winpcap编程1

WinPcap编程1——简介什么是WinPcapWinPcap是一个基于Win32平台的，用于捕获网络数据包并进行分析的开源库.大多数网络应用程序通过被广泛使用的操作系统元件来访问网络，比如sockets。

这是一种简单的实现方式，因为操作系统已经妥善处理了底层具体实现细节（比如协议处理，封装数据包等等），并且提供了一个与读写文件类似的，令人熟悉的接口。

然而，有些时候，这种“简单的方式”并不能满足任务的需求，因为有些应用程序需要直接访问网络中的数据包。

也就是说，那些应用程序需要访问原始数据包，即没有被操作系统利用网络协议处理过的数据包。

WinPcap产生的目的，就是为Win32应用程序提供这种访问方式；WinPcap提供了以下功能1.捕获原始数据包，无论它是发往某台机器的，还是在其他设备（共享媒介）上进行交换的2.在数据包发送给某应用程序前，根据用户指定的规则过滤数据包3.将原始数据包通过网络发送出去4.收集并统计网络流量信息以上这些功能需要借助安装在Win32内核中的网络设备驱动程序才能实现，再加上几个动态链接库DLL。

所有这些功能都能通过一个强大的编程接口来表现出来,易于开发，并能在不同的操作系统上使用。

这本手册的主要目标是在一些程序范例的帮助下，叙述这些编程接口的使用。

什么程序在使用WinPcapWinPcap可以被用来制作网络分析、监控工具。

一些基于WinPcap的典型应用有：1.网络与协议分析器(network and protocol analyzers)2.网络监视器(network monitors)3.网络流量记录器(traffic loggers)4.网络流量发生器(traffic generators)5.用户级网桥及路由(user-level bridges and routers)6.网络入侵检测系统(network intrusion detection systems (NIDS))7.网络扫描器(network scanners)8.安全工具(security tools)什么是WinPcap做不到的WinPcap能独立地通过主机协议发送和接受数据，如同TCP-IP。

这就意味着WinPcap不能阻止、过滤或操纵同一机器上的其他应用程序的通讯：它仅仅能简单地"监视"在网络上传输的数据包。

所以，它不能提供类似网络流量控制、服务质量调度和个人防火墙之类的支持。

一VC中的配置:先去/install/bin/WinPcap_4_0.exe下载安装WinPca p安装包。

再到/install/bin/WpdPack_4_0.zip下载WinPcap的开发包，解压。

1.在VC 6.0中[工具]->[选择]->[目录]分别把解压包里的inlude和library加进去。

2.在VC 6.0中[工程]->[Link]中加wpcap.lib Packet.lib或在源文件中加入#pragma comment(lib, "wpcap.lib")#pragma comment(lib, "Packet.lib")。

