網(wǎng)絡(luò)嗅探器實(shí)驗(yàn)報(bào)告

1、網(wǎng)絡(luò)攻擊與防御技術(shù)實(shí)驗(yàn)報(bào)告實(shí)驗(yàn)?zāi)康模罕緦?shí)驗(yàn)通過研究 Winpcap 中常用的庫函數(shù)的使用方式來實(shí)現(xiàn)了一個(gè)小型的網(wǎng)絡(luò)數(shù)據(jù)包抓包器，并通過對(duì)原始包文的分析來展示當(dāng)前網(wǎng)絡(luò)的運(yùn)行狀況。實(shí)驗(yàn)內(nèi)容：1. 實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)基本數(shù)據(jù)包的捕獲2. 分析捕獲到的數(shù)據(jù)包的詳細(xì)信息實(shí)驗(yàn)環(huán)境：1. WpdPack_4_0_1 支持庫2. VC+ 開發(fā)環(huán)境3. Windows 操作系統(tǒng)實(shí)驗(yàn)設(shè)計(jì)：系統(tǒng)在設(shè)計(jì)過程中按照層，這里為簡(jiǎn)化設(shè)計(jì)，將戶輸入；第二層是ModelMVC 的設(shè)計(jì)模式，整體分為三層。第一層為Control 層即控制Control 層分為兩個(gè)部分，一部分為網(wǎng)絡(luò)報(bào)文輸入，另一部分為用層即模型層；第三層為View 層即顯

2、示層。系統(tǒng)的整體運(yùn)行過程為：從Control 層得到數(shù)據(jù)，交到Model 層進(jìn)行處理，將處理完的結(jié)果交 View 層進(jìn)行顯示。Control 層主要用于網(wǎng)絡(luò)數(shù)據(jù)包的捕獲以及獲得用戶的輸入；Model 層主要用于分析數(shù)據(jù)包，處理用戶的輸入；View 層主要用于對(duì)處理后的結(jié)果進(jìn)行顯示。詳細(xì)過程：程序在執(zhí)行過程中有兩個(gè)核心的工作， 一是調(diào)用 Winpcap 函數(shù)庫實(shí)現(xiàn)下層抓包。 二是對(duì)抓到的包文進(jìn)行分析。下面分別列出兩個(gè)核心過程的基本算法與相關(guān)的實(shí)現(xiàn)代碼。抓包算法：第一：初始化Winpcap 開發(fā)庫第二：獲得當(dāng)前的網(wǎng)卡列表，同時(shí)要求用戶指定要操作的網(wǎng)卡第三：獲得當(dāng)前的過濾規(guī)則，可為空第四：調(diào)用庫函數(shù)

3、，pcap_loop（），同時(shí)并指定其回調(diào)函數(shù)，其中其回調(diào)函數(shù)為數(shù)據(jù)包分析過程。對(duì)應(yīng)的相應(yīng)核心代碼為：I f(pCap=pcap_open_live(getDevice()->name,65536,1,1000,strErrorBuf)=NULL) return -1; If(pcap_compile(pCap, &fcode, filter, 1, NetMask) < 0)return -1; if(pcap_setfilter(pCap, &fcode)<0)return -1; dopcap_loop(pCap,1,pcap_handle,NULL);

4、while(nFlag);分析算法：第一：得到數(shù)據(jù)包，先將其轉(zhuǎn)存到內(nèi)存里，以備以后再用。第二：分析當(dāng)前的數(shù)據(jù)包，分析過程如下：1. 數(shù)據(jù)包的前 14 個(gè)字節(jié)（Byte ）代表數(shù)據(jù)鏈路層的報(bào)文頭， 其報(bào)文格式是前 6Byte為目的 MAC 地址，隨后的 6 個(gè) Byte 為源 Mac 地址，最后的 2Byte 代表上層協(xié)議類型這個(gè)數(shù)據(jù)很重要，是我們分析上層協(xié)議的依據(jù)。2.根據(jù)1 所分析到的協(xié)議類型進(jìn)行類似1 的迭代分析。這樣就可以得到各層中的報(bào)文頭信息和數(shù)據(jù)信息。第三：結(jié)束本次分析。分析算法部分實(shí)現(xiàn)代碼：(pHeader);(pData);CFramePacket *pFramePacket =

5、 new CFramePacket(pData,14); if(pFramePacket->GetType() = 0x0800) CIPPacket ipPacket(pData+14,pHeader->len-14);if() = "UDP")CUDPPacket*pUDPPacket = new CUDPPacket(),();else if() = "TCP")CTCPPacket *pTCPPacket = new CTCPPacket(),();else if(pFramePacket->GetType() = 0x0806

6、)CARPPacket *pARPPacket = new CARPPacket(pData+14,pHeader->len-14);else if(pFramePacket->GetType() = 0x8035)else if(pFramePacket->GetType() =XXXX)在設(shè)計(jì)分析算法時(shí)有一個(gè)基礎(chǔ)是構(gòu)造各種協(xié)議的數(shù)據(jù)類型， 本系統(tǒng)在處理些過程是充分采用面向?qū)ο蟮脑O(shè)計(jì)思想， 對(duì)各種協(xié)議進(jìn)行類封裝， 每個(gè)類的重寫構(gòu)造函數(shù)， 其入口參數(shù)為數(shù)據(jù)包數(shù)據(jù)和本協(xié)議在數(shù)據(jù)包中的長(zhǎng)度， 共內(nèi)容是完成分析這一數(shù)據(jù)段同時(shí)初始化協(xié)議中的各個(gè)參數(shù)信息。 類對(duì)外提供各個(gè)接口以滿足上層對(duì)協(xié)議數(shù)據(jù)的調(diào)用。下面以鏈路層幀類為例：實(shí)驗(yàn)中的遇到的問題：在本次實(shí)驗(yàn)中我認(rèn)為有一個(gè)問題比較麻煩，就是對(duì)抓到的包進(jìn)行分析并提取出相應(yīng)的位填充到對(duì)應(yīng)的數(shù)據(jù)類型中，對(duì)于這個(gè)問題采用的是查看相