網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)

1、計算機網(wǎng)絡(luò) 課 程 設(shè) 計題 目 網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn) 系 (部) 姓 名 學(xué) 號 指導(dǎo)教師 2015年7月18日 計算機網(wǎng)絡(luò)課程設(shè)計任務(wù)書一、設(shè)計題目、內(nèi)容及要求題目:網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)內(nèi)容: 本設(shè)計是關(guān)于網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)，功能包括實現(xiàn)網(wǎng)絡(luò)層抓包，對獲得包的源和目的地址、端口、協(xié)議等進行分析和實現(xiàn)簡單的包嗅探器功能。要求: 1.實現(xiàn)網(wǎng)絡(luò)嗅探器的界面2. 實現(xiàn)抓取數(shù)據(jù)包的功能。3. 實現(xiàn)清空列表功能二、要求的設(shè)計成果（課程設(shè)計說明書、設(shè)計實物、圖紙等） 1課程設(shè)計報告2實現(xiàn)網(wǎng)絡(luò)嗅探器的程序代碼三、進程安排1、設(shè)計工作4學(xué)時2、實現(xiàn)與調(diào)試20學(xué)時3、課程設(shè)計報告6學(xué)時四、主要參考資料

2、 1王群 計算機網(wǎng)絡(luò)安全技術(shù)2吳功宜,董大凡王珺等.計算機網(wǎng)絡(luò)高級軟件編程技術(shù)【M】.北京：清華大學(xué)出版社,20083謝小特,王勇軍.基于winPcap的捕包程序設(shè)計【J】.軟件特刊,2007（11）：71-724胡曉元,史浩山.winpcap包截獲系統(tǒng)的分析及其應(yīng)用【J】.計算機工程，2005（1）：96-975趙輝,葉子青.VisualC+系統(tǒng)開發(fā)實例精粹【M】,北京：人民郵電出版社，200513網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)摘要：網(wǎng)絡(luò)嗅探器是對網(wǎng)絡(luò)中的數(shù)據(jù)幀進行捕獲的一種被動監(jiān)聽手段，是一種常用的收集有用數(shù)據(jù)的方法。本設(shè)計是關(guān)于網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)，其功能包括實現(xiàn)網(wǎng)絡(luò)層抓包 ，對獲得包的源和目

3、的地址、端口、協(xié)議等進行分析和實現(xiàn)簡單的包嗅探器功能。關(guān)鍵字：網(wǎng)絡(luò)嗅探器;數(shù)據(jù)包捕獲; 套接字引言由于網(wǎng)絡(luò)技術(shù)的發(fā)展，計算機網(wǎng)絡(luò)的應(yīng)用越來越廣泛，其作用也越來越重要。計算機網(wǎng)絡(luò)安全問題更加嚴(yán)重，網(wǎng)絡(luò)破壞所造成的損失越來越大。但是由于計算機系統(tǒng)中軟硬件的脆弱性和計算機網(wǎng)絡(luò)的脆弱性以及地理分布的位置、自然環(huán)境、自然破壞以及人為因素的影響，不僅增加了信息存儲、處理的風(fēng)險，也給信息傳送帶來了新的問題。嗅探器是一種常用的收集有用數(shù)據(jù)的方法，可以作為網(wǎng)絡(luò)數(shù)據(jù)包的設(shè)備。嗅探器是通過對網(wǎng)卡的編程來實現(xiàn)網(wǎng)絡(luò)通訊的，對網(wǎng)卡的編程是使用通常的套接字（socket）方式來進行。通常的套接字程序只能響應(yīng)與自己硬件地址相

4、匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗證投遞地址并非自身地址之后將不引起響應(yīng)，也就是說應(yīng)用程序無法收取到達的數(shù)據(jù)包。而網(wǎng)絡(luò)嗅探器的目的恰恰在于從網(wǎng)卡接收所有經(jīng)過它的數(shù)據(jù)包，這些數(shù)據(jù)包即可以是發(fā)給它的也可以是發(fā)往別處的。1 基本概念1.1 嗅探器每一個在局域網(wǎng)（LAN）上的工作站都有其硬件地址，這些地址唯一地表示了網(wǎng)絡(luò)上的機器。當(dāng)用戶發(fā)送一個數(shù)據(jù)包時，這些數(shù)據(jù)包就會發(fā)送到LAN上所有可用的機器。在一般情況下，網(wǎng)絡(luò)上所有的機器都可以“聽”到通過的流量，但對不屬于自己的數(shù)據(jù)包則不予響應(yīng)。嗅探器工作在網(wǎng)絡(luò)的底層，在網(wǎng)絡(luò)上監(jiān)聽數(shù)據(jù)