3.若要在程序中使用套接字,还须加#pragma comment(lib, "wsock32.lib")。

二列举网卡及对应的网络地址和子网掩码#include "pcap.h"#pragma comment(lib, "wpcap.lib")#pragma comment(lib, "Packet.lib")#pragma comment(lib, "wsock32.lib")void main(){pcap_if_t *alldevs; //网络接口结点指针pcap_if_t *d;struct in_addr net_ip_address;//网络地址u_int32_t net_ip;//某种格式的网络地址char *net_ip_string;//可输出格式的网络地址struct in_addr net_mask_address;//子网掩码u_int32_t net_mask;//某种格式的子网掩码char *net_mask_string;//可输出格式的子网掩码int i=0;char errbuf[PCAP_ERRBUF_SIZE];/* 取得列表 */if (pcap_findalldevs(&alldevs, errbuf) == -1){fprintf(stderr,"Error in pcap_findalldevs: %s ", errbuf);exit(1);}/* 输出列表 */for(d=alldevs;d;d=d->next){printf("%s ",d->name);//网卡名字pcap_lookupnet(d->name,&net_ip,&net_mask,errbuf);//获取网络地址和子网掩码net_ip_address.s_addr = net_ip;net_ip_string = inet_ntoa(net_ip_address); //格式转化printf("网络地址:%s ", net_ip_string);net_m ask_address.s_addr = net_mask;net_m ask_string = inet_ntoa(net_mask_address); //格式转化 printf("网络掩码:%s ", net_mask_string);}pcap_freealldevs(alldevs); //释放接口结点链表}运行结果如图：注：网络地址不是IP地址，故是10.10.138.0三捕获一个网络数据包#include <pcap.h>#pragma comment(lib, "wpcap.lib")#pragma comment(lib, "Packet.lib")#pragma comment(lib, "wsock32.lib")struct ether_header{u_int8_t ether_dhost[6];/* 以太网目的地址 */u_int8_t ether_shost[6];/* 源以太网地址 */u_int16_t ether_type;/* 以太网类型 */};void main(){pcap_if_t *alldevs;char error_content[PCAP_ERRBUF_SIZE];/* 存储错误信息 */pcap_t *pcap_handle;/* winpcap句柄 */const u_char *packet_content;/* 数据包内容 */u_char *mac_string;/* 以太网地址 */u_short ethernet_type;/* 以太网类型 */bpf_u_int32 net_mask;/* 掩码地址 */bpf_u_int32 net_ip;/* 网络地址 */char *net_interface;/* 网络接口 */struct pcap_pkthdr protocol_header;/* 数据包头部信息 */struct ether_header *ethernet_protocol;/* 以太网协议变量 */struct bpf_program bpf_filter;/* BPF过滤规则 */char bpf_filter_string[] = "ip";/* 过滤规则字符串 */// net_interface = pcap_lookupdev(error_content); //因为第一个是moden的网卡,所以不用这个if (pcap_findalldevs(&alldevs,error_content) == -1){fprintf(stderr,"Error in pcap_findalldevs: %s ",error_content);exit(1);}net_interface=alldevs->next->name;//得到第二个网卡(以太网卡)的名字/* 获得网络接口 */pcap_lookupnet(net_interface, &net_ip, &net_mask, error_content);/* 获得网络地址和网络掩码 */pcap_handle = pcap_open_live(net_interface, BUFSIZ, 1, 0, error_content);/* 打开网路接口 */ pcap_compile(pcap_handle, &bpf_filter, bpf_filter_string, 0, net_i p);/* 编译过滤规则 */pcap_setfilter(pcap_handle, &bpf_filter);/* 设置过滤规则 */if (pcap_datalink(pcap_handle) != DLT_EN10MB)return ;packet_content = pcap_next(pcap_handle, &protocol_header);/* 捕获一个数据包，数据包内容返回给packet_content */printf("--------------------*****----------------------- ");printf("捕获到一个网络数据包");printf("捕获时间: ");printf("%s", ctime((const time_t*) &protocol__sec));printf("数据包长度: ");printf("%d ", protocol_header.len);ethernet_protocol = (struct ether_header*)packet_content;/* 获得数据包内容 */printf("以太网类型: ");ethernet_type = ntohs(ethernet_protocol->ether_type);/* 获得以太网类型 */printf("%04x ", ethernet_type);switch (ethernet_type){case 0x0800:printf("上层协议是IP协议");break;case 0x0806:printf("上层协议是ARP协议");break;case 0x8035:printf("上层协议是RARP协议");break;default:break;}printf("源以太网地址: ");mac_string = ethernet_protocol->ether_shost;printf("%02x:%02x:%02x:%02x:%02x:%02x ", *mac_string, *(mac_string + 1), * (mac_string + 2), *(mac_string + 3), *(mac_string + 4), *(mac_string + 5));/* 获得源以太网地址 */printf("目的以太网地址: ");mac_string = ethernet_protocol->ether_dhost;printf("%02x:%02x:%02x:%02x:%02x:%02x ", *mac_string, *(mac_string + 1), * (mac_string + 2), *(mac_string + 3), *(mac_string + 4), *(mac_string + 5));/* 获得目的以太网地址 */printf("--------------------*****----------------------- ");pcap_close(pcap_handle);/* 关闭winpcap操作 */}运行结果（随便打开一个网页）如图：注：因为第一个网卡是moden的网卡,所以要用pcap_findalldevs(&alldevs,error_content)；net_interface=alldevs->next->name;若使用pcap_findalldevs_ex(),应#include<remote-ext.h>它是pcap_findalldevs()的一个超集, 他不仅可以获取本地的设备列表,还可以获取远程计算机的设备列表四捕获多个网络数据包#include <pcap.h>#pragma comment(lib, "wpcap.lib")#pragma comment(lib, "Packet.lib")/* 回调处理函数的原型 */void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *p kt_data);main(){pcap_if_t *alldevs;//接口结点指针pcap_if_t *d;int inum;int i=0;pcap_t *adhandle;char errbuf[PCAP_ERRBUF_SIZE];/* 取得所有网卡列表*/if(pcap_findalldevs(&alldevs, errbuf) == -1){fprintf(stderr,"Error in pcap_findalldevs: %s ", errbuf);exit(1);}/* 输入列表*/for(d=alldevs; d; d=d->next){printf("%d. %s", ++i, d->name);if (d->description)printf(" (%s) ", d->description);elseprintf(" (No description available) ");if(i==0)//如果网卡数等于0,则输出"找不到网卡"{printf(" No interfaces found! Make sure WinPcap is installed. ");return -1;}/* 选择欲抓包网卡号*/printf("Enter the interface number (1-%d):",i);scanf("%d", &inum);if(inum < 1 || inum > i){printf(" Interface number out of range. ");/* Free the device list */pcap_freealldevs(alldevs);return -1;}for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++);//进行网卡选择/* 打开一个网卡进行抓包*/if ((adhandle= pcap_open_live(d->name, // 网卡名字65536, // 要捕获的数据包字节数1, // 混杂模式为非0,非混杂为01000, // read timeouterrbuf // error buffer)) == NULL)fprintf(stderr," Unable to open the adapter. %s is not supported by WinPcap ", d->nam e);pcap_freealldevs(alldevs);return -1;}printf(" listening on %s... ", d->description);/* 释放网络接口列表结点链表空间*/pcap_freealldevs(alldevs);/* 开始循环抓包,每抓一个包就用第三个参数所指的处理函数来处理*/pcap_loop(adhandle, 0, packet_handler, NULL);pcap_close(adhandle);return 0;}/* 回调处理函数*/void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *p kt_data){struct tm *ltime;//在pcap.h已包含了<time.h>char timestr[16];//接收转换后的时间time_t local_tv_sec;/* 获得时间*/local_tv_sec = header->_sec;//日历日间,相当于local_tv_sec = time(NULL);ltime=localtime(&local_tv_sec);//日历时间转化为本地时间strftime( timestr, sizeof timestr, "%H:%M:%S", ltime);//时间显示格式printf("%s,%.6d len:%d ", timestr, header->_usec, header->len);}运行结果:。