網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)77875

1、計算機網(wǎng)絡(luò) 課 程 設(shè) 計題 目 網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn) 系 (部) 姓 名 學 號 指導教師 2015年7月18日計算機網(wǎng)絡(luò)課程設(shè)計任務書一、設(shè)計題目、內(nèi)容及要求題目:網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)內(nèi)容: 本設(shè)計是關(guān)于網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)，功能包括實現(xiàn)網(wǎng)絡(luò)層抓包，對獲得包的源和目的地址、端口、協(xié)議等進行分析和實現(xiàn)簡單的包嗅探器功能。要求: 1.實現(xiàn)網(wǎng)絡(luò)嗅探器的界面2. 實現(xiàn)抓取數(shù)據(jù)包的功能。3. 實現(xiàn)清空列表功能二、要求的設(shè)計成果（課程設(shè)計說明書、設(shè)計實物、圖紙等） 1課程設(shè)計報告2實現(xiàn)網(wǎng)絡(luò)嗅探器的程序代碼三、進程安排1、設(shè)計工作4學時2、實現(xiàn)與調(diào)試20學時3、課程設(shè)計報告6學時四、主要參考資料

2、1王群 計算機網(wǎng)絡(luò)安全技術(shù)2吳功宜,董大凡王珺等.計算機網(wǎng)絡(luò)高級軟件編程技術(shù)【M】.北京：清華大學出版社,20083謝小特,王勇軍.基于winPcap的捕包程序設(shè)計【J】.軟件特刊,2007（11）：71-724胡曉元,史浩山.winpcap包截獲系統(tǒng)的分析及其應用【J】.計算機工程，2005（1）：96-975趙輝,葉子青.VisualC+系統(tǒng)開發(fā)實例精粹【M】,北京：人民郵電出版社，2005網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)摘要：網(wǎng)絡(luò)嗅探器是對網(wǎng)絡(luò)中的數(shù)據(jù)幀進行捕獲的一種被動監(jiān)聽手段，是一種常用的收集有用數(shù)據(jù)的方法。本設(shè)計是關(guān)于網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)，其功能包括實現(xiàn)網(wǎng)絡(luò)層抓包 ，對獲得包的源和目的地址

3、、端口、協(xié)議等進行分析和實現(xiàn)簡單的包嗅探器功能。關(guān)鍵字：網(wǎng)絡(luò)嗅探器;數(shù)據(jù)包捕獲; 套接字引言由于網(wǎng)絡(luò)技術(shù)的發(fā)展，計算機網(wǎng)絡(luò)的應用越來越廣泛，其作用也越來越重要。計算機網(wǎng)絡(luò)安全問題更加嚴重，網(wǎng)絡(luò)破壞所造成的損失越來越大。但是由于計算機系統(tǒng)中軟硬件的脆弱性和計算機網(wǎng)絡(luò)的脆弱性以及地理分布的位置、自然環(huán)境、自然破壞以及人為因素的影響，不僅增加了信息存儲、處理的風險，也給信息傳送帶來了新的問題。嗅探器是一種常用的收集有用數(shù)據(jù)的方法，可以作為網(wǎng)絡(luò)數(shù)據(jù)包的設(shè)備。嗅探器是通過對網(wǎng)卡的編程來實現(xiàn)網(wǎng)絡(luò)通訊的，對網(wǎng)卡的編程是使用通常的套接字（socket）方式來進行。通常的套接字程序只能響應與自己硬件地址相匹配的

4、或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗證投遞地址并非自身地址之后將不引起響應，也就是說應用程序無法收取到達的數(shù)據(jù)包。而網(wǎng)絡(luò)嗅探器的目的恰恰在于從網(wǎng)卡接收所有經(jīng)過它的數(shù)據(jù)包，這些數(shù)據(jù)包即可以是發(fā)給它的也可以是發(fā)往別處的。1 基本概念1.1 嗅探器每一個在局域網(wǎng)（LAN）上的工作站都有其硬件地址，這些地址唯一地表示了網(wǎng)絡(luò)上的機器。當用戶發(fā)送一個數(shù)據(jù)包時，這些數(shù)據(jù)包就會發(fā)送到LAN上所有可用的機器。在一般情況下，網(wǎng)絡(luò)上所有的機器都可以“聽”到通過的流量，但對不屬于自己的數(shù)據(jù)包則不予響應。嗅探器工作在網(wǎng)絡(luò)的底層，在網(wǎng)絡(luò)上監(jiān)聽數(shù)據(jù)包來獲

