简易网络嗅探器的实现

作者: 出处:www.pcptel.com　 ( ) 砖 ( ) 好评论 ( ) 条　进入论坛

更新时间：2005-12-05 11:27
关键词：网络
阅读提示：目前，已经有不少的Sniff工具软件，如Windows环境下，最富盛名的工具是Netxray和Sniffer pro，用它们在 Windows环境下抓包来分析，非常方便。在UNIX环境下如Sniffit，Snoop，Tcpdump，Dsniff 等都是比较常见的。这里介绍一个用C语言和网络数据包和分析开发工具libpcap及winpcap实现的简易网络Sniffer。

本文介绍一个用C语言和网络数据包分析开发工具实现的简易网络Sniffer。目前，已经有不少的Sniff工具软件，如Windows环境下，最富盛名的工具是Netxray和Sniffer pro，用它们在 Windows环境下抓包来分析，非常方便。在UNIX环境下如Sniffit，Snoop，Tcpdump，Dsniff 等都是比较常见的。这里介绍一个用C语言和网络数据包和分析开发工具libpcap及winpcap实现的简易网络Sniffer。
网络嗅探器程序框图
首先给出流程如图1所示。

图1 流程图
　网络嗅探器程序实现
在c环境下编程，源码如下：

/* June 2nd，2002
* Project for graduation qualification By Bby Team 19 */
#include ＜stdio.h＞
#include ＜conio.h＞
//必须加路径，必须把头文件packet32.h包含进去
#include "....Includepacket32.h"
#include "....Includentddndis.h"
#define Max_Num_Adapter 10
// Prototypes原形
//发包
void PrintPackets(LPPACKET lpPacket);
//设备列表
char AdapterList[Max_Num_Adapter][1024];
// 主程序开始
int main()
{
　//define a pointer to an ADAPTER structure设备指针
　LPADAPTER lpAdapter = 0;
　//define a pointer to a PACKET structure包指针
　LPPACKET lpPacket;
　int i;
　DWORD dwErrorCode;
　DWORD dwVersion;
　DWORD dwWindowsMajorVersion;
　//Unicode strings (WinNT)
　WCHAR AdapterName[8192]; //网络适配器设备列表
　WCHAR *temp,*temp1;
　//ASCII strings (Win9x)
　char AdapterNamea[8192]; //网络适配器设备列表
　char *tempa,*temp1a;
　int AdapterNum=0,Open;
　ULONG AdapterLength;
　char buffer[256000]; // 容纳来自驱动器的数据的缓冲区
　struct bpf_stat stat;
　// 获得本机网卡名
　AdapterLength=4096;
　printf("Packet.dll test application. Library version:%sn", PacketGetVersion());
　printf("Adapters installed:n");
　i=0;

下面这段代码是用来在不同版本下得到网络适配器名：
Win9x 和WinNT中的网卡名称是分别用ASCII和UNICODE实现的，
所以首先要得到本地操作系统
的版本号：

dwVersion=GetVersion();
dwWindowsMajorVersion= (DWORD)(LOBYTE(LOWORD(dwVersion)));

这里首先用到的Packet.dll函数是PacketGetAdapterNames（PTSTR pStr，
PULONG BufferSize,通常它是与驱动程序通信并被调用的第一个函数，
它将返回的用户本地系统中安装
的网络适配器的名字放在
缓冲区pStr中；BufferSize是缓冲区的长度：

if (!(dwVersion ＞= 0x80000000 && dwWindowsMajorVersion ＞= 4))
{
　 //是Windows NT
　 // 找不到设备列表
　 if(PacketGetAdapterNames(AdapterName,&AdapterLength)==FALSE){
printf("Unable to retrieve the list of the adapters!n");
return -1;
　 }
　 // 找到设备列表
　 temp=AdapterName;
　 temp1=AdapterName;
　 while ((*temp!='')||(*(temp-1)!=''))
　 {
if (*temp=='')
{
　 memcpy(AdapterList[i],temp1,(temp-temp1)*2);
　 temp1=temp+1;
　 i++;
}
temp++;
　 }
　 // 显示适配器列表
　 AdapterNum=i;
　 for (i=0;i＜AdapterNum;i++)
wprintf(L"n%d- %sn",i+1,AdapterList[i]);
printf("n");
　 }
　 else //否则就是windows 9x，获取适配器名的方法同WinNT下
　 {
if(PacketGetAdapterNames(AdapterNamea,&AdapterLength)==FALSE){
　 printf("Unable to retrieve the list of the adapters!n");
　 return -1;
　 }
　 tempa=AdapterNamea;
　 temp1a=AdapterNamea;
　 while ((*tempa!='')||(*(tempa-1)!=''))
　 {
if (*tempa=='')
{
　 memcpy(AdapterList[i],temp1a,tempa-temp1a);
　 temp1a=tempa+1;
　 i++;
}
tempa++;
　 }
　 AdapterNum=i;
　 for (i=0;i＜AdapterNum;i++)
printf("n%d- %sn",i+1,AdapterList[i]);
printf("n");
}

