首页 > 数码 > 软件 > winpcap是什么

winpcap是什么

余生都是你 155243 2020-10-12  数据包网络系统 大中小 我要评论()

winpcap是windows平台下一个免费，公共的网络访问系统。开发winpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。它用于windows系统下的直接的网络编程。

winpcap(windows packet capture)是 windows 平台下一个免费，公共的网络访问系统。开发 winpcap 这个项目的目的在于为 win32 应用程序提供访问网络底层的能力。它用于 windows 系统下的直接的网络编程。

winpcap是什么

特点

Winpcap 提供了一个强大的编程接口，它很容易地在各个操作系统之间进行移植，也很方便程序员进行开发。

什么样的程序需要使用 Winpcap

很多不同的工具软件使用 Winpcap 于网络分析，故障排除，网络安全监控等方面。Winpcap 特别适用于下面这几个经典领域：

1、网络及协议分析

2、网络监控

3、通信日志记录

4、traffic generators

5、用户级别的桥路和路由

6、网络入侵检测系统（NIDS）

7、网络扫描

8、安全工具

Winpcap 有些方面不能做。它不依靠主机的诸如 TCP/IP 协议去收发数据包。这意味着它不能阻塞，不能处理同一台主机中各程序之间的通信数据。它只能“嗅探”到物理线路上的数据包。因此它不适用于 traffic shapers，QoS 调度，以及个人防火墙。

Winpcap 内部结构

Winpcap 是一个 Win32 平台下用于抓包和分析的系统。包括一个内核级别的 packet filter，一个底层的 DLL(packet.dll)和一个高级的独立于系统的 DLL（Wpcap.dll）

驱动功能

捕获原始数据包，包括在共享网络上各主机发送/接收的以及相互之间交换的数据包；

在数据包发往应用程序之前，按照自定义的规则将某些特殊的数据包过滤掉；

在网络上发送原始的数据包；

收集网络通信过程中的统计信息。

winpcap 的主要功能在于独立于主机协议（如 TCP-IP)而发送和接收原始数据包。也就是说，winpcap 不能阻塞，过滤或控制其他应用程序数据包的发收，它仅仅只是监听共享网络上传送的数据包。因此，它不能用于 QoS 调度程序或个人防火墙。winpcap 开发的主要对象是 windows NT/2000/XP，这主要是因为在使用 winpcap 的用户中只有一小部分是仅使用 windows 95/98/Me，并且 MS 也已经放弃了对 win9x 的开发。因此本文相关的程序 T-ARP 也是面向 NT/2000/XP 用户的。其实 winpcap 中的面向 9x 系统的概念和 NT 系统的非常相似，只是在某些实现上有点差异，比如说 9x 只支持 ANSI 编码，而 NT 系统则提倡使用 Unicode 编码。有个软件叫 snifferpro.可以作网管软件用，有很多功能，可监视网络运行情况，每台网内机器的数据流量,实时反映每台机器所访问 IP 以及它们之间的数据流通情况，可以抓包，可对过滤器进行设置,以便只抓取想要的包，比如 POP3 包,smtp 包，ftp 包等，并可从中找到邮箱用户名和密码,还有 ftp 用户名和密码。它还可以在使用交换机的网络上监听，不过要在交换机上装它的一个软件。还有一个简单的监听软件叫 Passwordsniffer，可截获邮箱用户名和密码，还有 ftp 用户名和密码，它只能用在 HUB 网络上。著名软件 tcpdump 及 idssnort 都是基于 libpcap 编写的，此外 Nmap 扫描器也是基于 libpcap 来捕获目标主机返回的数据包的。

winpcap 提供给用户两个不同级别的编程接口：一个基于 libpcap 的 wpcap.dll，另一个是较底层的 packet.dll。对于一般的要与 unix 平台上 libpcap 兼容的开发来说，使用 wpcap.dll 是当然的选择。

内部结构

Winpcap 是针对 Win32 平台上的抓包和网络分析的一个架构。它包括一个核心态的包过滤器，一个底层的动态链接库（packet.dll）和一个高层的不依赖于系统的库（wpcap.dll）。

为什么使用“architecture”而不是“library”呢？因为抓包是一个要求与网络适配器（网卡）和操作系统交互的底层机制，而且与网络的实施也有密切关系，所以仅用“library”不能充分表达 Winpcap 的作用。