5、包來獲取敏感信息。從原理上來說，在一個實際的系統(tǒng)中，數(shù)據(jù)的收發(fā)是由網(wǎng)卡來完成的，網(wǎng)卡接收到傳輸來的數(shù)據(jù)，其內(nèi)的單片程序接收數(shù)據(jù)幀的目的MAC地址，根據(jù)計算機上的網(wǎng)卡驅(qū)動程序設(shè)置的接收模式判斷該不該接收，認(rèn)為該接收就接收后產(chǎn)生中斷信號通知CPU，認(rèn)為不該接收就丟掉不管，所以不該接收的數(shù)據(jù)網(wǎng)卡就截斷了，計算機根本就不知道。對于網(wǎng)卡來說一般有四種接收模式：a)廣播方式：該模式下的網(wǎng)卡能夠接收網(wǎng)絡(luò)中的廣播信息。b)組播方式：設(shè)置在該模式下的網(wǎng)卡能夠接收組播數(shù)據(jù)。c)直接方式：在這種模式下，只有目的網(wǎng)卡才能接收該數(shù)據(jù)。d)混雜模式：在這種模式下的網(wǎng)卡能夠接收一切通過它的數(shù)據(jù)，而不管該數(shù)據(jù)是否是傳給它的。

6、嗅探程序是一種利用以太網(wǎng)的特性把網(wǎng)絡(luò)適配卡（NIC，一般為以太網(wǎng)卡）置為混雜模式狀態(tài)的工具，一旦網(wǎng)卡設(shè)置為這種模式，它就能接收傳輸在網(wǎng)絡(luò)上的每一個信息包,而不管該數(shù)據(jù)是否傳給它的。1.2 相關(guān)協(xié)議1.2.1 IP協(xié)議網(wǎng)際協(xié)議IP是TCP/IP的心臟，也是網(wǎng)絡(luò)層中最重要的協(xié)議。IP層接收由更低層（網(wǎng)絡(luò)接口層，例如以太網(wǎng)設(shè)備驅(qū)動程序）發(fā)來的數(shù)據(jù)包，并把該數(shù)據(jù)包發(fā)送到更高層-TCP或UDP層；相反，IP層也把從TCP或UDP層接收來的數(shù)據(jù)包傳送到更低層。IP數(shù)據(jù)包是不可靠的，因為IP并沒有做任何事情來確認(rèn)數(shù)據(jù)包是按順序發(fā)送的或者沒有被破壞。IP數(shù)據(jù)包中含有發(fā)送它的主機的地址（源地址）和接收它的主機的

7、地址（目的地址）。1.2.2 TCP協(xié)議 如果IP數(shù)據(jù)包中有已經(jīng)封好的TCP數(shù)據(jù)包，那么IP將把它們向上傳送到TCP層。TCP將包排序并進行錯誤檢查，同時實現(xiàn)虛電路間的連接。TCP數(shù)據(jù)包中包括序號和確認(rèn)，所以未按照順序收到的包可以被排序，而損壞的包可以被重傳。 TCP將它的信息送到更高層的應(yīng)用程序，例如Telnet的服務(wù)程序和客戶程序。應(yīng)用程序輪流將信息送回TCP層，TCP層便將它們向下傳送到IP層，設(shè)備驅(qū)動程序和物理介質(zhì)，最后到接收方。1.2.3 UDP協(xié)議 UDP與TCP位于同一層，但對于數(shù)據(jù)包的順序錯誤或重發(fā)。因此，UDP不被應(yīng)用于那些使用虛電路的面向連接的服務(wù)，UDP主要用于那些面向查