5、取敏感信息。從原理上來說，在一個實際的系統(tǒng)中，數(shù)據(jù)的收發(fā)是由網(wǎng)卡來完成的，網(wǎng)卡接收到傳輸來的數(shù)據(jù)，其內(nèi)的單片程序接收數(shù)據(jù)幀的目的MAC地址，根據(jù)計算機上的網(wǎng)卡驅(qū)動程序設(shè)置的接收模式判斷該不該接收，認為該接收就接收后產(chǎn)生中斷信號通知CPU，認為不該接收就丟掉不管，所以不該接收的數(shù)據(jù)網(wǎng)卡就截斷了，計算機根本就不知道。對于網(wǎng)卡來說一般有四種接收模式：a)廣播方式：該模式下的網(wǎng)卡能夠接收網(wǎng)絡(luò)中的廣播信息。b)組播方式：設(shè)置在該模式下的網(wǎng)卡能夠接收組播數(shù)據(jù)。c)直接方式：在這種模式下，只有目的網(wǎng)卡才能接收該數(shù)據(jù)。d)混雜模式：在這種模式下的網(wǎng)卡能夠接收一切通過它的數(shù)據(jù)，而不管該數(shù)據(jù)是否是傳給它的。嗅探程

6、序是一種利用以太網(wǎng)的特性把網(wǎng)絡(luò)適配卡（NIC，一般為以太網(wǎng)卡）置為混雜模式狀態(tài)的工具，一旦網(wǎng)卡設(shè)置為這種模式，它就能接收傳輸在網(wǎng)絡(luò)上的每一個信息包,而不管該數(shù)據(jù)是否傳給它的。1.2 相關(guān)協(xié)議1.2.1 IP協(xié)議網(wǎng)際協(xié)議IP是TCP/IP的心臟，也是網(wǎng)絡(luò)層中最重要的協(xié)議。IP層接收由更低層（網(wǎng)絡(luò)接口層，例如以太網(wǎng)設(shè)備驅(qū)動程序）發(fā)來的數(shù)據(jù)包，并把該數(shù)據(jù)包發(fā)送到更高層-TCP或UDP層；相反，IP層也把從TCP或UDP層接收來的數(shù)據(jù)包傳送到更低層。IP數(shù)據(jù)包是不可靠的，因為IP并沒有做任何事情來確認數(shù)據(jù)包是按順序發(fā)送的或者沒有被破壞。IP數(shù)據(jù)包中含有發(fā)送它的主機的地址（源地址）和接收它的主機的地址（

7、目的地址）。1.2.2 TCP協(xié)議 如果IP數(shù)據(jù)包中有已經(jīng)封好的TCP數(shù)據(jù)包，那么IP將把它們向上傳送到TCP層。TCP將包排序并進行錯誤檢查，同時實現(xiàn)虛電路間的連接。TCP數(shù)據(jù)包中包括序號和確認，所以未按照順序收到的包可以被排序，而損壞的包可以被重傳。 TCP將它的信息送到更高層的應用程序，例如Telnet的服務程序和客戶程序。應用程序輪流將信息送回TCP層，TCP層便將它們向下傳送到IP層，設(shè)備驅(qū)動程序和物理介質(zhì)，最后到接收方。1.2.3 UDP協(xié)議 UDP與TCP位于同一層，但對于數(shù)據(jù)包的順序錯誤或重發(fā)。因此，UDP不被應用于那些使用虛電路的面向連接的服務，UDP主要用于那些面向查詢-應

