70阅读 0赞

![20191105204750493.png][]

每次在退出tcpdump的时候，终端上都会显示上图这样的3行信息。本篇文章就是想讲解这3个数值的相关信息。  
我会尽量写的详细，但能力有限，核心地方无法点到本质。

这条信息是***tcpdump.c***中***info(register int verbose)***接口打印的信息。部分代码如下所示：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhbmdxdW54aWFuZmVuZw_size_16_color_FFFFFF_t_70][]

其中***packets\_captured***表示捕获到的包的数量，如果指定了***-w***选项也就是写入到文件中的包数，下一篇文章会详细  
介绍。***stats***的类型是***struct pcap\_stat***，在libpcap中的pcap.h文件中定义，包含3个成员，如下图所示。

/*
     * As returned by the pcap_stats()
     */
    struct pcap_stat {
    	u_int ps_recv;		/* number of packets received */
    	u_int ps_drop;		/* number of packets dropped */
    	u_int ps_ifdrop;	/* drops by interface -- only supported on some platforms */
    };

### static u\_int packets\_captured ###

***packets\_captured***是在***tcpdump.c***中定义的一个***static***的全局***unsigned int***变量，在***dump\_packet***接口中递增。（写  
文件也是在这里）

### struct pcap\_stat stats ###

***info()***中调用***pcap\_stats()***获取到***stats***的值。***pcap.c***中定义***pcap\_stats()***指向***pcap-linux.c***中的***pcap\_stats\_linux()***，在里面你会发现大部分系统是通过***getsockopt(handle->fd, SOL\_PACKET, PACKET\_STATISTICS, &kstats, &len)***系统调用实现。几十行的代码上百行的注释，包含了各种情况详细的注释，堪称典范！

[20191105204750493.png]: https://img-blog.csdnimg.cn/20191105204750493.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhbmdxdW54aWFuZmVuZw_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191105212717483.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhbmdxdW54aWFuZmVuZw==,size_16,color_FFFFFF,t_70