Linux系统本身并不默认预装libpcap库，但libpcap是Linux平台下非常常用的网络数据包捕获库，几乎所有主流的Linux发行版官方软件源中都提供了该库的适配安装包，用户可以很方便地完成安装和使用。
如何检查Linux系统是否已安装libpcap
可以通过包管理工具或者查看库文件的方式确认系统是否已经安装了libpcap，不同发行版的检查方式略有区别。
基于Debian/Ubuntu系统
使用dpkg命令查看已安装的libpcap相关包：
# 查看libpcap运行库是否安装 dpkg -l | grep libpcap # 查看libpcap开发库是否安装 dpkg -l | grep libpcap-dev
基于CentOS/RHEL系统
使用rpm命令查看已安装的libpcap相关包：
# 查看libpcap运行库是否安装 rpm -qa | grep libpcap # 查看libpcap开发库是否安装 rpm -qa | grep libpcap-devel
Linux系统安装libpcap的方法
如果检查发现系统未安装libpcap，可以根据发行版选择对应的安装命令，安装分为运行库和开发库两种，开发库包含了头文件和静态库，用于编译依赖libpcap的程序。
Debian/Ubuntu系统安装
# 更新软件源 sudo apt update # 安装运行库 sudo apt install libpcap0.8 # 安装开发库，开发时需要安装 sudo apt install libpcap-dev
CentOS/RHEL系统安装
# 安装运行库 sudo yum install libpcap # 安装开发库，开发时需要安装 sudo yum install libpcap-devel
libpcap基础使用示例
安装完成libpcap开发库后，就可以编写简单的网络抓包程序，以下是使用libpcap捕获网络数据包的基础示例代码，代码保存为test_pcap.c：
#include <pcap.h>
#include <stdio.h>
#include <arpa/inet.h>
#include <net/ethernet.h>
// 数据包处理回调函数
void packet_handler(u_char *user_data, const struct pcap_pkthdr *pkthdr, const u_char *packet) {
printf("捕获到数据包，长度：%dn", pkthdr->len);
}
int main() {
char err_buf[PCAP_ERRBUF_SIZE];
pcap_t *handle;
// 获取网络接口列表
pcap_if_t *alldevs;
if (pcap_findalldevs(&alldevs, err_buf) == -1) {
printf("获取网络接口失败：%sn", err_buf);
return 1;
}
// 使用第一个网络接口
const char *dev = alldevs->name;
printf("使用网络接口：%sn", dev);
// 打开网络接口，设置抓包长度为65535，混杂模式，超时时间1000ms
handle = pcap_open_live(dev, 65535, 1, 1000, err_buf);
if (handle == NULL) {
printf("打开网络接口失败：%sn", err_buf);
return 1;
}
// 开始捕获数据包，最多捕获10个，调用回调函数处理
pcap_loop(handle, 10, packet_handler, NULL);
// 关闭句柄，释放资源
pcap_close(handle);
pcap_freealldevs(alldevs);
return 0;
}
编译上述代码需要链接libpcap库，编译命令如下：
gcc test_pcap.c -o test_pcap -lpcap
运行编译后的程序需要root权限，因为捕获网络数据包需要较高的系统权限：
sudo ./test_pcap
常见问题说明
- 如果编译时提示找不到
pcap.h头文件，说明没有安装libpcap开发库，需要安装对应的devel或者dev包。 - 运行抓包程序时如果没有权限，需要添加sudo执行，或者给程序设置CAP_NET_RAW权限。
- libpcap支持离线读取pcap格式的文件，除了实时抓包也可以用于分析已有的抓包文件。