8、詢-應(yīng)答的服務(wù)，例如NFS。相對于FTP或Telnet，這些服務(wù)需要交換的信息量較小。使用UDP的服務(wù)包括NTP（網(wǎng)落時間協(xié)議）和DNS（DNS也使用TCP）。 欺騙UDP包比欺騙TCP包更容易，因為UDP沒有建立初始化連接（也可以稱為握手）（因為在兩個系統(tǒng)間沒有虛電路），也就是說，與UDP相關(guān)的服務(wù)面臨著更大的危險。1.3 數(shù)據(jù)包“包”(Packet)是TCP/IP協(xié)議通信傳輸中的數(shù)據(jù)單位，一般也稱“數(shù)據(jù)包”。 TCP/IP協(xié)議是工作在OSI模型第三層(網(wǎng)絡(luò)層)、第四層(傳輸層)上的，而幀是工作在第二層(數(shù)據(jù)鏈路層)。上一層的內(nèi)容由下一層的內(nèi)容來傳輸，所以在局域網(wǎng)中，“包”是包含在“幀”里的

9、。 數(shù)據(jù)包的結(jié)構(gòu)非常復(fù)雜，主要由“目的IP地址”、“源IP地址”、“凈載數(shù)據(jù)”等部分構(gòu)成。正是因為數(shù)據(jù)包具有這樣的結(jié)構(gòu)，安裝了TCP/IP協(xié)議的計算機之間才能相互通信。我們在使用基于TCP/IP協(xié)議的網(wǎng)絡(luò)時，網(wǎng)絡(luò)中其實傳遞的就是數(shù)據(jù)包。比如說當(dāng)你上網(wǎng)時打開某個網(wǎng)頁，這個簡單的動作，就是你先發(fā)送數(shù)據(jù)包給那個網(wǎng)站，它接收到了之后，根據(jù)你發(fā)送的數(shù)據(jù)包的IP地址，返回給你網(wǎng)頁的數(shù)據(jù)包，也就是說，網(wǎng)頁的瀏覽，實際上就是數(shù)據(jù)包的交換。2 網(wǎng)絡(luò)嗅探器的作用嗅探器是網(wǎng)絡(luò)的抓包工具，可以對網(wǎng)絡(luò)中大量數(shù)據(jù)抓取，從而方便使用者對網(wǎng)絡(luò)中用戶的一些信息進行分析，所以，通常被黑客運用于網(wǎng)絡(luò)攻擊。我們?nèi)绻材苷莆站W(wǎng)絡(luò)嗅探器

10、的原理和設(shè)計，可以將它運用與網(wǎng)絡(luò)故障檢測、網(wǎng)絡(luò)狀況的監(jiān)視，還可以加強企業(yè)信息安全防護。3 網(wǎng)絡(luò)嗅探器原理嗅探器作為一種網(wǎng)絡(luò)通訊程序，也是通過對網(wǎng)卡的編程來實現(xiàn)網(wǎng)絡(luò)通訊的，對網(wǎng)卡的編程也是使用通常的套接字(socket)方式來進行。但是，通常的套接字程序只能響應(yīng)與自己硬件地址相匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗證投遞地址并非自身地址之后將不引起響應(yīng)，也就是說應(yīng)用程序無法收取到達的數(shù)據(jù)包。而網(wǎng)絡(luò)嗅探器的目的恰恰在于從網(wǎng)卡接收所有經(jīng)過它的數(shù)據(jù)包，這些數(shù)據(jù)包即可以是發(fā)給它的也可以是發(fā)往別處的。顯然，要達到此目的就不能再讓網(wǎng)卡

11、按通常的正常模式工作，而必須將其設(shè)置為混雜模式。具體到編程實現(xiàn)上，這種對網(wǎng)卡混雜模式的設(shè)置是通過原始套接字(raw socket)來實現(xiàn)的，這也有別于通常經(jīng)常使用的數(shù)據(jù)流套接字和數(shù)據(jù)報套接字。在創(chuàng)建了原始套接字后，需要通過setsockopt()函數(shù)來設(shè)置IP頭操作選項，然后再通過bind()函數(shù)將原始套接字綁定到本地網(wǎng)卡。為了讓原始套接字能接受所有的數(shù)據(jù)，還需要通過ioctlsocket()來進行設(shè)置，而且還可以指定是否親自處理IP頭。至此，實際就可以開始對網(wǎng)絡(luò)數(shù)據(jù)包進行嗅探了，對數(shù)據(jù)包的獲取仍象流式套接字或數(shù)據(jù)報套接字那樣通過recv()函數(shù)來完成。但是與其他兩種套接字不同的是，原始套接字