8、答的服務，例如NFS。相對于FTP或Telnet，這些服務需要交換的信息量較小。使用UDP的服務包括NTP（網(wǎng)落時間協(xié)議）和DNS（DNS也使用TCP）。 欺騙UDP包比欺騙TCP包更容易，因為UDP沒有建立初始化連接（也可以稱為握手）（因為在兩個系統(tǒng)間沒有虛電路），也就是說，與UDP相關(guān)的服務面臨著更大的危險。1.3 數(shù)據(jù)包“包”(Packet)是TCP/IP協(xié)議通信傳輸中的數(shù)據(jù)單位，一般也稱“數(shù)據(jù)包”。 TCP/IP協(xié)議是工作在OSI模型第三層(網(wǎng)絡(luò)層)、第四層(傳輸層)上的，而幀是工作在第二層(數(shù)據(jù)鏈路層)。上一層的內(nèi)容由下一層的內(nèi)容來傳輸，所以在局域網(wǎng)中，“包”是包含在“幀”里的。 數(shù)

9、據(jù)包的結(jié)構(gòu)非常復雜，主要由“目的IP地址”、“源IP地址”、“凈載數(shù)據(jù)”等部分構(gòu)成。正是因為數(shù)據(jù)包具有這樣的結(jié)構(gòu)，安裝了TCP/IP協(xié)議的計算機之間才能相互通信。我們在使用基于TCP/IP協(xié)議的網(wǎng)絡(luò)時，網(wǎng)絡(luò)中其實傳遞的就是數(shù)據(jù)包。比如說當你上網(wǎng)時打開某個網(wǎng)頁，這個簡單的動作，就是你先發(fā)送數(shù)據(jù)包給那個網(wǎng)站，它接收到了之后，根據(jù)你發(fā)送的數(shù)據(jù)包的IP地址，返回給你網(wǎng)頁的數(shù)據(jù)包，也就是說，網(wǎng)頁的瀏覽，實際上就是數(shù)據(jù)包的交換。2 網(wǎng)絡(luò)嗅探器的作用嗅探器是網(wǎng)絡(luò)的抓包工具，可以對網(wǎng)絡(luò)中大量數(shù)據(jù)抓取，從而方便使用者對網(wǎng)絡(luò)中用戶的一些信息進行分析，所以，通常被黑客運用于網(wǎng)絡(luò)攻擊。我們?nèi)绻材苷莆站W(wǎng)絡(luò)嗅探器的原理

10、和設(shè)計，可以將它運用與網(wǎng)絡(luò)故障檢測、網(wǎng)絡(luò)狀況的監(jiān)視，還可以加強企業(yè)信息安全防護。3 網(wǎng)絡(luò)嗅探器原理嗅探器作為一種網(wǎng)絡(luò)通訊程序，也是通過對網(wǎng)卡的編程來實現(xiàn)網(wǎng)絡(luò)通訊的，對網(wǎng)卡的編程也是使用通常的套接字(socket)方式來進行。但是，通常的套接字程序只能響應與自己硬件地址相匹配的或是以廣播形式發(fā)出的數(shù)據(jù)幀，對于其他形式的數(shù)據(jù)幀比如已到達網(wǎng)絡(luò)接口但卻不是發(fā)給此地址的數(shù)據(jù)幀，網(wǎng)絡(luò)接口在驗證投遞地址并非自身地址之后將不引起響應，也就是說應用程序無法收取到達的數(shù)據(jù)包。而網(wǎng)絡(luò)嗅探器的目的恰恰在于從網(wǎng)卡接收所有經(jīng)過它的數(shù)據(jù)包，這些數(shù)據(jù)包即可以是發(fā)給它的也可以是發(fā)往別處的。顯然，要達到此目的就不能再讓網(wǎng)卡按通常

