这几天用到了raw socket，用python写了些demo程序，这里记录下。
首先我们看一个简单的sniffer程序：
复制代码 代码如下:
#! /usr/bin/python
# code for linux
import socket
#s = socket.socket(socket.af_inet, socket.sock_raw, socket.ipproto_udp)
s = socket.socket(socket.af_inet, socket.sock_raw, socket.ipproto_tcp)
while true:
    print s.recvfrom(65535)
这里直接用raw socket接收数据，直接print操作。这个就几行代码，也没什么好解释的了，不懂的google下。
得到ip数据包后，接下来的工作就是对ip头进行解析，在这之前，我们先看看rfc中是怎么定义的（rfc791 : http://www.ietf.org/rfc/rfc791.txt ）：
即对应的图：
从rfc和上图中可以看到ip数据包头各个字段所占的位数，我们可以根据这些定义去解析ip数据包头，然后根据相应的策略处理数据。
这里给出一段用python实现的解析ip头的代码（呵呵，是demo中的代码，只解析了前20个字节）：
复制代码 代码如下:
def decodeipheader(packet):
        mapret = {}
        mapret[version] = (int(ord(packet[0])) & 0xf0)>>4
        mapret[headerlen] = (int(ord(packet[0])) & 0x0f)        mapret[servicetype] = hex(int(ord(packet[1])))
        mapret[totallen] = (int(ord(packet[2])        mapret[identification] = (int( ord(packet[4])>>8 )) + (int( ord(packet[5])))
        mapret[id] = int(ord(packet[6]) & 0xe0)>>5
        mapret[fragoff] = int(ord(packet[6]) & 0x1f)        mapret[ttl] = int(ord(packet[8]))
        mapret[protocol] = int(ord(packet[9]))
        mapret[checksum] = int(ord(packet[10])        mapret[srcaddr] = %d.%d.%d.%d % (int(ord(packet[12])),int(ord(packet[13])),int(ord(packet[14])), int(ord(packet[15])))
        mapret[dstaddr] = %d.%d.%d.%d % (int(ord(packet[16])),int(ord(packet[17])),int(ord(packet[18])), int(ord(packet[19])))
        return mapret
调用代码：
复制代码 代码如下:
proto = socket.getprotobyname('tcp') # only tcp
sock = socket.socket(socket.af_inet, socket.sock_raw, proto)while true:
        packet = sock.recvfrom(65535)[0]
        if len(packet) == 0:
                sck.close()
        else:
                #print str(packet)
                mapiptmp = decodeipheader(packet)
                for k,v in mapiptmp.items():
                        print k,\t:\t,v
        print