为什么 pcap_datalink() 总是返回 1（以太网），即使在无线设备上也是如此？

我遇到一个问题pcap_datalink()总是会回来1。据我了解，这是LINKTYPE_ETHERNET。但是，我使用的设备是无线卡，就我而言en0.

这会阻止我将卡置于监控模式，并阻止我的 WLAN 过滤器工作。我尝试在 OSX 和 Linux 上运行它，得到相同的结果。我也以 root 身份运行。

这是我的代码中导致问题的部分。对于该示例，假设dev被设定为en0（Mac 上的无线设备）。

#include <stdio.h>
#include <pcap.h>
#include <stdlib.h>

int main(int argc, char *argv[])
{
    pcap_t *pcap_h;
    char *dev, errbuf[PCAP_ERRBUF_SIZE];
    struct bpf_program fp;
    struct pcap_pkthdr header;
    const u_char *packet;

    if(argc < 2)
    {
        printf("Usage: %s device\n", argv[0]);
        exit(EXIT_FAILURE);
    }

    dev = argv[1];

    if((pcap_h = pcap_create(dev, errbuf)) == NULL)
    {
        printf("pcap_create() failed: %s\n", errbuf);
        exit(EXIT_FAILURE);
    }

    if(pcap_can_set_rfmon(pcap_h) == 0)
    {
        printf("Monitor mode can not be set.\n");
    }

    if(pcap_set_rfmon(pcap_h, 1) != 0)
    {
        printf("Failed to set monitor mode.\n");
        exit(EXIT_FAILURE);
    }

    if(pcap_activate(pcap_h) != 0)
    {
        printf("pcap_activate() failed\n");
        exit(EXIT_FAILURE);
    }

    /*
     * Compile a filter to sniff 802.11 probe requests
     * Filter: type mgt subtype probe-req
     */ 
    if(pcap_compile(pcap_h, &fp, "type mgt subtype probe-req", 0, PCAP_NETMASK_UNKNOWN) == -1)
    {
        printf("pcap_compile() failed: %s\n", pcap_geterr(pcap_h));
        exit(EXIT_FAILURE);
    }

    /*
     * Set the compiled filter
     */ 
    if(pcap_setfilter(pcap_h, &fp) == -1)
    {
        printf("pcap_setfilter() failed: %s\n", pcap_geterr(pcap_h));
        exit(EXIT_FAILURE);
    }

    pcap_freecode(&fp);

    packet = pcap_next(pcap_h, &header);

    printf("Header: %d\n", header.len); 
    pcap_close(pcap_h);
    return 0;
}

任何想法为什么pcap_datalink()总是会回来1?

Edit

更新了代码，并添加了pcap_set_rfmon()在致电之前pcap_activate()。我收到错误：

pcap_compile() failed: 802.11 link-layer types supported only on 802.11

Are you shure这就是阻止您将卡置于监控模式并阻止您的 WLAN 过滤器工作的原因，或者您是否会调用 pcap_datalink() 作为检查来尝试查明问题？

请注意，根据 PCAP-LINKTYPE(7)：

对于实时捕获或“保存文件”，libpcap 提供，如 pcap_datalink(3PCAP) 例程的返回值，该值 表示报头开头的链路层报头类型 它提供的数据包。这不一定是链路层的类型 被捕获的数据包在网络上的标头 他们正在被俘虏；例如，来自 IEEE 802.11 的数据包 网络可能由 libpcap 提供，带有以太网标头 网络适​​配器或网络适配器驱动程序生成 802.11 标头。

因此，我不会将此 LINKTYPE_ETHERNET / DLT_EN10MB 返回值视为此处存在问题的确定指示。

EDIT:另外，应该调用 pcap_set_rfmon()before句柄已激活，这在您的代码中不可见。

pcap 对于事情应该完成的顺序相当敏感。查看手册页pcap_can_set_rfmon and pcap_set_rfmon.

顺序应该是：

• pcap_创建
• pcap_can_set_rfmon
• pcap_set_rfmon（如果到目前为止还不错的话）
• 然后并且只有那时，pcap_activate