11、的正常模式工作，而必須將其設(shè)置為混雜模式。具體到編程實現(xiàn)上，這種對網(wǎng)卡混雜模式的設(shè)置是通過原始套接字(raw socket)來實現(xiàn)的，這也有別于通常經(jīng)常使用的數(shù)據(jù)流套接字和數(shù)據(jù)報套接字。在創(chuàng)建了原始套接字后，需要通過setsockopt()函數(shù)來設(shè)置IP頭操作選項，然后再通過bind()函數(shù)將原始套接字綁定到本地網(wǎng)卡。為了讓原始套接字能接受所有的數(shù)據(jù)，還需要通過ioctlsocket()來進行設(shè)置，而且還可以指定是否親自處理IP頭。至此，實際就可以開始對網(wǎng)絡(luò)數(shù)據(jù)包進行嗅探了，對數(shù)據(jù)包的獲取仍象流式套接字或數(shù)據(jù)報套接字那樣通過recv()函數(shù)來完成。但是與其他兩種套接字不同的是，原始套接字此時捕

12、獲到的數(shù)據(jù)包并不僅僅是單純的數(shù)據(jù)信息，而是包含有 IP頭、 TCP頭等信息頭的最原始的數(shù)據(jù)信息，這些信息保留了它在網(wǎng)絡(luò)傳輸時的原貌。通過對這些在低層傳輸?shù)脑夹畔⒌姆治隹梢缘玫接嘘P(guān)網(wǎng)絡(luò)的一些信息。由于這些數(shù)據(jù)經(jīng)過了網(wǎng)絡(luò)層和傳輸層的打包，因此需要根據(jù)其附加的幀頭對數(shù)據(jù)包進行分析。下面給出數(shù)據(jù)包的總體結(jié)構(gòu)：3.1 UDP數(shù)據(jù)段頭 數(shù)據(jù)在從應用層到達傳輸層時，將添加TCP數(shù)據(jù)段頭，或是UDP數(shù)據(jù)段頭。其中UDP數(shù)據(jù)段頭比較簡單，由source port(源端口號) 、destination port(目的端口號) 、udp length(udp長度) 、udp checksum(udp校驗和)組成。

13、UDP報頭結(jié)構(gòu)體為：typedef struct udphdr unsigned short sport;/*source port(源端口號)*/unsigned short dport;/*destination port(目的端口號)*/unsigned short len;/*udp length(udp長度)*/unsigned short cksum;/*udp checksum(udp校驗和)*/UDP_HDR;3.2 TCP數(shù)據(jù)段頭TCP數(shù)據(jù)頭則比較復雜，以20個固定字節(jié)開始，在固定頭后面還可以有一些長度不固定的可選項，由source port(源端口號)、destinatio

14、n port(目的端口號) 、順序號、確認號、TCP頭長 、校驗和 緊急指針、可選項(0或更多的32位字)、數(shù)據(jù)(可選項)。組成。TCP報頭結(jié)構(gòu)體為：typedef struct tcpheader unsigned short int sport;/*source port (源端口號)*/unsigned short int dport;/*destination port(目的端口號)*/unsigned int th_seq;/*sequence number(包的序列號)*/unsigned int th_ack;/*acknowledgement number(確認應答號)*/un

15、signed char th_x:4;/*unused(未使用)*/unsigned char th_off:4;/*data offset(數(shù)據(jù)偏移量)*/unsigned char Flags;/*標志全*/unsigned short int th_win;/*windows(窗口)*/unsigned short int th_sum;/*checksum(校驗和)*/unsigned short int th_urp;/*urgent pointer(緊急指針)*/TCP_HDR;3.3 IP數(shù)據(jù)段頭在網(wǎng)絡(luò)層，還要給TCP數(shù)據(jù)包添加一個IP數(shù)據(jù)段頭以組成IP數(shù)據(jù)報。IP數(shù)據(jù)頭以大端點

