類UNIX操作系統上提供了三種不同的方式訪問數據鏈路層，分別是BSD的BSD分組過濾器(BPF)、SVR4的數據鏈路提供者接口(DLPI)和Linux的SOCK_PACKET接口。幸運的是，程序員不需要了解這些不同接口的細節，直接使用Libpcap函數庫就可以。 
Libpcap是一個提供了針對網絡數據包捕獲系統的高層接口的開源函數庫。其作用是提供獨立于平臺的應用程序接口，以消除程序中針對不同操作系統所包含的數據包捕獲代碼模塊。這樣以來，就解決了程序移植性的問題，有利于提高開發的效率。 
Libpcap運行于大多數類UNIX操作系統上，完整的文檔和源碼可以從tcpdump的官方網站上獲得: http://www.tcpdump.org 其Windows版本 Winpcap可已從 http://www.winpcap.org獲取。下面介紹如何使用Libpcap來捕獲數據包 
char *pcap_lookupdev(char *errbuf); 
功能：查找用于捕獲數據包的缺省設備 
errbuf ：錯誤時保存出錯信息 
返回值：成功時返回設備名稱；出錯時返回NULL 
pcap_t *pcap_open_live(const char *device, int snaplen, int promisc, int to_ms, char *errbuf); 
功能：打開用于捕獲數據包的網絡設備 
device：設備名稱 
snaplen：要捕獲的數據包的最大字節數 
prosmic：網絡設備工作模式(0表示非混雜模式，其他值表示混雜模式) 
to_ms： 從內核空間復制數據前等待的時間 
err_buf：錯誤時保存出錯信息 
返回值：成功時返回pcap_t類型的接口描述符(句柄)；出錯時返回NULL 
const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h); 
功能：捕獲下一個數據包 
p：接口描述符 
h：捕獲的數據包的信息 
返回值：成功時返回指向捕獲的數據的指針；出錯時返回NULL 
typedef void (*pcap_handler)(u_char *user, const struct pcap_pkthdr *h, const u_char *bytes); 
const u_char *pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user); 
功能： 捕獲下一個數據包 
cnt ：要捕獲的數據包的個數 
callback ：捕獲到數據包時執行的回調函數 
user：傳遞給回調函數的參數 
返回值：成功時返回0；出錯時返回-1 
int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask); 
功能：創建過濾器 
p ：接口描述符 
fp：指向保存過濾器的結構體的指針 
str：要轉化的過濾規則 
optimize： 過濾器是否要優化 
netmask：網絡掩碼 
返回值：成功時返回0；出錯時返回-1 
int pcap_setfilter(pcap_t *p, struct bpf_program *fp); 
功能： 安裝過濾器 
p：接口描述符 
fp：指向包含過濾器的結構體的指針 
返回值：成功時返回0；出錯時返回-1 
以下實例代碼實現捕獲并顯示3個ARP包 

#include <stdio.h> 
#include <stdlib.h> 
#include <string.h> 
#include <pcap.h> 
#define MAXBYTES2CAPTURE 2048 
void ProcessPacket(u_char *arg, const struct pcap_pkthdr *pkthdr, const u_char *packet) 
{ 
int i = 0, *counter = (int *)arg; 
printf("Packet Count : %d\n", ++(*counter)); 
printf("Received Packet Size: %d\n", pkthdr->len); 
printf("Payload:\n"); 
for (i=0; i<pkthdr->len; i++) 
{ 
printf("%02x ", (unsigned int)packet[i]); 
if ( (i%16 = = 15 && i != 0) || (i = = pkthdr->len -1)) 
{ 
printf("\n"); 
} 
} 
printf("\n\n************************************************\n"); 
return; 
} 
int main(int argc, char *argv[]) 
{ 
int i = 0, count = 0; 
pcap_t *descr = NULL; 
char errbuf[PCAP_ERRBUF_SIZE], *device = NULL; 
bpf_u_int32 netaddr = 0, mask = 0; 
struct bpf_program filter; 
memset(errbuf, 0, sizeof(errbuf)); 
if (argc != 2) 
{ 
device = pcap_lookupdev(errbuf); 
} 
else 
{ 
device = argv[1]; 
} 
printf("Try to open device %s\n", device); 
if((descr = pcap_open_live(device, MAXBYTES2CAPTURE, 1, 0, errbuf)) = =NULL) 
{ 
printf("error : %s\n", errbuf); 
exit(-1); 
} 
pcap_lookupnet(device, &netaddr, &mask, errbuf); 
if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:b7:f6:33",0, mask) < 0) 
{ 
printf("pcap_compile error\n"); 
exit(-1); 
} 
pcap_setfilter(descr, &filter); 
pcap_loop(descr, 3, ProcessPacket, (u_char *)&count); 
return 0; 
}