下图表明了 Winpcap 的各个组成部分：

首先，抓包系统必须绕过操作系统的协议栈来访问在网络上传输的原始数据包（raw packet），这就要求一部分运行在操作系统核心内部，直接与网络接口驱动交互。这个部分是系统依赖（system dependent）的，在 Winpcap 的解决方案里它被认为是一个设备驱动，称作 NPF（Netgroup Packet Filter）。Winpcap 开发小组针对 Windows95，Windows98，WindowsME，Windows NT 4，Windows2000 和 WindowsXP 提供了不同版本的驱动。这些驱动不仅提供了基本的特性（例如抓包和 injection），还有更高级的特性（例如可编程的过滤器系统和监视引擎）。前者可以被用来约束一个抓包会话只针对网络通信中的一个子集（例如，仅仅捕获特殊主机产生的 ftp 通信的数据包），后者提供了一个强大而简单的统计网络通信量的机制（例如，获得网络负载或两个主机间的数据交换量）。

其次，抓包系统必须有用户级的程序接口，通过这些接口，用户程序可以利用内核驱动提供的高级特性。Winpcap 提供了两个不同的库：packet.dll 和 wpcap.dll。前者提供了一个底层 API，伴随着一个独立于 Microsoft 操作系统的编程接口，这些 API 可以直接用来访问驱动的函数；后者导出了一组更强大的与 libpcap 一致的高层抓包函数库（capture primitives）。这些函数使得数据包的捕获以一种与网络硬件和操作系统无关的方式进行。

实例

获得网卡接口。在普通的 SOCKET 编程中，对双网卡编程是不行的。当主机为双网卡时，本程序可分别获得两张网卡各自的描述结构及地址，然后可以对它们分别进行操作。返回的 alldevs 队列首部为逻辑网卡，一般不对它进行什么操作。

获得网卡接口

#include “pcap.h”
void main()
{
pcap_if_t *alldevs;
/*struct pcap_if_t{
pcap_if_t *next;
char *name;
char *description;
pcap_addr *addresses;
U_int falgs;
}
*/
pcap_if_t *d;
int i=0;
char errbuf[PCAP_ERRBUF_SIZE];
/* Retrieve the device list */
if (pcap_findalldevs(&alldevs, errbuf) == -1)//返回网卡列表，alldevs 指向表头
{
fprintf(stderr,”Error in pcap_findalldevs: %sn”, errbuf);
exit(1);
}
/* Print the list */
for(d=alldevs;d;d=d->next)
{
printf(“%d. %s”, ++i, d->name);
if (d->description)
printf(” (%s)n”, d->description);
else printf(” (No description available)n”);
}
if(i==0)
{
printf(“nNo interfaces found! Make sure WinPcap is installed.n”);
return;
}
/* We don’t need any more the device list. Free it */
pcap_freealldevs(alldevs);
}