16、機次序傳送，從左到右，版本字段的高位字節(jié)先傳輸(SPARC是大端點機;Pentium是小端點機)。如果是小端點機，就要在發(fā)送和接收時先行轉(zhuǎn)換然后才能進行傳輸。IP數(shù)據(jù)段頭格由版本 IHL 服務類型 總長、標志、 分段偏移、頭校驗和、源地址、目的地、選項(0或更多)組成。IP數(shù)據(jù)報頭的結(jié)構(gòu)體為：struct ipheader unsigned char ip_hl:4;/*header length(報頭長度）*/unsigned char ip_v:4;/*version(版本)*/unsigned char ip_tos;/*type os service服務類型*/unsigned sho

17、rt int ip_len;/*total length (總長度)*/unsigned short int ip_id;/*identification (標識符)*/unsigned short int ip_off;/*fragment offset field(段移位域)*/unsigned char ip_ttl;/*time to live (生存時間)*/unsigned char ip_p;/*protocol(協(xié)議)*/unsigned short int ip_sum;/*checksum(校驗和)*/unsigned int ip_src;/*source address

18、(源地址)*/unsigned int ip_dst;/*destination address(目的地址)*/ ;4 網(wǎng)絡(luò)嗅探器的設(shè)計在以太網(wǎng)中, 信息是以明文的形式在網(wǎng)絡(luò)上傳輸 , 當將網(wǎng)絡(luò)適配器設(shè)置為混雜模式時, 由于采用以太網(wǎng)廣播信道爭用的方式, 使得監(jiān)聽系統(tǒng)與正常通信的網(wǎng)絡(luò)能夠并聯(lián)連接, 并可捕獲任何一個在同一沖突域上傳輸?shù)臄?shù)據(jù)包。IEEE802. 3 標準的以太網(wǎng)采用的是持續(xù)CSMA 的方式, 正是由于以太網(wǎng)采用這種廣播信道爭用的方式, 使得各個站點可以獲得其他站點發(fā)送的數(shù)據(jù)。運用這一原理使信息捕獲系統(tǒng)能夠攔截我所要的信息, 這是捕獲數(shù)據(jù)包的物理基礎(chǔ)。首先,抓包系統(tǒng)必須繞過操作系統(tǒng)

19、的協(xié)議棧來訪問在網(wǎng)絡(luò)上傳輸?shù)脑紨?shù)據(jù)包, 這就要求一部分運行在操作系統(tǒng)核心內(nèi)部, 直接與網(wǎng)絡(luò)接口驅(qū)動交互。這個部分是系統(tǒng)依賴的, 在W inpcap 的解決方案里它被認為是一個設(shè)備驅(qū)動, 稱作NPF ( NetgroupPacket F ilter) 。W inpcap 提供了兩個不同的庫: Packet. dll 和W pcap. dll。Wpcap. dll提供了更加友好、功能更加強大的函數(shù)調(diào)用。W inPcap 的優(yōu)勢在于提供了一套標準的抓包接口, 與libpcap 兼容, 可使得原來許多UN IX 平臺下的網(wǎng)絡(luò)分析工具快速移植過來,便于開發(fā)各種網(wǎng)絡(luò)分析工具, 充分考慮了各種性能和效率的

20、優(yōu)化, 包括對于NPF 內(nèi)核層次上的過濾器支持, 支持內(nèi)核態(tài)的統(tǒng)計模式, 提供了發(fā)送數(shù)據(jù)包的能力。前者提供了一個底層AP I, 伴隨著一個獨立于M icrosoft 操作系統(tǒng)的編程接口, 這些AP I可以直接用來訪問驅(qū)動的函數(shù); 后者導出了一組更強大的與libpcap 一致的高層抓包函數(shù)庫( capture prmi itives) 。這些函數(shù)使得數(shù)據(jù)包的捕獲以一種與網(wǎng)絡(luò)硬件和操作系統(tǒng)無關(guān)的方式進行。網(wǎng)絡(luò)嗅探器工作在網(wǎng)絡(luò)環(huán)境的底層, 攔截所有正在網(wǎng)絡(luò)上傳送的數(shù)據(jù), 并且通過相應的解析處理, 可以實時分析這些數(shù)據(jù)的內(nèi)容, 進而分析所處的網(wǎng)絡(luò)狀態(tài)和整體拓撲布局。含了相應設(shè)備的名稱和描述。取得網(wǎng)卡列