12、此時捕獲到的數(shù)據(jù)包并不僅僅是單純的數(shù)據(jù)信息，而是包含有 IP頭、 TCP頭等信息頭的最原始的數(shù)據(jù)信息，這些信息保留了它在網(wǎng)絡(luò)傳輸時的原貌。通過對這些在低層傳輸?shù)脑夹畔⒌姆治隹梢缘玫接嘘P(guān)網(wǎng)絡(luò)的一些信息。由于這些數(shù)據(jù)經(jīng)過了網(wǎng)絡(luò)層和傳輸層的打包，因此需要根據(jù)其附加的幀頭對數(shù)據(jù)包進行分析。下面給出數(shù)據(jù)包的總體結(jié)構(gòu)：3.1 UDP數(shù)據(jù)段頭 數(shù)據(jù)在從應(yīng)用層到達傳輸層時，將添加TCP數(shù)據(jù)段頭，或是UDP數(shù)據(jù)段頭。其中UDP數(shù)據(jù)段頭比較簡單，由source port(源端口號) 、destination port(目的端口號) 、udp length(udp長度) 、udp checksum(udp校驗和)

13、組成。UDP報頭結(jié)構(gòu)體為：typedef struct udphdr unsigned short sport;/*source port(源端口號)*/unsigned short dport;/*destination port(目的端口號)*/unsigned short len;/*udp length(udp長度)*/unsigned short cksum;/*udp checksum(udp校驗和)*/UDP_HDR;3.2 TCP數(shù)據(jù)段頭TCP數(shù)據(jù)頭則比較復(fù)雜，以20個固定字節(jié)開始，在固定頭后面還可以有一些長度不固定的可選項，由source port(源端口號)、destina

14、tion port(目的端口號) 、順序號、確認(rèn)號、TCP頭長 、校驗和 緊急指針、可選項(0或更多的32位字)、數(shù)據(jù)(可選項)。組成。TCP報頭結(jié)構(gòu)體為：typedef struct tcpheader unsigned short int sport;/*source port (源端口號)*/unsigned short int dport;/*destination port(目的端口號)*/unsigned int th_seq;/*sequence number(包的序列號)*/unsigned int th_ack;/*acknowledgement number(確認(rèn)應(yīng)答號)*

15、/unsigned char th_x:4;/*unused(未使用)*/unsigned char th_off:4;/*data offset(數(shù)據(jù)偏移量)*/unsigned char Flags;/*標(biāo)志全*/unsigned short int th_win;/*windows(窗口)*/unsigned short int th_sum;/*checksum(校驗和)*/unsigned short int th_urp;/*urgent pointer(緊急指針)*/TCP_HDR;3.3 IP數(shù)據(jù)段頭在網(wǎng)絡(luò)層，還要給TCP數(shù)據(jù)包添加一個IP數(shù)據(jù)段頭以組成IP數(shù)據(jù)報。IP數(shù)據(jù)頭以

16、大端點機次序傳送，從左到右，版本字段的高位字節(jié)先傳輸(SPARC是大端點機;Pentium是小端點機)。如果是小端點機，就要在發(fā)送和接收時先行轉(zhuǎn)換然后才能進行傳輸。IP數(shù)據(jù)段頭格由版本 IHL 服務(wù)類型 總長、標(biāo)志、 分段偏移、頭校驗和、源地址、目的地、選項(0或更多)組成。IP數(shù)據(jù)報頭的結(jié)構(gòu)體為：struct ipheader unsigned char ip_hl:4;/*header length(報頭長度）*/unsigned char ip_v:4;/*version(版本)*/unsigned char ip_tos;/*type os service服務(wù)類型*/unsigned

