rarp协议pcap

### RARP 协议 PCAP 文件捕获示例

为了捕获与RARP协议相关的数据包并保存到PCAP文件中，可以使用`libpcap`库中的函数来设置过滤器和处理回调。下面是一个完整的C语言程序示例，用于捕获网络接口上的RARP请求，并将其写入名为`rarp_capture.pcap`的文件。

#### 设置环境变量及初始化

#include <stdio.h>
#include <stdlib.h>
#include <pcap/pcap.h>

#define SNAP_LEN 1518 /* 定义最大抓取长度 */
char errbuf[PCAP_ERRBUF_SIZE]; /* 错误缓冲区 */

/* 打开设备进行监听模式 */
pcap_t* open_device(const char *device) {
    return pcap_open_live(device, SNAP_LEN, 1, 1000, errbuf);
}

#### 编译BPF过滤表达式
编译特定于RARP流量的Berkeley Packet Filter (BPF)，这允许只接收符合条件的数据帧。

struct bpf_program fp;
if (pcap_compile(handle, &fp, "ether proto \\arp and arp.opcode == 3", 1, netmask) != 0){
    fprintf(stderr,"Error calling pcap_compile\n");
    exit(EXIT_FAILURE);
}

// 将编好的过滤条件应用到适配器上
if (pcap_setfilter(handle,&fp)!=0){
    fprintf(stderr,"Error setting filter\n");
    exit(EXIT_FAILURE);
}

#### 数据包处理回调函数定义
当接收到匹配的数据包时调用此函数；这里简单打印信息并将原始字节流追加至目标文件。

static void packet_handler(u_char *user_args, const struct pcap_pkthdr *header, const u_char *packet_data) {
    FILE *file = fopen("rarp_capture.pcap","ab+");
    
    fwrite(header,sizeof(struct pcap_pkthdr),1,file);
    fwrite(packet_data, header->len, 1, file);

    fclose(file);
}

#### 主循环逻辑实现
启动实际的数据收集过程，在无限循环内持续等待新事件到来直到手动终止程序运行。

int main(int argc, char **argv) {
    char *dev;          /* 设备名称 */
    int res;

    dev = argv[1];
    handle = open_device(dev);

    if (!handle || pcap_datalink(handle) != DLT_EN10MB)[^3] {
        printf("%s\n",errbuf);
        return(2);
    }

    pcap_loop(handle,-1,(pcap_handler)packet_handler,NULL); 

    pcap_close(handle);
    return 0;
}