21、表后就在屏幕上顯示出來, 如果網(wǎng)卡沒有被發(fā)現(xiàn)就顯示有關(guān)錯誤, pcap _ findalldevs ( ) 同其他的libpcap函數(shù)一樣有一個errbuf參數(shù), 當有異常情況發(fā)生時,這個參數(shù)會被pcap填充為某個特定錯誤字串。程序功能示意如下:獲得網(wǎng)卡的信息后就可以按數(shù)據(jù)捕獲的要求打開網(wǎng)卡。但是 大部分的包捕獲程序都將混雜模式設(shè)為默認。數(shù)據(jù)包的過濾通過設(shè)置數(shù)據(jù)流過濾規(guī)則來實現(xiàn)，數(shù)據(jù)包過濾處理時嗅探技術(shù)中的難點和重點，WinPcap提供了最強大的數(shù)據(jù)流過濾引擎。它才用了一種高效的方法來捕獲網(wǎng)絡(luò)數(shù)據(jù)流的某些數(shù)據(jù)且常常和系統(tǒng)的捕獲機制相集成。過濾數(shù)據(jù)的函數(shù)定 UDP的起始位置，就可以解析出原端口和

22、目的端口。數(shù)據(jù)包捕獲流程圖：圖4.1 數(shù)據(jù)包捕獲流程圖4.1 嗅探器設(shè)計需要結(jié)構(gòu)體 嗅探器需要的結(jié)構(gòu)體是由IP數(shù)據(jù)報結(jié)構(gòu)體、TCP報頭結(jié)構(gòu)體、UDP報頭結(jié)構(gòu)體組成。每個結(jié)構(gòu)體如何定義已在網(wǎng)絡(luò)嗅探器的原理中具體講過。4.2 過濾規(guī)則的主要代碼if (sock = socket(AF_INET, SOCK_RAW, IPPROTO_IP)=SOCKET_ERROR)exit(1);gethostname(name, MAX_HOSTNAME_LAN);pHostent = gethostbyname(name);sa.sin_family = AF_INET;sa.sin_port = htons

23、(6000);memcpy(&sa.sin_addr.S_un.S_addr, pHostent-h_addr_list0, pHostent-h_length);bind(sock, (SOCKADDR *)&sa, sizeof(sa);/*bind()設(shè)定自己主機的IP地址和端口號*/if (WSAGetLastError()=10013)exit(1);WSAIoctl(sock, SIO_RCVALL, &optval, sizeof(optval), NULL, 0, &dwBytesRet, NULL, NULL);pIpheader = (struct ipheader *)R

24、ecvBuf;pTcpheader = (struct tcpheader *)(RecvBuf+ sizeof(struct ipheader );pUdpheader = (struct udphdr *) (RecvBuf+ sizeof(struct ipheader );while (1)memset(RecvBuf, 0, sizeof(RecvBuf);recv(sock, RecvBuf, sizeof(RecvBuf), 0);saSource.sin_addr.s_addr = pIpheader-ip_src;strncpy(szSourceIP, inet_ntoa(s

25、aSource.sin_addr), MAX_ADDR_LEN);saDest.sin_addr.s_addr = pIpheader-ip_dst;strncpy(szDestIP, inet_ntoa(saDest.sin_addr), MAX_ADDR_LEN);lentcp =(ntohs(pIpheader-ip_len)-(sizeof(struct ipheader)+sizeof(struct tcpheader); lenudp =(ntohs(pIpheader-ip_len)-(sizeof(struct ipheader)+sizeof(struct udphdr);4

26、.3 循環(huán)抓包4.3.1 TCP包if(pIpheader-ip_p)=IPPROTO_TCP&lentcp!=0)printf(*n);pCount+; datatcp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct tcpheader); printf(-TCP-n);printf(n目的IP地址：%sn,szDestIP);printf(n目的端口：%in,ntohs(pTcpheader-dport);printf(datatcp address-%xn,datatcp);printf(size of ip