17、short int ip_len;/*total length (總長度)*/unsigned short int ip_id;/*identification (標(biāo)識符)*/unsigned short int ip_off;/*fragment offset field(段移位域)*/unsigned char ip_ttl;/*time to live (生存時間)*/unsigned char ip_p;/*protocol(協(xié)議)*/unsigned short int ip_sum;/*checksum(校驗和)*/unsigned int ip_src;/*source addr

18、ess(源地址)*/unsigned int ip_dst;/*destination address(目的地址)*/ ;4 網(wǎng)絡(luò)嗅探器的設(shè)計在以太網(wǎng)中, 信息是以明文的形式在網(wǎng)絡(luò)上傳輸 , 當(dāng)將網(wǎng)絡(luò)適配器設(shè)置為混雜模式時, 由于采用以太網(wǎng)廣播信道爭用的方式, 使得監(jiān)聽系統(tǒng)與正常通信的網(wǎng)絡(luò)能夠并聯(lián)連接, 并可捕獲任何一個在同一沖突域上傳輸?shù)臄?shù)據(jù)包。IEEE802. 3 標(biāo)準(zhǔn)的以太網(wǎng)采用的是持續(xù)CSMA 的方式, 正是由于以太網(wǎng)采用這種廣播信道爭用的方式, 使得各個站點可以獲得其他站點發(fā)送的數(shù)據(jù)。運用這一原理使信息捕獲系統(tǒng)能夠攔截我所要的信息, 這是捕獲數(shù)據(jù)包的物理基礎(chǔ)。首先,抓包系統(tǒng)必須繞過操

19、作系統(tǒng)的協(xié)議棧來訪問在網(wǎng)絡(luò)上傳輸?shù)脑紨?shù)據(jù)包, 這就要求一部分運行在操作系統(tǒng)核心內(nèi)部, 直接與網(wǎng)絡(luò)接口驅(qū)動交互。這個部分是系統(tǒng)依賴的, 在W inpcap 的解決方案里它被認(rèn)為是一個設(shè)備驅(qū)動, 稱作NPF ( NetgroupPacket F ilter) 。W inpcap 提供了兩個不同的庫: Packet. dll 和W pcap. dll。Wpcap. dll提供了更加友好、功能更加強大的函數(shù)調(diào)用。W inPcap 的優(yōu)勢在于提供了一套標(biāo)準(zhǔn)的抓包接口, 與libpcap 兼容, 可使得原來許多UN IX 平臺下的網(wǎng)絡(luò)分析工具快速移植過來,便于開發(fā)各種網(wǎng)絡(luò)分析工具, 充分考慮了各種性能和

20、效率的優(yōu)化, 包括對于NPF 內(nèi)核層次上的過濾器支持, 支持內(nèi)核態(tài)的統(tǒng)計模式, 提供了發(fā)送數(shù)據(jù)包的能力。前者提供了一個底層AP I, 伴隨著一個獨立于M icrosoft 操作系統(tǒng)的編程接口, 這些AP I可以直接用來訪問驅(qū)動的函數(shù); 后者導(dǎo)出了一組更強大的與libpcap 一致的高層抓包函數(shù)庫( capture prmi itives) 。這些函數(shù)使得數(shù)據(jù)包的捕獲以一種與網(wǎng)絡(luò)硬件和操作系統(tǒng)無關(guān)的方式進行。網(wǎng)絡(luò)嗅探器工作在網(wǎng)絡(luò)環(huán)境的底層, 攔截所有正在網(wǎng)絡(luò)上傳送的數(shù)據(jù), 并且通過相應(yīng)的解析處理, 可以實時分析這些數(shù)據(jù)的內(nèi)容, 進而分析所處的網(wǎng)絡(luò)狀態(tài)和整體拓?fù)洳季帧：讼鄳?yīng)設(shè)備的名稱和描述。取得

