前言   源地址:http://bbs.eeworld.com.cn/thread-374621-1-1.html
  随着网络入侵的不断发展,网络安全变得越来越重要,于是网络入侵取证系统的研究也变得日益重要。在网络入侵取证系统中,对网络上传送的数据包进行有效的监听即捕获包是目前取证的关键技术,只有进行高效的数据包捕获,网络管理员才能对所捕获的数据进行一系列的分析,从而进行可靠的网络安全管理。
1winpcap简介
  WinPcap 是由伯克利分组捕获库派生而来的分组捕获库,它是在Windows 操作平台上来实现对底层包的截取过滤。WinPcap 为用户级的数据包提供了Windows 下 的一个平台。WinPcap 是 BPF 模型和 Libpcap 函数库在 Windows 平台下网络数据包捕获和网络状态分析的一种体系结构,这个 体系结构是由一个核心的包过滤驱动程序,一个底层的动态连接库 Packet.dll 和一个高层的独立于系统的函数库 Libpcap 组成。底层的包 捕获驱动程序实际为一个协议网 络驱动程序,通过对 NDIS 中函数的调用为 Win95、Win98、WinNT、和 Win2000 提供一类似于 UNIX 系统 下 Berkeley Packet Filter 的捕获和发送原始数据包的能力。Packet.dll 是对这个 BPF 驱动程序进行访问 的 API 接口,同时它有一套符合 Libpcap 接口(UNIX 下的捕获函数库)的函数库。WinPcap的结构图如图1。
   WinPcap 包括三个部分:第一个模块NPF(Netgroup Packet Filter),是一个虚拟设备驱动程序文件。它的功能是过滤数据 包,并把这些数据包原封不动地传给用户态模块,这个过程中包括了一些操作系统特有的代码。第二个模块packet.dll为win32平台提供了一个公共 的接口。不同版本的Windows系统都有自己的内核模块和用户层模块。Packet.dll用于解决这些不同。调用Packet.dll的程序可以运行 在不同版本的Windows平台上,而无需重新编译。 第三个模块 Wpcap.dll是不依赖于操作系统的。它提供了更加高层、抽象的函数。 
   packet.dll和Wpcap.dll:packet.dll直接映射了内核的调用。 Wpcap.dll提供了更加友好、功能更加强大的函数调 用。WinPcap的优势提供了一套标准的抓包接口,与libpcap兼容,可使得原来许多UNIX平台下的网络分析工具快速移植过来便于开发各种网络分 析工具,充分考虑了各种性能和效率的优化,包括对于NPF内核层次上的过滤器支持,支持内核态的统计模式,提供了发送数据包的能力。
2、网络数据包捕获的原理
  以太网(Ethernet)具有共享介质的特征,信息是以明文的形式在网 络上传输,当网络适配器设置为监听模式(混杂模式,Promiscuous)时,由于采用以太网广播信道争用的方式,使得监听系统与正常通信的网络能够并 联连接,并可以捕获任何一个在同一冲突域上传输的数据包。IEEE802.3 标准的以太网采用的是持续 CSMA 的方式,正是由于以太网采用这种广播信道争用的方式,使得各个站点可以获得其他站点发送的数据。运用这一原理使信息捕获系统能够拦截的我们所要的信息,这 是捕获数据包的物理基础。
以太网是一种总线型的网络,从逻辑上来看是由一条总线和多个连接在总线上的站点所组成各个站点采用上面提到的 CSMA/CD 协议进 行信道的争用和共享。每个站点(这里特指计算机通过的接口卡)网卡来实现这种功能。网卡主要的工作是完成对于总线当前状态的探测,确定是否进行数据的传 送,判断每个物理数据帧目的地是否为本站地址,如果不匹配,则说明不是发送到本站的而将它丢弃。如果是的话,接收该数据帧,进行物理数据帧的 CRC 校验,然后将数据帧提交给LLC 子层。
  网卡具有如下的几种工作模式:
1) 广播模式(Broad Cast Model):它的物理地址(MAC)地址是 0Xffffff 的帧为广播帧,工作在广播模式的网卡接收广播帧。