27、header-%in,sizeof(struct ipheader);printf(size of tcpheader-%in,sizeof(struct tcpheader);printf(size of the hole packet-%in,ntohs(pIpheader-ip_len);printf(nchar Packet%i %i=,pCount,lentcp-1);for (i=0;ilentcp;i+)printf(x%.2x,*(datatcp+i);if (i%10=0)printf(n);printf(;nnn);for (i=0;ilentcp;i+)if( *(dat

28、atcp+i)=20)printf(%c,*(datatcp+i);elseprintf(.);printf(nn*n); 運行后的結(jié)果：圖4.3.1 TCP包運行結(jié)果4.3.2 UDP包if(pIpheader-ip_p)=IPPROTO_UDP&lentcp!=0)pCount+;dataudp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct udphdr); printf(-UDP-n);printf(n目的IP地址：%sn,szDestIP);printf(n目的端口：%dn,ntohs(pTcpheade

29、r-dport);printf(UDP數(shù)據(jù)地址：%xn,dataudp);printf(IP頭部長度：%in,sizeof(struct ipheader);printf(UDP頭部長度：%in,sizeof(struct udphdr);printf(包的大?。?in,ntohs(pIpheader-ip_len);printf(nchar Packet%i %i=,pCount,lenudp-1);for (i=0;ilenudp;i+)printf(x%.2x,*(dataudp+i);if (i%10=0)printf(n);printf(;nnn);for (i=0;ilenudp;

30、i+)if( *(dataudp+i)=20)printf(%c,*(dataudp+i);elseprintf(.);printf(nn*n); 運行后的結(jié)果：圖4.3.2 UDP包運行結(jié)果5 總結(jié)通過這次課程設(shè)計，使我更加扎實的掌握了有關(guān)嗅探器方面的知識，在設(shè)計過程中雖然遇到了一些問題，但經(jīng)過一次又一次的思考，一遍又一遍的檢查終于找出了原因所在，也暴露出了前期我在這方面的知識欠缺和經(jīng)驗不足。這次課程設(shè)計不僅培養(yǎng)了我獨立思考、動手操作的能力，在各種其它能力上也都有了提高。從理論到實踐，在這段日子里，不僅可以鞏固了以前所學過的知識，而且學到了很多在書本上所沒有學到過的知識。使我懂得了理論與實際

31、相結(jié)合是很重要的，只有理論知識是遠遠不夠的，只有把所學的理論知識與實踐相結(jié)合起來，從理論中得出結(jié)論，才能真正為社會服務，從而提高自己的實際動手能力和獨立思考的能力。此次設(shè)計也讓我明白了思路即出路，有不懂或不明白的地方要及時請教或上網(wǎng)查詢，只要認真鉆研，動腦思考，動手實踐，就沒有弄不懂的知識，收獲頗豐。參考文獻：1吳功宜,董大凡王珺等.計算機網(wǎng)絡(luò)高級軟件編程技術(shù)【M】.北京：清華大學出版社,20082謝小特,王勇軍.基于winPcap的捕包程序設(shè)計【J】.軟件特刊,2007（11）：71-723胡曉元,史浩山.winpcap包截獲系統(tǒng)的分析及其應用【J】.計算機工程，2005（1）：96-974

32、趙輝,葉子青.VisualC+系統(tǒng)開發(fā)實例精粹【M】,北京：人民郵電出版社，2005附件：#include /*windows socket的頭文件，系統(tǒng)定義的*/ #include #include #include #include #pragma comment(lib,ws2_32.lib) /*鏈接API相關(guān)連的Ws2_32.lib靜態(tài)庫*/ #define MAX_HOSTNAME_LAN 255 #define SIO_RCVALL _WSAIOW(IOC_VENDOR,1) #define MAX_ADDR_LEN 16 struct ipheader unsigned cha