21、網(wǎng)卡列表后就在屏幕上顯示出來, 如果網(wǎng)卡沒有被發(fā)現(xiàn)就顯示有關(guān)錯誤, pcap _ findalldevs ( ) 同其他的libpcap函數(shù)一樣有一個errbuf參數(shù), 當(dāng)有異常情況發(fā)生時,這個參數(shù)會被pcap填充為某個特定錯誤字串。程序功能示意如下:獲得網(wǎng)卡的信息后就可以按數(shù)據(jù)捕獲的要求打開網(wǎng)卡。但是 大部分的包捕獲程序都將混雜模式設(shè)為默認(rèn)。數(shù)據(jù)包的過濾通過設(shè)置數(shù)據(jù)流過濾規(guī)則來實現(xiàn)，數(shù)據(jù)包過濾處理時嗅探技術(shù)中的難點和重點，WinPcap提供了最強大的數(shù)據(jù)流過濾引擎。它才用了一種高效的方法來捕獲網(wǎng)絡(luò)數(shù)據(jù)流的某些數(shù)據(jù)且常常和系統(tǒng)的捕獲機制相集成。過濾數(shù)據(jù)的函數(shù)定 UDP的起始位置，就可以解析出原

22、端口和目的端口。數(shù)據(jù)包捕獲流程圖：圖4.1 數(shù)據(jù)包捕獲流程圖4.1 嗅探器設(shè)計需要結(jié)構(gòu)體 嗅探器需要的結(jié)構(gòu)體是由IP數(shù)據(jù)報結(jié)構(gòu)體、TCP報頭結(jié)構(gòu)體、UDP報頭結(jié)構(gòu)體組成。每個結(jié)構(gòu)體如何定義已在網(wǎng)絡(luò)嗅探器的原理中具體講過。4.2 過濾規(guī)則的主要代碼if (sock = socket(AF_INET, SOCK_RAW, IPPROTO_IP)=SOCKET_ERROR)exit(1);gethostname(name, MAX_HOSTNAME_LAN);pHostent = gethostbyname(name);sa.sin_family = AF_INET;sa.sin_port = ht

23、ons(6000);memcpy(&sa.sin_addr.S_un.S_addr, pHostent->h_addr_list0, pHostent->h_length);bind(sock, (SOCKADDR *)&sa, sizeof(sa);/*bind()設(shè)定自己主機的IP地址和端口號*/if (WSAGetLastError()=10013)exit(1);WSAIoctl(sock, SIO_RCVALL, &optval, sizeof(optval), NULL, 0, &dwBytesRet, NULL, NULL);pIphe

24、ader = (struct ipheader *)RecvBuf;pTcpheader = (struct tcpheader *)(RecvBuf+ sizeof(struct ipheader );pUdpheader = (struct udphdr *) (RecvBuf+ sizeof(struct ipheader );while (1)memset(RecvBuf, 0, sizeof(RecvBuf);recv(sock, RecvBuf, sizeof(RecvBuf), 0);saSource.sin_addr.s_addr = pIpheader->ip_src;

25、strncpy(szSourceIP, inet_ntoa(saSource.sin_addr), MAX_ADDR_LEN);saDest.sin_addr.s_addr = pIpheader->ip_dst;strncpy(szDestIP, inet_ntoa(saDest.sin_addr), MAX_ADDR_LEN);lentcp =(ntohs(pIpheader->ip_len)-(sizeof(struct ipheader)+sizeof(struct tcpheader); lenudp =(ntohs(pIpheader->ip_len)-(size

26、of(struct ipheader)+sizeof(struct udphdr);4.3 循環(huán)抓包4.3.1 TCP包if(pIpheader->ip_p)=IPPROTO_TCP&&lentcp!=0)printf("*n");pCount+; datatcp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct tcpheader); printf("-TCP-n");printf("n目的IP地址：%sn",szDestIP);pr

27、intf("n目的端口：%in",ntohs(pTcpheader->dport);printf("datatcp address->%xn",datatcp);printf("size of ipheader->%in",sizeof(struct ipheader);printf("size of tcpheader->%in",sizeof(struct tcpheader);printf("size of the hole packet->%in",ntoh

28、s(pIpheader->ip_len);printf("nchar Packet%i %i="",pCount,lentcp-1);for (i=0;i<lentcp;i+)printf("x%.2x",*(datatcp+i);if (i%10=0)printf(""n"");printf(""nnn");for (i=0;i<lentcp;i+)if( *(datatcp+i)<=127&&*(datatcp+i)>=20)

