数据包抓捕与分析.rar

前 言

经常看到论坛有人问起关于数据包的截获、分析等问题，幸好本人也对此略有所知，也

写过很多的 sniffer，所以就想写一系列的文章来详细深入的探讨关于数据包的知识。

我希望通过这一系列的文章， 能使得关于数据包的知识得以普及， 所以这系列的每一篇文章

我都会有由浅入深的解释、详细的分析、以及编码步骤，另外附上带有详细注释的源码 (为

了照顾大多数朋友，我提供的都是 MFC的源码 )。

不过由于也是初学者，疏漏之处还望不吝指正。

本文凝聚着笔者心血，如要转载，请指明原作者及出处，谢谢！ ^_^

OK,. Let ’ｓ go ! Have fun！! q^_^p

a. 枚举本机网卡的信息

b. 打开相应网卡并设置为混杂模式

c. 截获数据包并保存为文件

作者：

CSDN VC/MFC 网络编程版主 PiggyXP

一．捕获数据包的实现原理： --------------------------------------------------------------------

在通常情况下， 网络通信的套接字程序只能响应与自己硬件地址相匹配的或是以广播形式发

出的数据帧， 对于其他形式的数据帧比如已到达网络接口但却不是发给此地址的数据帧， 网

络接口在验证投递地址并非自身地址之后将不引起响应， 也就是说应用程序无法收取与自己

无关的的数据包。

1.raw socket 的实现方法 --------------------------------------------------------------------

不同于我们常用的数据流套接字和数据报套接字， 在创建了原始套接字后， 需要用 WSAIoctl()

函数来设置一下，它的定义是这样的

int WSAIoctl(

SOCKET s,

DWORD dwIoControlCode,

LPVOID lpvInBuffer,

DWORD cbInBuffer,

LPVOID lpvOutBuffer,

DWORD cbOutBuffer,

LPDWORD lpcbBytesReturned,

虽然咋一看参数比较多， 但是其实我们最关心的只是其中的第二项而已， 我们需要做的就是

把第二项设置为 SIO_RCVALL，讲了这么多其实要做的就是这么一行代码，很简单吧？ ^_^

#include “ WinSock2.h ”　

#define SIO_RCVALL _WSAIOW(IOC_VENDOR,1)

iFlag=WSAStartup(MAKEWORD(2,2),&wsaData); //开启 winsock.dll

SnifferSocket=WSASocket(AF_INET, //创建 raw socket

SOCK_RAW,IPPROTO_IP,NULL,0,WSA_FLAG_OVERLAPPED);

char FAR name[128]; //获取本机 IP 地址

gethostname(name, sizeof(name));

struct hostent FAR * pHostent;

pHostent = gethostbyname(name);

SOCKADDR_IN sa; //填充 SOCKADDR_IN结构的内容

sa.sin_family = AF_INET;

sa.sin_port = htons(6000); // 端口号可以随便改，当然与当然系统不能冲突

memcpy(&(sa.sin_addr),pHostent->h_addr,pHostent->h_length);

DWORD dwBytesReturned = 0 ;

至此， 实际就可以开始对网络数据包进行嗅探了， 而对于数据包的接收还是和普通的 socket

一样，通过 recv()函数来完成，因为这里涉及到不同的 socket 模型，接收方法差别很大，所

以在此就不提供接收的代码了。

2.winpcap 的实现方法： -----------------------------------------------------------------------

winpcap 驱动包，是我们玩转数据包不可或缺的好东东， winpcap 的主要功能在于独立于主

机协议（如 TCP-IP)而发送和接收原始数据报，主要为我们提供了四大功能：

功能：

4> 收集网络通信过程中的统计信息

如果环境允许的话 (比如你做的不是木马程序 )，我还是推荐大家用 winpcap 来截获数据包，

因为它的功能更强大，工作效率更高，唯一的缺点就是在运行用 winpcap 开发的程序以前，

而且一会我们就会发现它比 raw socket 功能强大的多， 而且工作得更为底层， 最明显的理由

/*************************************************

int pcap_findalldevs ( pcap_if_t ** alldevsp,

char * errbuf

)

功能：

枚举系统所有网络设备的信息

参数： alldevsp： 是一个 pcap_if_t 结构体的指针， 如果函数 pcap_findalldevs 函数执行成

功，将获得一个可用网卡的列表，而里面存储的就是第一个元素的指针。

Errbuf： 存储错误信息的字符串

返回值： int ： 如果返回 0 则执行成功，错误返回 -1。

*************************************************/

我们利用这个函数来获得网卡名字的完整代码如下：

pcap_if_t* alldevs;

pcap_if_t* d;

d->name; // d->name 就是我们需要的网卡名字字符串，按照你 // 自己的需要

保存到你的相应变量中去

pcap_freealldevs(alldevs); // 释放 alldev 资源

B. 打开相应网卡并设置为混杂模式：

在此之前肯定要有一段让用户选择网卡、并获得用户选择的网卡的名字的代码，既然上面

我们主要是要用到 pcap_open_live 函数，不过这个函数 winpcap 的开发小组已经建议用

pcap_open 函数来代替，不过因为我的代码里面用的就是 pcap_open_live，所以也不便于修

改了， 不过 pcap_open_live 使用起来也是没有任何问题的， 下面是 pcap_open_live 的函数声

明：

int snaplen,

char * ebuf

根据网卡名字打开网卡，并设置为混杂模式，然后返回其句柄

参数：

Promisc：这个参数就是设置是否把网卡设置为 “混杂模式 ”，设置为 1 即可；

to_ms : 超时时间，毫秒，一般设置为 1000 即可。

返回值：

pcap_t : 类似于一个网卡 “句柄 ”之类的， 不过当然不是， 这个参数是后面截获数据要用

到的。

******************************************************************************/

虽然看起来比较复杂，不过用起来还是非常简单的，其实 1 行就 OK了：

pcap_t* adhandle;

char errbuf[PCAP_ERRBUF_SIZE];

// 打开网卡，并且设置为混杂模式

// pCardName 是前面传来的网卡名字参数

adhandle = pcap_open_live(pCardName,65535,1,1000,errbuf);

C. 截获数据包并保存为文件： ------------------------------------------------------

所以，为了便于日后分析，所以高手以及我个人经常是把数据包保存下来的慢慢分析的。

常的事情。

下面首先来详细讲解一下，这个步骤中需要用到的 winpcap 函数：

pcap_dumper_t* pcap_dump_open ( pcap_t * p,

const char * fname

)

建立或者打开存储数据包内容的文件 ,并返回其句柄

参数：

pcap_t * p ：前面打开的网卡句柄；

const char * fname ：要保存的文件名字

返回值：

/***************************************************************

u_char ** pkt_data

从网卡或者数据包文件中读取数据内容

u_char ** pkt_data ：指向数据包内容的指针 ，包括了协议头

返回值：

1 : 如果成功读取数据包

0 ：pcap_open_live() 设定的超时时间之内没有读取到内容

-1: 出现错误

-2: 读文件时读到了末尾

***************************************************************/

/***************************************************************

void pcap_dump ( u_char * user,

const struct pcap_pkthdr * h,

const u_char * sp

)

将数据包内容依次写入 pcap_dump_open （）指定的文件中

返回值：

下面给出一段完整的捕获数据包的代码，是在线程中写的，为了程序清晰，我去掉了错误

处理代码以及线程退出的代码， 完整代码可下载文后的示例源码， 老规矩， 重要的步骤用粗

体字标出。

/*********************************************************