下面这段代码就是让用户选择监听的网络适配器号：

// 选择设备
do
{
　 printf("Select the number of the adapter to open : ");
　 scanf("%d",&Open);
　 if (Open＞AdapterNum)
printf("nThe number must be smaller than %d",AdapterNum);
} while (Open＞AdapterNum);

然后，将所选择的设备打开，这里可以设置为“混杂”模式打开，
也可以是“直接”模式打开。
代码如下：

// 打开设备
lpAdapter = PacketOpenAdapter(AdapterList[Open-1]);
// 当设备无法打开时，出示错误信息：
if (!lpAdapter || (lpAdapter-＞hFile == INVALID_HANDLE_VALUE))
{
　 dwErrorCode=GetLastError();
　 printf("Unable to open the adapter, Error Code : %lxn",dwErrorCode);
　 return -1;
}

将网卡设置为“混杂”模式，代码如下：
这里用到函数PacketSetHwFilter（LPADAPTER AdapterObject，ULONG Filter），
它在到来的包上设置了一个硬件过滤器，如操作成功，返回TRUE。
AdapterObject是过滤器所在的网卡
设备指针；过滤器的常量Filter定义在头文件ntddndis.h 中，包括有：
·NDIS-PACKET-TYPE-PROMISCUOUS：设置混杂模式，每个到来的包都会被网卡接受；
·NDIS-PACKET-TYPE-DIRECTED：只有直接到主机网卡的包才会被接受；
·NDIS-PACKET-TYPE-BROADCAST：只接受广播包；
·NDIS-PACKET-TYPE-MULTICAST：只接受到主机所在的组的多播包；
·NDIS-PACKET-TYPE-ALL-MULTICAS：接受每个多播的包。

// set the network adapter in promiscuous mode
// 如果混杂模式设置失败，提示错误：
if(PacketSetHwFilter(lpAdapter,NDIS_PACKET_TYPE_PROMISCUOUS)==FALSE){
printf("Warning: unable to set promiscuous mode!n");
}

然后在driver中置512K的缓冲：
这里用到函数PacketSetBuff（LPADAPTER AdapterObject，int dim），
它被用于设置AdapterObject指向的网卡的驱动程序的缓冲区，成功则返回TRUE。
Dim是新的缓冲区的大小，
当它被设定时，旧缓冲区中的数据将被丢弃，其中存储的包也会失去。
需要注意的地方：驱动器缓冲区的大小设置是否恰当，将影响截包进程的性能，
设置应能保证运行快且不会丢包。这里设置的是512000Byte。

// set a 512K buffer in the driver
// 当无法设置缓冲区时，提示错误：
if(PacketSetBuff(lpAdapter,512000)==FALSE){
　 printf("Unable to set the kernel buffer!n");
　 return -1;
}

PacketSetReadTimeout（LPADAPTER AdapterObject，int timeout）
函数的功能是，设置与AdapterObject指定网卡绑定的读操作超时的值，timeout以毫秒为单位，
0表示没有超时，
当没有包到时，read就不返回。

// set a 1 second read timeout
// 设置1秒的读取操作超时
if(PacketSetReadTimeout(lpAdapter,1000)==FALSE){
　 printf("Warning: unable to set the read tiemout!n");
}

接下来，定位设备，代码如下：
这里用到函数PacketAllocatePacket（Void）将在内存中分配一个PACKET结构并返回一个指向它的指针，但这个结构的Buffer字段还没有设定，所以应再调用PacketInitPacket函数来对其进行初始化。

//allocate and initialize a packet structure that will be used to
//receive the packets.
// 当定位失败时，提示错误：
if((lpPacket = PacketAllocatePacket())==NULL){
　 printf("nError: failed to allocate the LPPACKET structure.");
　 return (-1);
}

然后，就可以初始化设备，开始接受网络包了：
用函数PacketInitPacket（LPPACKET lpPacket，PVOID Buffer，UINT Length）来初始化PACKET结构。lpPacket是要被初始化的指针；Buffer为指向用户分配的包含包的数据的缓冲区的指针；Length为缓冲区长度。
需要注意的地方：PACKET结构关联的缓冲区存储由packet capture driver 截获的包，包的数量被缓冲区大小所限制，最大缓冲区的大小就是应用程序从驱动器中一次能读到的数据的多少。所以设置大的缓冲区可减少系统调用的次数，提高截获效率。这里设置的是256K。

