抓包方式有两种，一种是每次抓一个包，另一种是循环抓包，分为循环抓有限个数的包，或者是无限循环抓包。其中每次抓一个包使用pcap_next函数。pcap_next()表示只抓取一个数据包，它的第一个参数是session handle，第二个参数是包头，返回值是包数据。函数原型如下
u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h)
另一种循环抓包的方法，就是使用pcap_loop和回调函数，代码样例参见我整理出的两个例子。
5.4.网卡设备的设置有两种方法，第一种方法是用户直接指定网卡名称(必须要真实可用)，从命令行参数传递进去，比如
#include <stdio.h>
#include <pcap.h>
int main(int argc, char *argv[])
{
char *dev = argv[1];
printf("Device: %s\n", dev);
return(0);
}
另一种方法，是让pcap自己去探测网卡设备，如果出错，会给出出错信息，但是这种方法很多情况下不靠谱，对此的改进是，让pcap探测出所有的网卡设备，让用户区选择使用那个网络设备抓包，参见下面的代码
#include <stdio.h>
#include <pcap.h>
int main(int argc, char *argv[])
{
char *dev, errbuf[PCAP_ERRBUF_SIZE];
dev = pcap_lookupdev(errbuf);
if (dev == NULL) {
fprintf(stderr, "Couldn't find default device: %s\n", errbuf);
return(2);
}
printf("Device: %s\n", dev);
return(0);
}
5.5.对我们抓到的数据包，它的结构，大体分为Ethernet header，IP header，TCP header等等，分别对应14,20,20个字节，IP header至少20个字节，TCP头也至少20个字节。
data=recv_data[42:]这样做的原因是,recv_data 抓到的都是raw packet, tcp/ip是分了5层,一个udp包,会带有 14Bytes的Ethenet_II Frame的头,然后是20个字节的ip包头,而udp包头有8个字节,所以偏移量42之后的才是udp的实际内容
tcp包的包头大小为20Bytes,所以其实际内容在偏移量54之后
5.6.对数据包的解包和组包，需要用到Ethernet header，IP header，TCP header，UDP header等常用数据结构的定义，我们并不需要重新定义这些头，直接引用相关的头文件定义就可以了。
#include <netinet/in.h>
#include <netinet/if_ether.h>
#include <netinet/ip.h>
#include <netinet/tcp.h>
#include <netinet/udp.h>
#include <netinet/ip_icmp.h>
5.6.对我们目前的程序，通常需要从命令行传人如下参数信息：
wlan0 待抓包的网卡名称
tcp port 80 过滤表达式
10000 or -1 抓包模式，是抓指定个数的包(这里是10000个包)，还是无限抓包下去
当然，对这些参数，你也可以写死在程序里。