WinPcap+C++抓包程序改控制台输出后丢包的解决求助

核心原因 #

WinPcap的抓包回调函数运行在内核抓包线程中，printf、数据库插入这类操作属于阻塞性操作——会占用大量线程时间，导致内核缓冲区来不及接收新数据包，当缓冲区满后，新数据包会被直接丢弃。而写文件时依赖系统文件缓冲，实际IO操作被延迟，回调内操作耗时短，因此未出现丢包。

解决办法 #

1. 用生产者-消费者模型拆分抓包与处理逻辑

把抓包和数据处理拆成两个独立线程：

• 生产者线程（抓包线程）：仅负责将数据包快速拷贝到内存队列，立刻返回，不做任何耗时操作。
• 消费者线程：专门从队列取数据包，执行printf或数据库存储这类慢操作。

示例代码框架：

#include <queue>
#include <windows.h>
#include <pcap.h>

// 定义数据包存储结构体
typedef struct {
    struct pcap_pkthdr header;
    u_char data[];
} PacketInfo;

std::queue<PacketInfo*> packet_queue;
CRITICAL_SECTION queue_lock;
HANDLE has_packet_event;

// 消费者线程函数
DWORD WINAPI process_packets(LPVOID param) {
    while (true) {
        // 等待队列有数据
        WaitForSingleObject(has_packet_event, INFINITE);
        
        EnterCriticalSection(&queue_lock);
        while (!packet_queue.empty()) {
            PacketInfo* pkt = packet_queue.front();
            packet_queue.pop();
            LeaveCriticalSection(&queue_lock);
            
            // 执行自定义处理逻辑：printf或数据库操作
            printf("捕获数据包，长度：%u\n", pkt->header.caplen);
            // 数据库操作建议攒一批再批量插入，避免单条插入的开销
            // ...
            
            // 释放内存
            free(pkt);
            
            EnterCriticalSection(&queue_lock);
        }
        LeaveCriticalSection(&queue_lock);
    }
    return 0;
}

// 抓包回调函数
void packet_handler(u_char* param, const struct pcap_pkthdr* header, const u_char* pkt_data) {
    // 分配内存拷贝完整数据包（头+数据）
    PacketInfo* pkt = (PacketInfo*)malloc(sizeof(struct pcap_pkthdr) + header->caplen);
    memcpy(&pkt->header, header, sizeof(struct pcap_pkthdr));
    memcpy(pkt->data, pkt_data, header->caplen);
    
    // 加入队列
    EnterCriticalSection(&queue_lock);
    packet_queue.push(pkt);
    LeaveCriticalSection(&queue_lock);
    
    // 通知消费者线程
    SetEvent(has_packet_event);
}

int main() {
    pcap_t* adhandle;
    char errbuf[PCAP_ERRBUF_SIZE];
    
    // 初始化同步对象
    InitializeCriticalSection(&queue_lock);
    has_packet_event = CreateEvent(NULL, FALSE, FALSE, NULL);
    
    // 创建消费者线程
    CreateThread(NULL, 0, process_packets, NULL, 0, NULL);
    
    // 打开网卡抓包（替换成你的目标网卡）
    adhandle = pcap_open_live("\\Device\\NPF_{XXXXXX}", 65536, 1, 1000, errbuf);
    if (!adhandle) {
        printf("打开网卡失败：%s\n", errbuf);
        return 1;
    }
    
    // 加大内核缓冲区，降低丢包概率
    pcap_setbuff(adhandle, 64 * 1024 * 1024); // 设置为64MB
    
    // 开始抓包
    pcap_loop(adhandle, 0, packet_handler, NULL);
    
    // 清理资源（实际需处理正常退出逻辑）
    DeleteCriticalSection(&queue_lock);
    CloseHandle(has_packet_event);
    pcap_close(adhandle);
    return 0;
}

2. 加大WinPcap内核缓冲区

调用pcap_setbuff()函数，在打开网卡后设置更大的内核缓冲区（比如64MB或128MB），给消费者线程预留更多处理时间，避免缓冲区快速溢出丢包。

3. 优化处理操作的性能

• printf优化：不要每次捕获数据包就调用printf，攒一批数据包（比如100条）再一次性打印，减少IO次数；也可关闭stdout缓冲（setvbuf(stdout, NULL, _IONBF, 0)），但批量打印效果更优。
• 数据库操作优化：使用批量插入语句，避免每个数据包单独执行INSERT；用数据库连接池复用连接，减少频繁创建/销毁连接的开销。

4. 排查抓包统计

用pcap_stats()函数查看抓包统计，明确丢包类型：

struct pcap_stat stats;
if (pcap_stats(adhandle, &stats) == 0) {
    printf("已捕获数据包：%u，内核丢弃：%u，接口丢弃：%u\n", stats.ps_recv, stats.ps_drop, stats.ps_ifdrop);
}

如果ps_drop数值持续增长，说明内核缓冲区已满，需优化线程处理速度或进一步加大缓冲区。

内容的提问来源于stack exchange，提问作者anonymous