PacketInitPacket(lpPacket,(char*)buffer,256000);

接下来，是截包主循环：

//main capture loop

这里又用到函数PacketReceivePacket（LPADAPTER AdapterObject，LPPACKET lpPacket，BOOLEAN Sync），它将接受（截获）一个包的集合。参数包括一个指向用来指定截包的网卡的ADAPTER结构指针、一个指向用来容纳包的PACKET结构、一个指出是同步还是异步方式操作的标记。当操作同步时，函数锁定程序；当操作异步时，函数不锁定程序，必须调用PacketWaitPacket过程来检查是否正确完成。一般采用同步模式。

// 直到有键盘键入：
while(!kbhit())
{
　 // capture the packets 捕获包
　 // 捕获包失败时，提示错误：
　 if(PacketReceivePacket(lpAdapter,lpPacket,TRUE)==FALSE){
printf("Error: PacketReceivePacket failed");
return (-1);
　 }
　 // 打印包中的数据，调用自定义函数PrintPackets（）
　 PrintPackets(lpPacket);
}

最后将得到的统计数据打印出来，代码如下：
这里用到函数PacketGetStats（LPADAPTER AdapterObject，struct bpf_star*s）可以得到两个驱动程序的内部变量的值：从调用PacketOpenAdapter开始，已经被指定网卡接收的包数目；以及已经被网卡接收但被内核丢弃的包数目。这两个值被驱动程序拷贝到应用提供的bpf_stat结构中。

//print the capture statistics
// 得到统计值
// 当无法从内核读取状态时，提示错误：
if(PacketGetStats(lpAdapter,&stat)==FALSE){
　 printf("Warning: unable to get stats from the kernel!n");
}
// 打印“XX包被截取；XX包被丢弃”：
else
printf("nn%d packets received.n%d Packets lost",stat.bs_recv,stat.bs_drop);

这里用函数PacketFreePacket(LPPACKET lpPacket)来释放由lpPacket指向的结构：

// 释放空间
PacketFreePacket(lpPacket);
用函数PacketCloseAdapter(LPADAPTER lpAdapter)来释放ADAPTER结构lpAdapter，并关闭网卡指针：
// close the adapter and exit
// 关闭设备退出
PacketCloseAdapter(lpAdapter);
return (0);
} // 主程序结束

其中用来打印数据报的自定义的函数PrintPackets（）的代码在这里就不详细说明了。
结束语
通过对网络嗅探器的编写，目的使大家知道网络管理的重要性，时刻注意网络信息安全问题，做好信息的加密和解密工作。

滚动新闻　术语词典　问题悬赏

发表

共条查看

评价

叫个好

拍一砖

相关

专题

文档

·网管员成长手记——网络组建、配置与应用
·超级网管员——网络应用
·超级网管员——网络安全
·超级网管员——网络设备
·超级网管员——网络基础

·22.3 使用Network File Monitor Pro同步..
·中国黑客超强X档案第13章：中国黑客的..
·美成立黑客司令部保证本国网络袭击他国
·解决设备内容共享 UPnP协议成为ISO标准
·UTM部署网络安全的优势

相关

博客

帖子

·基于虚拟仪器的网络虚拟实验室构建
·不要被假象迷惑网络安全的七大误区
·网络精华东
·CEAC网络构建试题
·CEAC网络构建试题

·网络掉线问题
·网络----“帧”
·如何学好网络技术
·以crossbeam为硬件平台，整合了checkpoi..
·大型网络的配置实例

相关

白皮书

资料

·Windows XP系统网络不能互访的七大解决..
·CIENA白皮书：数据中心间的存储扩展网络..
·How to 白皮书：如何搭建运营级存储网络
·网络存储白皮书：McDATA的分层式体系结构
·网络存储白皮书：部署广域存储网络的战..

·以crossbeam为硬件平台，整合了checkpoi..
·大型网络的配置实例
·大型网络的配置实例
·网络工程师教程pdf电子书
·美河原创赛迪网络工程师BT 种子

相关

讨论组

技术人

·嵌入式
·爱生活爱网络
·阿刘办公设备维修
·综合布线技术交流
·僖哈组

我也说两句

中国领先的 IT 技术网站 ·
技术成就梦想

·平凡黑客讲述精彩人生（八）有一..
·平凡黑客讲述精彩人生（七）你和..

· “熊猫烧香”病毒制造..
· 中国黑客超强X档案第2..
· 中国黑客超强X档案第2..
· Windows年底再现图片漏..
· MBSA本地审核策略建议
· 年终岁末，注意病毒给..