2)多播传送(MultiCast Model):多播传送地址作为目的物理地址的帧可以被组内的其它主机同时接收,而组外主机却接收不到。但是,如果将网卡设置为多播传送模式,它可以接收所有的多播传送帧,而不论它是不是组内成员。
3)直接模式(Direct Model):工作在直接模式下的网卡只接收目地址是自己 Mac地址的帧。
4)混杂模式(Promiscuous Model):工作在混杂模式下的网卡接收所有的流过网卡的帧,信包捕获程序就是在这种模式下运行的。
网卡的缺省工作模式包含广播模式和直接模式,即它只接收广播帧和发给自己的帧。如果采用混杂模式,一个站点的网卡将接受同一网络内所有站点所发送的数据包这样就可以到达对于网络信息监视捕获的目的。
3、在windows情况下捕获数据包的结构
               图2捕获数据包的结构图
Wndows下捕获数据包的结构如图2,其中NDIS及其特点是:
 NDIS(Network Driver Interface Specification) 是 Microsoft 和 3Com 公司联合制定的网络驱动规范,并提供了大量的操作函数。它为上层的协议驱 动提供服务,屏蔽了下层各种网卡的差别。NDIS 向上支持多种网络协议,比如 TCP/IP、NWLink IPX/SPX、NETBEUI 等,向下支持不同厂家生产的多种网卡。NDIS 还支持多种工作模式,支持多处理器,提供一个完备的 NDIS 库(Library)。 但库中所提供的各个函数都是工作在核心模式下的,用户不宜直接操作,这就需要寻找另外的接口。NDIS驱动程序的结构如图3。
4、利用winpcap进行网络数据包的捕获和过滤的设计步骤
1)打开网卡,并设为混杂模式。
2)回调函数 Network Tap 在得到监听命令后,从网络设备驱动程序处收集数据包把监听到的数据包负责传送给过滤程序。
3)当 Packet filter 监听到有数据包到达时,NDIS 中间驱动程序首先调用分组驱动程序,该程序将数据传递给每一个参与进程的分组过滤程序。
4)然后由 Packet filter 过滤程序决定哪些数据包应该丢弃,哪些数据包应该接收,是否需要将接收到的数据拷贝到相应的应用程序。
5)通过分组过滤器后,将数据未过滤掉的数据包提交给核心缓冲区。然后等待系统缓冲区满后,再将数据包拷贝到用户缓冲区。监听程序可以直接从用户缓冲区中读取捕获的数据包。
6)关闭网卡。
5、主要源代码
  根据用 Windows 分组捕获库 WinPcap 提供功能首先要初始化两个结构体,一个是适配器的结构体 LpAdapter, 一个是存放接收到的数据包的结构体 RecvPacket。
使用 Packet.dll 动态连接库编写源代码:
  #define MAX__LINK__NAME__LENGTH 64
适配器结构:
   typedef struct__ADAPTER
{
   HANDLE hFile;
   TCHAR Symboliclink[MAX__LINK__NAME__LENGTH];
   Int NumWrites;
  } ADAPTER , *LPADAPTER;
说明:hFile 是一个指向该网络适配器 Handle 的指针,通过它可以对网络适配器进行操作。symboliclink 包含当前打开的网络适配器的名字。
数据包结构:
  typedef struct _PACKET
{
  HANDLE          hEvent;
  OVERLAPPED    OverLapped;
  PVOID           Buffer;
  UINT            Length;
  PVOID           Next;
  UINT            ulBytesReceived;
  BOOLEAN        bloComplete;    //控制接受包的开始和结束
数据包捕获实现的步骤的主要源代码:
1)要获得适配器列表。
#define    Max__Num__Adapter 10     //获得适配器列表
  char      Adapterlist [Max__Num__Adapter[512]]