29、printf("%c",*(datatcp+i);elseprintf(".");printf("nn*n"); 運行后的結(jié)果：圖4.3.1 TCP包運行結(jié)果4.3.2 UDP包if(pIpheader->ip_p)=IPPROTO_UDP&&lentcp!=0)pCount+;dataudp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct udphdr); printf("-UDP-n");printf(&quo

30、t;n目的IP地址：%sn",szDestIP);printf("n目的端口：%dn",ntohs(pTcpheader->dport);printf("UDP數(shù)據(jù)地址：%xn",dataudp);printf("IP頭部長度：%in",sizeof(struct ipheader);printf("UDP頭部長度：%in",sizeof(struct udphdr);printf("包的大小：%in",ntohs(pIpheader->ip_len);printf(&qu

31、ot;nchar Packet%i %i="",pCount,lenudp-1);for (i=0;i<lenudp;i+)printf("x%.2x",*(dataudp+i);if (i%10=0)printf(""n"");printf(""nnn");for (i=0;i<lenudp;i+)if( *(dataudp+i)<=127&&*(dataudp+i)>=20)printf("%c",*(dataudp+i)

32、;elseprintf(".");printf("nn*n"); 運行后的結(jié)果：圖4.3.2 UDP包運行結(jié)果5 總結(jié)通過這次課程設(shè)計，使我更加扎實的掌握了有關(guān)嗅探器方面的知識，在設(shè)計過程中雖然遇到了一些問題，但經(jīng)過一次又一次的思考，一遍又一遍的檢查終于找出了原因所在，也暴露出了前期我在這方面的知識欠缺和經(jīng)驗不足。這次課程設(shè)計不僅培養(yǎng)了我獨立思考、動手操作的能力，在各種其它能力上也都有了提高。從理論到實踐，在這段日子里，不僅可以鞏固了以前所學(xué)過的知識，而且學(xué)到了很多在書本上所沒有學(xué)到過的知識。使我懂得了理論與實際相結(jié)合是很重要的，只有理論知識是遠遠不夠的

33、，只有把所學(xué)的理論知識與實踐相結(jié)合起來，從理論中得出結(jié)論，才能真正為社會服務(wù)，從而提高自己的實際動手能力和獨立思考的能力。此次設(shè)計也讓我明白了思路即出路，有不懂或不明白的地方要及時請教或上網(wǎng)查詢，只要認(rèn)真鉆研，動腦思考，動手實踐，就沒有弄不懂的知識，收獲頗豐。參考文獻：1吳功宜,董大凡王珺等.計算機網(wǎng)絡(luò)高級軟件編程技術(shù)【M】.北京：清華大學(xué)出版社,20082謝小特,王勇軍.基于winPcap的捕包程序設(shè)計【J】.軟件特刊,2007（11）：71-723胡曉元,史浩山.winpcap包截獲系統(tǒng)的分析及其應(yīng)用【J】.計算機工程，2005（1）：96-974趙輝,葉子青.VisualC+系統(tǒng)開發(fā)實例

34、精粹【M】,北京：人民郵電出版社，2005附件：#include <winsock2.h> /*windows socket的頭文件，系統(tǒng)定義的*/ #include <windows.h> #include <ws2tcpip.h> #include <stdio.h>#include <stdlib.h> #pragma comment(lib,"ws2_32.lib") /*鏈接API相關(guān)連的Ws2_32.lib靜態(tài)庫*/ #define MAX_HOSTNAME_LAN 255 #define SIO_RC

35、VALL _WSAIOW(IOC_VENDOR,1) #define MAX_ADDR_LEN 16 struct ipheader unsigned char ip_hl:4; /*header length(報頭長度）*/ unsigned char ip_v:4; /*version(版本)*/ unsigned char ip_tos; /*type os service服務(wù)類型*/ unsigned short int ip_len; /*total length (總長度)*/ unsigned short int ip_id; /*identification (標(biāo)識符)*/ u