——————————————————————————–

抓包

本程序俘获局域网内 UDP 报文。
#include “pcap.h”
/* 4 bytes IP address */
typedef struct ip_address{
u_char byte1;
u_char byte2;
u_char byte3;
u_char byte4;
}ip_address;
/* IPv4 header */
typedef struct ip_header{
u_char ver_ihl; // Version (4 bits) + Internet header length (4 bits)
u_char tos; // Type of service
u_short tlen; // Total length
u_short identification; // Identification
u_short flags_fo; // Flags (3 bits) + Fragment offset (13 bits)
u_char ttl; // Time to live
u_char proto; // Protocol
u_short crc; // Header checksum
ip_address saddr; // Source address
ip_address daddr; // Destination address
u_int op_pad; // Option + Padding
}ip_header;
/* UDP header*/
typedef struct udp_header{
u_short sport; // Source port
u_short dport; // Destination port
u_short len; // Datagram length
u_short crc; // Checksum
}udp_header;
/* prototype of the packet handler */
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data);
main()
{
pcap_if_t *alldevs;
pcap_if_t *d;
int inum;
int i=0;
pcap_t *adhandle;
char errbuf[PCAP_ERRBUF_SIZE];
u_int netmask;
char packet_filter[] = “ip and udp”;
struct bpf_program fcode;
/* Retrieve the device list */
if (pcap_findalldevs(&alldevs, errbuf) == -1)
{
fprintf(stderr,”Error in pcap_findalldevs: %sn”, errbuf);
exit(1);
}
/* Print the list */
for(d=alldevs; d; d=d->next)
{
printf(“%d. %s”, ++i, d->name);
if (d->description)
printf(” (%s)n”, d->description);
else
printf(” (No description available)n”);
}
if(i==0)
{
printf(“nNo interfaces found! Make sure WinPcap is installed.n”);
return -1;
}
printf(“Enter the interface number (1-%d):”,i);
scanf(“%d”, &inum);
if(inum < 1 || inum > i)
{
printf(“nInterface number out of range.n”);
/* Free the device list */
pcap_freealldevs(alldevs);
return -1;
}
/* Jump to the selected adapter */
for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++);
/* Open the adapter */
if ( (adhandle= pcap_open_live(d->name, // name of the device
65536, // portion of the packet to capture.
// 65536 grants that the whole packet will be captured on all the MACs.
1, // promiscuous mode
1000, // read timeout
errbuf // error buffer
) ) == NULL)
{
fprintf(stderr,”nUnable to open the adapter. %s is not supported by WinPcapn”);
/* Free the device list */
pcap_freealldevs(alldevs);
return -1;
}
/* Check the link layer. We support only Ethernet for simplicity. */
if(pcap_datalink(adhandle) != DLT_EN10MB)
{
fprintf(stderr,”nThis program works only on Ethernet networks.n”);
/* Free the device list */
pcap_freealldevs(alldevs);
return -1;
}
if(d->addresses != NULL)
/* Retrieve the mask of the first address of the interface */
netmask=((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr;
else
/* If the interface is without addresses we suppose to be in a C class network */
netmask=0xffffff;
//compile the filter
if(pcap_compile(adhandle, &fcode, packet_filter, 1, netmask) <0 ){
fprintf(stderr,”nUnable to compile the packet filter. Check the syntax.n”);
/* Free the device list */
pcap_freealldevs(alldevs);
return -1;
}
//set the filter
if(pcap_setfilter(adhandle, &fcode)<0){
fprintf(stderr,”nError setting the filter.n”);
/* Free the device list */
pcap_freealldevs(alldevs);
return -1;
}
printf(“nlistening on %s…n”, d->description);
/* At this point, we don’t need any more the device list. Free it */
pcap_freealldevs(alldevs);
/* start the capture */
pcap_loop(adhandle, 0, packet_handler, NULL);
return 0;
}
/* Callback function invoked bylibpcapfor every incoming packet */
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
{
struct tm *ltime;
char timestr;
ip_header *ih;
udp_header *uh;
u_int ip_len;
/* convert the timestamp to readable format */
ltime=localtime(&header->v_sec);
strftime( timestr, sizeof timestr, “%H:%M:%S”, ltime);
/* print timestamp and length of the packet */
/* retireve the position of the ip header */
ih = (ip_header *) (pkt_data +
; //length of ethernet header
/* retireve the position of the udp header */
ip_len = (ih->ver_ihl & 0xf) * 4;
uh = (udp_header *) ((u_char*)ih + ip_len);
/* convert from network byte order to host byte order */
printf(“%s.%.6d len:%d “, timestr, header->_usec, header->len);
/* print ip addresses */
printf(“%d.%d.%d.%d -> %d.%d.%d.%dn”,
ih->saddr.byte1,
ih->saddr.byte2,
ih->saddr.byte3,
ih->saddr.byte4,
ih->daddr.byte1,
ih->daddr.byte2,
ih->daddr.byte3,
ih->daddr.byte4
);
}

——————————————————————————–

发包

要在命令行下运行，给与参数：网卡描述符。或者添加代码 findalldevs（），那样应很方便。
#include <stdlib.h>
#include <stdio.h>
#include “pcap.h”
void usage();
void main(int argc, char **argv) {
pcap_t *fp;
char error[PCAP_ERRBUF_SIZE];
u_char packet[100];
int i;
/* Check the validity of the command line */
if (argc != 2)
{
printf(“usage: %s inerface”, argv[0]);
return;
}
/* Open the output adapter */
if((fp =pcap_open_live(argv, 100, 1, 1000, error) ) == NULL)
{
fprintf(stderr,”nError opening adapter: %sn”, error);
return;
}
/* Supposing to be on ethernet, set mac destination to 1:1:1:1:1:1 */
packet[0]=1;
packet=1;
packet=1;
packet=1;
packet=1;
packet=1;
/* set mac source to 2:2:2:2:2:2 */
packet=2;
packet=2;
packet=2;
packet=2;
packet[10]=2;
packet=2;
/* Fill the rest of the packet */
for(i=12;i<100;i++){
packet=i%256;
}
/* Send down the packet */
pcap_sendpacket(fp,
packet,
;
return;
}