  int       i=0
  char      AdapterNames[512], *tempa,*templa;
  ULONG AdapterLength=1024; } PACKET, *LPPACKET:
2)获得系统中网络适配器的名字。
PacketGetAdapterNames(AdapterNamea,&AdapterLength);
  tempa=AdapterNamea;
  templa=Adapternamea;
  while ((*tempa!=’/0’)∣∣(*tempa-1!=’/0))
{
    if (*tempa= =’/0’)
    {
      memcpy(AdapterList,temla,tempa-templa);    //内存数据拷贝
      templa=tempa+1;
      i++
      }
       tempa++
    }
3)从适配器列表中选择一个默认的 0 号适配器。
LPADAPTER lpAdapter
  lpAdapter = PacketOpenAdapter (AdapterList[0]);
  if (!lpAdapter∣∣(lpAdapter->hFile==INVALID__HANDLE__VALUE))
{
    dwErrorCode=GetLastError();
        return FALSE;
}
4)将所选择的适配器 lpAdapter 设置为混杂模式。
PacketSetHwFilter(lpAdapter,NDIS_PACKET_TYPE_PROMISCUOUS)
5)设置 BPF 内核中包过滤的过滤器的代参政。利用这个函数右以完成对于原始数据包的初始的过滤处理,如根据其中端口号、IP 地址等。
PacketSetBpf(LpAdapter AdapterObject,structbpf_program*fp)
6)设置缓冲池为512K字节。
  PacketSetBuff(lpAdapter,512000);
7)分配一个数据包对象,并连接已分配的缓冲。
  PacketInitPacket(lpPacket,(char*)bufferReceive,512000);
8)捕获多个数据包。从网卡 lpAdapter 接收数据包,并将数据包放入 lpPacket所指向的数据包结构体中,若接收成功返回 TRUE,否则返回 FALSE。
  PacketReceivePacket(lpAdapter,lpPacket,TRUE);
9)通过触发回调函数,把捕获符合过滤器规则的数据包转发给网络协议分析模块进行分析处理。
10) 结束接收数据包,释放数据包对象。
if(lpPacket!=NULL
  {
     PacketFreePacket(lpPacket);
     lpPacket=NULL;
  }
11)关闭网卡设备,将网卡恢复到正常接收状态。
  if(lpAdapter!=NULL
  {
     PacketCloseAdapter(lpAdapter);
     lpAdapter=NULL;
}
6、结束语
  数据包捕获技术是网络管理系统的关键技术,已经按照标题4中的流程进行了简单的实现。如 果在一个繁忙的网络上进行截获,而不设置任何过滤,那得到的数据包是非常多的,可能在一秒钟内得到上千的数据包。如果应用程序不进行必要的性能优化,那么 将会大量的丢失数据包。对捕包性能的优化必不可少,考虑采用多线程来处理数据包。若在程序中建立一个公共的数据包缓冲池,这个缓冲池是一个LILO的队 列。于是在程序中使用三个线程进行操作:一个线程只进行捕获操作,它将从驱动程序获得的数据包添加到数据包队列的头部;另一个线程只进行过滤操作,它检查 新到的队尾的数据包,检查其是否满足过滤条件,如果不满足则将其删除出队列;最后一个线程进行数据包处理操作,象根据接收的数据包发送新数据包这样的工作 都由它来进行。考虑尽可能少丢失数据包的条件,应该是进行捕获操作的线程的优先级最高,这样就可以得到更高的捕包性能。

