深度剖析WinPcap之(二)

1、工欲善其事，必先利其器。為了有利于深入了解 WinPcap的內(nèi)部機制，我們需要 對網(wǎng)絡(luò)分析與嗅探、網(wǎng)絡(luò)模型與硬件基礎(chǔ)作必要了解。1.1 什么是網(wǎng)絡(luò)分析與嗅探網(wǎng)絡(luò)分析 （Network analysis） （ 也稱為網(wǎng)絡(luò)流量分析、協(xié)議分析、嗅探、數(shù) 據(jù)包分析、竊聽，等等 ） 就是通過捕獲網(wǎng)絡(luò)流量并深入檢查，來決定網(wǎng)絡(luò)中發(fā)生 了什么情況的過程。 一個網(wǎng)絡(luò)分析器對通用協(xié)議的數(shù)據(jù)包進行解碼， 并以可讀的 格式顯示網(wǎng)絡(luò)流量的內(nèi)容。嗅探器（ sniffer ）是一種監(jiān)視網(wǎng)絡(luò)上所傳輸數(shù)據(jù)的 程序。未經(jīng)授權(quán)的嗅探器對網(wǎng)絡(luò)安全構(gòu)成威脅， 因為它們很難被發(fā)現(xiàn)并且可在任 何地方被插入，這使得它們成為黑客最喜歡使用的

2、一種工具。網(wǎng)絡(luò)分析器之間的差別， 在于諸如支持能解碼的協(xié)議數(shù)量、 用戶接口、 圖形 化與統(tǒng)計能力等主要特性的不同。 其它的差別還包括了推理能力 （比如， 專家分 析特性）與數(shù)據(jù)包解碼的質(zhì)量。 盡管幾個不同的網(wǎng)絡(luò)分析器針對同一個協(xié)議進行 解碼，但在實際環(huán)境中可能其中的一些會比另外一些工作得更好。圖 2-1 為 Wireshark 網(wǎng)絡(luò)分析器的顯示窗口。 一個典型的網(wǎng)絡(luò)分析器用三個 窗格顯示所捕獲的網(wǎng)絡(luò)流量：圖2-1 Wireshark網(wǎng)絡(luò)分析器的顯示窗口概要 該窗格對所捕獲的內(nèi)容顯示一行概要。包含日期、時間、源地址、目 標地址、與最高層協(xié)議的名字與信息字段。詳情該窗格提供所捕獲數(shù)據(jù)包所包含的每層

3、細節(jié)信息（采用樹形結(jié)構(gòu)）。數(shù)據(jù)該窗格用十六進制與文本格式顯示原始的被捕獲數(shù)據(jù)。一個網(wǎng)絡(luò)分析器是由硬件與軟件共同組成。可以是一個帶有特定軟件的單獨 硬件設(shè)備，或者是安裝在臺式電腦或膝上電腦之上的一個軟件。 盡管每種產(chǎn)品之 間具有差別，但都是由下列五個基本部分組成。硬件多數(shù)網(wǎng)絡(luò)分析器是基于軟件的，并工作于標準的操作系統(tǒng)與網(wǎng)卡之上。 然而，一些硬件網(wǎng)絡(luò)分析器提供額外的功能，諸如分析硬件故障（比如循環(huán)冗余糾錯（CRC錯誤、電壓問題、網(wǎng)線問題、抖動、逾限（jabber ）、協(xié)商錯誤等 等）。一些網(wǎng)絡(luò)分析器僅支持以太網(wǎng)或無線網(wǎng)適配器，而其它的可支持多重適配器，并允許用戶定制它們的配置。依據(jù)實際情況，可能也

4、需要一個集線器或一個 網(wǎng)線探針（cable tap ）連接已有的網(wǎng)線。捕獲驅(qū)動器 這是網(wǎng)絡(luò)分析器中負責從網(wǎng)線上捕獲原始網(wǎng)絡(luò)流量的部分。它 濾出了所需保持的流量， 并把所捕的獲數(shù)據(jù)保存在一個緩沖區(qū)中。 這是網(wǎng)絡(luò)分析 器的核心沒有它就無法捕獲數(shù)據(jù)。緩沖區(qū) 該組件存儲所捕獲的數(shù)據(jù)。數(shù)據(jù)能夠被存入一個緩沖區(qū)中只到該緩 沖區(qū)被填滿為止， 或者采用循環(huán)緩沖的方式， 那么最新的數(shù)據(jù)將會替換最舊的數(shù) 據(jù)。采用磁盤或內(nèi)存均可實現(xiàn)緩沖區(qū)。實時分析 當數(shù)據(jù)一離開網(wǎng)線，該特性就可對數(shù)據(jù)執(zhí)行分析。一些網(wǎng)絡(luò)分析 器利用該特性發(fā)現(xiàn)網(wǎng)絡(luò)性能問題、同時網(wǎng)絡(luò)入侵檢測系統(tǒng)利用它尋找入侵活動。解碼（ 器） 該組件顯示網(wǎng)絡(luò)流量的內(nèi)容（帶有描述），所