struct pcap_pkthdr  
{  
    struct timeval ts;  // 抓到包的时间，ts.tv_sec是从1997.01.01到现在所经过的秒数，可以用ctime等函数转化成当前时间的字符串
    bpf_u_int32 caplen; // 表示抓到的数据长度,抓取的长度
    bpf_u_int32 len; // 表示数据包的实际长度,本来应有长度
}  

//数据包最前面的信息， Mac头部，总长度14字节，然后通过eth_type来解析包后面的内容
typedef struct eth_hdr
{
    u_char dst_mac[6];//目标mac地址  
    u_char src_mac[6];//源mac地址  
    u_short eth_type;//以太网类型：0x0800-IP;0x0806-ARP;0x0835-RARP
}eth_hdr;  

//IP头部，总长度20字节，通过protocol判读传输的是什么协议的数据
typedef struct ip_hdr
{
    int version:4; //版本
    int header_len:4; //首部长度  
    u_char tos:8;//服务类型  
    int total_len:16;//总长度 
    int ident:16;//标志 
    int flags:16;//分片偏移  
    u_char ttl:8;//生存时间  
    u_char protocol:8;//协议：0x01-ICMP;0x06-TCP;0x11-UDP
    int checksum:16;//检验和  
    u_char sourceIP[4];//源IP地址：通过inet_ntoa()函数转换
    u_char destIP[4];//目的IP地址 
}ip_hdr;

 //TCP头部，总长度20字节，通过flags判断是哪种消息
typedef struct tcp_hdr
{
    u_short sport;//源端口号,通过 ntohs（）转换
    u_short dport;//目的端口号  
    u_int seq;//序列号
    u_int ack;//确认号 
    u_char head_len; //首部长度  
    u_char flags;//标志位；0x01-FIN,0x02-SYN,0x04-RST,0x08-PSH,0x10-ACK,0x20-URG;
    u_short wind_size;//16位窗口大小  
    u_short check_sum;//16位TCP检验和  
    u_short urg_ptr;//16为紧急指针
}tcp_hdr;

 //UDP头部，总长度8字节  
typedef struct udp_hdr
{
    u_short sport;//远端口号
    u_short dport;//目的端口号 
    u_short tot_len;//udp头部长度
    u_short check_sum;//16位udp检验和  
}udp_hdr;

 //ICMP头部，总长度4字节  
typedef struct _icmp_hdr  
{  
    u_char icmp_type;   //类型  
    u_char code;        //代码  
    u_short chk_sum;    //16位检验和  
}icmp_hdr;   

pcap_dumper_t* out_pcap;  //定义输出文件并打开
out_pcap = pcap_dump_open(device,"/home/test.pcap");
pcap_loop(device,10,packet_handler,(u_char *)out_pcap); //获取10个包，并调用回调函数来存数据
pcap_dump_flush(out_pcap); //刷新缓冲区
pcap_dump_close(out_pcap); //关闭资源

//回调函数完成数据存储
void packet_handler(u_char *user, const struct pcap_pkthdr *pkt_header, const u_char *pkt_data)
{
   pcap_dump(user, pkt_header, pkt_data);// 输出数据到文件
   printf("a packet with length of %d\n", pkt_header->len);// 打印抓到的包的长度
}

//用wireshark打开保存的记录文件test.pcap就可以分析数据了

#include <stdio.h>
#include <pcap.h>
#include <time.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <errno.h>
#include <string.h>

struct ip_header{
  u_int8_t ip_version: 4;
  u_int8_t ip_header_length: 4;
  u_int8_t ip_tos;
  u_int16_t ip_length;
  u_int16_t ip_id;
  u_int16_t ip_off;
  u_int8_t ip_ttl;
  u_int8_t ip_protocol;
  u_int16_t ip_checksum;
  struct in_addr ip_source_address;
  struct in_addr ip_destination_address;
};

void getPacket(u_char *user, const struct pcap_pkthdr *pkthdr, const u_char *packet);

int main(int argc,char *argv[])    
{    
  char errBuf[PCAP_ERRBUF_SIZE]={0};
  char *devStr = NULL; 
  pcap_t *device = NULL;
  struct bpf_program filter;
  char *filter_app = "port 80";
  pcap_dumper_t* out_pcap;
 
  if(argc>1){  
    devStr = argv[1];  
  }  
  else{   
  /* get a device */    
    devStr = pcap_lookupdev(errBuf);    
  }  
  
  if(devStr)    
  {    
    printf("success: device: %s\n", devStr);    
  }    
  else    
  {    
    printf("error: %s\n", errBuf);    
    exit(1);    
  }    
      
  /* open a device, wait until a packet arrives */    
  device = pcap_open_live(devStr, 65535, 1, 0, errBuf);    
      
  if(!device)    
  {    
    printf("error: pcap_open_live(): %s\n", errBuf);    
    exit(1);    
  }    
      
  /* construct a filter */         
  pcap_compile(device, &filter, filter_app, 1, 0);    
  pcap_setfilter(device, &filter);    
      
  /* wait loop forever */    
  out_pcap = pcap_dump_open(device,"/home/test.pcap");   
  pcap_loop(device, 10, getPacket, (u_char*)out_pcap);    
     
  pcap_dump_flush(out_pcap); //刷新缓冲区
  pcap_dump_close(out_pcap); //关闭资源  
  
  pcap_close(device);    
    
  return 0;    
} 

void getPacket(u_char * arg, const struct pcap_pkthdr * pkthdr, const u_char * packet)    
{   
  pcap_dump(user, pkthdr, packet); // 输出数据到文件   
  struct ip_header *ip_protocol;
  ip_protocol=(struct ip_header*)(packet + 14);
 
  printf("Packet length: %d\n", pkthdr->len); 
  printf("Number of capture bytes: %d\n", pkthdr->caplen);    
  printf("Source address:%s\n",inet_ntoa(ip_protocol->ip_source_address));  
  printf("Destination address:%s\n",inet_ntoa(ip_protocol->ip_destination_address));  
  printf("Recieved time: %s", ctime((const time_t *)&pkthdr->ts.tv_sec));     
}