(转)wincap抓包原理相关推荐

  1. [网络安全自学篇] 十三.Wireshark抓包原理(ARP劫持、MAC泛洪)及数据流追踪和图像抓取(二)

    这是作者的系列网络安全自学教程,主要是关于网安工具和实践操作的在线笔记,特分享出来与博友共勉,希望您们喜欢,一起进步.前文分享了Wireshark安装入门和一个抓取网站用户名和密码的案例,本篇文章将继 ...

  2. tcpdump源码分析——抓包原理

    本篇我们从总体看下tcpdump工具的抓包原理,通过学习了解并掌握其实现的机制,为后续进一步底层操作做准备. 1.1.1.1  如何实现 先来看看包传递过来的流程,如下图.包从网卡到内存,到内核态,最 ...

  3. Wireshark抓包原理(ARP劫持、MAC泛洪)及数据流追踪和图像抓取(二)

    [网络安全自学篇] 十三.Wireshark抓包原理(ARP劫持.MAC泛洪)及数据流追踪和图像抓取(二) 2019年09月22日 21:55:44 Eastmount 阅读数 3515 文章标签:  ...

  4. 面试题之--Charles抓包原理

    前言 面试官:面试官问我iOS开发过程中使用了那些抓包工具? 回复:Charles,Wireshark(可以抓取长连接包)等工具 面试官:然后紧接着面试官问我,有没有抓过https的包? 回复:使用C ...

  5. 利用原始套接字的抓包原理

    利用原始套接字的抓包原理: 抓包层 发送接收ip数据包 [接收除了以太网帧头部后面的ip层数据] socket(AF_INET, SOCK_RAW, IPPROTO_TCP|IPPROTO_UDP|I ...

  6. 浅谈HTTPS通信机制和Charles抓包原理-by:nixs

    转载请注明出处:https://blog.csdn.net/zwjemperor/article/details/80719427 主页:https://blog.csdn.net/zwjempero ...

  7. 扯一扯HTTPS单向认证、双向认证、抓包原理、反抓包策略

    HTTP(HyperText Transfer Protocol,超文本传输协议)被用于在Web浏览器和网站服务器之间传递信息,在TCP/IP中处于应用层.这里提一下TCP/IP的分层共分为四层:应用 ...

  8. (转载)网络抓包原理及常用抓包工具

    感谢和转载于: https://blog.csdn.net/l61052319940708/article/details/80624900 本文以App作为例子,实际应用不限于App范围. 前言:本 ...

  9. 安卓抓包软件_你们要的抓包神器!以及抓包原理

    昨天讲到 农行提固定额度失败原因查看方法! 发现好多卡友对这个抓包很有兴趣,今天就着重讲讲抓包的流程. 先讲讲这个抓包的原理:我们手机里面的银行app和服务器连接,把银行app看成是A,把服务器看成是 ...

  10. https抓包_浅谈HTTPS抓包原理,为什么Charles能够抓取HTTPS报文?

    Charles作用其实相当于拦截器,当客户端和服务器通信时,Charles其实会先接收到服务器的证书,但是它会自己生成一个证书发送给客户端(不管是Web端或App应用),也就是说它不仅仅是拦截,甚至还 ...

最新文章

  1. python数据分析实况_机器学习竞赛分享:通用的团队竞技类的数据分析挖掘方法...
  2. [专栏目录]-环境搭建安装问题笔记目录
  3. 杜比dss200服务器重装,杜比数字影片库 DSL200 (Dolby Show Library DSL200)
  4. java动态工程_eclipse 创建maven 项目 动态web工程完整示例
  5. 变换例题_小学语文学习攻略9:句式变换知识点概述+例题讲练
  6. JavaSE09:String、StringBuffer、StringBuilder底层源码解析(纯干货)
  7. 找工作秘笈:“让别人知道你知道”
  8. App 抓包-Fiddler简单使用教程
  9. 简单的流媒体服务器(EasyDarwin的安装搭建)
  10. 解压报错gzip: stdin: not in gzip format
  11. java pdf加水印 性能_java 实现 PDF 加水印功能
  12. 快速接入百度大脑身份证识别
  13. excel中录制宏只执行一半的命令,没有执行全部如何解决?
  14. WAP、触屏版网站及APP的区别
  15. 对接paypal支付 利用v1版本vue-paypal-checkout
  16. Mac终端 vi/vim 的简单使用
  17. yum安装zabbix5.0并配置grafana模板【2W字超详细】
  18. 交公粮了:我经常逛的技术网站
  19. java迷题_Java谜题3:汽车
  20. 计算机vb基础知识,计算机二级VB考试基础知识

热门文章

  1. 深度信念网络_静园5号院前沿讲座 | Geoffery Hinton谈深度信念网络
  2. 全网首发:WORD你光标乱跳什么?
  3. 用MATLAB敲qda,LOMO_XQDA
  4. grub4dos linux live,Grub4DOS 正常引导 Ubuntu 16.04 镜像文件
  5. 微信小程序-tab标签栏实现教程
  6. 直播源 直播地址 测试地址 http rtsp rtmp hls 短视频测试地址
  7. word两种html区别,word文本框有哪两种方式?
  8. 后端知识点:互联网中B端客户和C端客户的区别
  9. 〖Python零基础入门篇③〗- Pycharm编辑器不能复制粘贴怎么办?
  10. 分享10种用户点击率高的汽车软文标题公式