33、r ip_hl:4; /*header length(報頭長度）*/ unsigned char ip_v:4; /*version(版本)*/ unsigned char ip_tos; /*type os service服務類型*/ unsigned short int ip_len; /*total length (總長度)*/ unsigned short int ip_id; /*identification (標識符)*/ unsigned short int ip_off; /*fragment offset field(段移位域)*/unsigned char ip_ttl;

34、/*time to live (生存時間)*/ unsigned char ip_p; /*protocol(協(xié)議)*/ unsigned short int ip_sum; /*checksum(校驗和)*/ unsigned int ip_src; /*source address(源地址)*/ unsigned int ip_dst; /*destination address(目的地址)*/ ; /* total ip header length: 20 bytes (=160 bits) */ typedef struct tcpheader unsigned short int s

35、port; /*source port (源端口號)*/ unsigned short int dport; /*destination port(目的端口號)*/ unsigned int th_seq; /*sequence number(包的序列號)*/ unsigned int th_ack; /*acknowledgement number(確認應答號)*/ unsigned char th_x:4; /*unused(未使用)*/ unsigned char th_off:4; /*data offset(數(shù)據(jù)偏移量)*/ unsigned char Flags; /*標志全*/

36、unsigned short int th_win; /*windows(窗口)*/ unsigned short int th_sum; /*checksum(校驗和)*/ unsigned short int th_urp; /*urgent pointer(緊急指針)*/ TCP_HDR; typedef struct udphdr unsigned short sport; /*source port(源端口號)*/ unsigned short dport; /*destination port(目的端口號)*/ unsigned short len; /*udp length(ud

37、p長度)*/ unsigned short cksum; /*udp checksum(udp校驗和)*/ UDP_HDR; void main() SOCKET sock; WSADATA wsd; DWORD dwBytesRet; unsigned int optval = 1; unsigned char *dataudp,*datatcp; int i,pCount=0,lentcp, lenudp; SOCKADDR_IN sa,saSource, saDest; struct hostent FAR * pHostent; char FAR nameMAX_HOSTNAME_LA

38、N; char szSourceIPMAX_ADDR_LEN, szDestIPMAX_ADDR_LEN,RecvBuf65535 = 0; struct udphdr *pUdpheader; struct ipheader *pIpheader; struct tcpheader *pTcpheader; WSAStartup(MAKEWORD(2,1),&wsd); if (sock = socket(AF_INET, SOCK_RAW, IPPROTO_IP)=SOCKET_ERROR) exit(1); gethostname(name, MAX_HOSTNAME_LAN); pHo

39、stent = gethostbyname(name); sa.sin_family = AF_INET; sa.sin_port = htons(6000); memcpy(&sa.sin_addr.S_un.S_addr, pHostent-h_addr_list0, pHostent-h_length); bind(sock, (SOCKADDR *)&sa, sizeof(sa); /*bind()設(shè)定自己主機的IP地址和端 口號*/ if (WSAGetLastError()=10013) exit(1); WSAIoctl(sock, SIO_RCVALL, &optval, si

40、zeof(optval), NULL, 0, &dwBytesRet, NULL, NULL); pIpheader = (struct ipheader *)RecvBuf; pTcpheader = (struct tcpheader *)(RecvBuf+ sizeof(struct ipheader ); pUdpheader = (struct udphdr *) (RecvBuf+ sizeof(struct ipheader ); while (1) memset(RecvBuf, 0, sizeof(RecvBuf); recv(sock, RecvBuf, sizeof(Re

41、cvBuf), 0); saSource.sin_addr.s_addr = pIpheader-ip_src; strncpy(szSourceIP, inet_ntoa(saSource.sin_addr), MAX_ADDR_LEN); saDest.sin_addr.s_addr = pIpheader-ip_dst; strncpy(szDestIP, inet_ntoa(saDest.sin_addr), MAX_ADDR_LEN); lentcp =(ntohs(pIpheader-ip_len)-(sizeof(struct ipheader)+sizeof(struct tcpheader); lenudp =(ntohs(pIpheader-ip_len)-(sizeof(struct ipheader)+si