· 中国黑客超强X档案第2..
· 中国黑客超强X档案第1..
· 中国黑客超强X档案第1..
· 网络掉线问题
· 网络----“帧”
· 如何学好网络技术

排行榜

·ARP攻击防范与解决方案 (查看72126次)
·ARP病毒攻击技术分析与防御 (查看30112次)
·远程控制软件VNC教程和对内网机.. (查看27523次)
·江民“熊猫烧香”专杀工具 (查看27326次)
·ARP病毒解决办法 (查看23025次)

·ARP攻击防范与解决方案 (525个砖)
·51CTO安全专访：信息安全的基石—安全操作系统 (443个砖)
·51CTO调查：七成技术人员不相信“可杀未知病毒” (431个砖)
·病毒查杀专题 (168个砖)
·51CTO专访：优秀杀毒产品应该具备的特征 (163个砖)

·清除流氓软件——51CTO特别专题 (701个好)
·ARP攻击防范与解决方案 (491个好)
·51CTO调查：七成技术人员不相信“可杀未知病毒” (483个好)
·51CTO安全专访：信息安全的基石—安全操作系统 (460个好)
·深入了解PGP加密技术 (181个好)

·CISSP认证成长之路 (09月)
·国内安全厂商新排名出炉谁是你心中的第一 (08月)
·垃圾邮件新对策：远程定制托管服务 (08月)
·冷眼旁观2007年半年安全报告 (07月)
·企业如何选择UTM一体化安全网关 (07月)

·网络应用趣味技术自测：从DNS到Mai..
·一台电脑上安装145个操作系统

· 网络应用趣味技术自测..
· 微软统一沟通视频系列..
· Oracle 11g Linux正式..
· 微软整合Windows Live..
· 鲁毅智：英特尔的非法..
· 中兴声明对菲总统禁令..
· 从交换机原理看网络广..
· 开源软件启用Java的新..

· 7种选择描绘AMD忐忑前途
· 熊猫烧香制造者今日受..
· 微软推新Live Search抗..
· 专家教你写简历系列之..
· Active Directory中的..
· 思科交换机上实现MAC地..
· 微软向OEM厂商提供XP恢..
· ARP攻防实例一：用Sinf..

订阅技术快讯

电子杂志下载

名称：网络安全精品应用黄皮书
简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。

名称：Vista精品应用黄皮书
简介：《Vista精品应用黄皮书》囊括了Vista的各方面内容。此次的精简版，是将里面的内容做了提取，便于用户下载和使用。内容包含了各种Vista的安装与实施、技巧与解析以及各种Vista相关学习文档和相关软件的安全下载。该电子书是了解和应用Vista人员必备的工具手册，并且也是第一本

名称：2006中国IT论坛精品集合
简介：本书由“51CTO论坛推广联盟”制作完成。书中所有内容均来自各联盟成员的论坛（网站）。制作本书的目的是为了集中大家的优势资源，将更多更精彩的内容带给广大技术爱好者。本书是联盟成立以来制作的第一本书。

专题

最多好

最多砖

DB2 9技术资源中.. 推荐阅读
·DB2 Viper快速入门 ·DB2 9数据库的镜像分割与..	·将XML应用程序从DB2 8.x.. ·DB2 9中的pureXML：如何..
51CTO.com编辑部.. 推荐阅读
·服务器中的“傻瓜机”在.. ·盖茨也喜欢登录Youtube看..	· ·

hellen 的博客
· 职场冲浪（之八）：让感.. ·职场冲浪（之七）：潜心..	·人生如鞋 ·职场冲浪(之六):从离梦最..
白璐的博客
·将职业教育职业化 - 各IT.. ·思科交换机上实现MAC地址..	·关于51CTO合作出书中的职.. ·OSPF动态路由协议入门简介

组网建网	安全频道
· NGN:下一代网络 · 网络访问中断大排查 · FTTx光纤接入	· 平凡黑客讲述精彩人生（.. · 平凡黑客讲述精彩人生（.. · 平凡黑客讲述精彩人生（..
编程频道	前沿技术
· C++是垃圾语言？！ · 2007年IT界七大抄袭事件 · Java实用开发全集	· 解析Ajax开发框架走进A.. · 基于Google Maps与Ajax.. · 基于Google Maps与Ajax..
操作系统	服务器
· Ubuntu 中文开源频道 · Solaris基础知识入门 · 微软正式发布英文版Wind..	· 服务器基础知识入门 · Rambus第二？看全缓冲内.. · 服务器节能对比测试：AM..
数据库	存储频道
· 甲骨文Oracle 11g正式发.. · Oracle数据库开发之PL/S.. · Oracle数据库开发基础教..	· 存储2006，一个并购的大.. · IDC宣布浪潮蝉联存储市.. · 双机热备技术