36、nsigned short int ip_off; /*fragment offset field(段移位域)*/unsigned char ip_ttl; /*time to live (生存時間)*/ unsigned char ip_p; /*protocol(協(xié)議)*/ unsigned short int ip_sum; /*checksum(校驗和)*/ unsigned int ip_src; /*source address(源地址)*/ unsigned int ip_dst; /*destination address(目的地址)*/ ; /* total ip heade

37、r length: 20 bytes (=160 bits) */ typedef struct tcpheader unsigned short int sport; /*source port (源端口號)*/ unsigned short int dport; /*destination port(目的端口號)*/ unsigned int th_seq; /*sequence number(包的序列號)*/ unsigned int th_ack; /*acknowledgement number(確認(rèn)應(yīng)答號)*/ unsigned char th_x:4; /*unused(未使用)

38、*/ unsigned char th_off:4; /*data offset(數(shù)據(jù)偏移量)*/ unsigned char Flags; /*標(biāo)志全*/ unsigned short int th_win; /*windows(窗口)*/ unsigned short int th_sum; /*checksum(校驗和)*/ unsigned short int th_urp; /*urgent pointer(緊急指針)*/ TCP_HDR; typedef struct udphdr unsigned short sport; /*source port(源端口號)*/ unsign

39、ed short dport; /*destination port(目的端口號)*/ unsigned short len; /*udp length(udp長度)*/ unsigned short cksum; /*udp checksum(udp校驗和)*/ UDP_HDR; void main() SOCKET sock; WSADATA wsd; DWORD dwBytesRet; unsigned int optval = 1; unsigned char *dataudp,*datatcp; int i,pCount=0,lentcp, lenudp; SOCKADDR_IN s

40、a,saSource, saDest; struct hostent FAR * pHostent; char FAR nameMAX_HOSTNAME_LAN; char szSourceIPMAX_ADDR_LEN, szDestIPMAX_ADDR_LEN,RecvBuf65535 = 0; struct udphdr *pUdpheader; struct ipheader *pIpheader; struct tcpheader *pTcpheader; WSAStartup(MAKEWORD(2,1),&wsd); if (sock = socket(AF_INET, SO

41、CK_RAW, IPPROTO_IP)=SOCKET_ERROR) exit(1); gethostname(name, MAX_HOSTNAME_LAN); pHostent = gethostbyname(name); sa.sin_family = AF_INET; sa.sin_port = htons(6000); memcpy(&sa.sin_addr.S_un.S_addr, pHostent->h_addr_list0, pHostent->h_length); bind(sock, (SOCKADDR *)&sa, sizeof(sa); /*bi

42、nd()設(shè)定自己主機的IP地址和端 口號*/ if (WSAGetLastError()=10013) exit(1); WSAIoctl(sock, SIO_RCVALL, &optval, sizeof(optval), NULL, 0, &dwBytesRet, NULL, NULL); pIpheader = (struct ipheader *)RecvBuf; pTcpheader = (struct tcpheader *)(RecvBuf+ sizeof(struct ipheader ); pUdpheader = (struct udphdr *) (Rec

43、vBuf+ sizeof(struct ipheader ); while (1) memset(RecvBuf, 0, sizeof(RecvBuf); recv(sock, RecvBuf, sizeof(RecvBuf), 0); saSource.sin_addr.s_addr = pIpheader->ip_src; strncpy(szSourceIP, inet_ntoa(saSource.sin_addr), MAX_ADDR_LEN); saDest.sin_addr.s_addr = pIpheader->ip_dst; strncpy(szDestIP, in

44、et_ntoa(saDest.sin_addr), MAX_ADDR_LEN); lentcp =(ntohs(pIpheader->ip_len)-(sizeof(struct ipheader)+sizeof(struct tcpheader); lenudp =(ntohs(pIpheader->ip_len)-(sizeof(struct ipheader)+sizeof(struct udphdr); if(pIpheader->ip_p)=IPPROTO_TCP&&lentcp!=0) printf("*n"); pCount+

45、; datatcp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct tcpheader); printf("-TCP-n"); printf("n目的IP地址：%sn",szDestIP); printf("n目的端口：%in",ntohs(pTcpheader->dport); printf("datatcp address->%xn",datatcp); printf("size of ipheader->%in",sizeo