网络分析软件Ethereal的源代码分析

函 库 持Ｌ ｕ， ｒ 和Ｂ 系 平台 ７ｌ ｐ ｐ 一 与 现 关 访 操 系 所 供 分 数 支 ｉ ｘ Ｓ ａｉ Ｓ 统 ＂ ｉ ｃ 是 个 实 无 的 问 作 统 提 的 组 ｎ ｏ ｓ Ｄ ｌ ， ａ ｂ
捕获机制的分组捕获函数库， 用于访问 数据链路层。 这个库为不同的平台提供了 一致的 编程接口， 在安装 了 ｌｂｃｐ的平台 ｉ ａ ｐ 上，以 ｌ ｐａ ｉ ｃｐ为接口 ｂ 写的 程序、应用，能够自由的跨平台 使用。基于 Ｕｉ 操作系 ｎｘ
与 它的 络 听 件 ｎ ｅ ｔｄ ｌ ｓ ｒ１ 监 软 如Ｓｆ ， ｕｐ ， ［ 相比 Ｅ ｅａ的 点 全 一 免 ， 开 其 网 ｉｒ ｃ ｍ ｌ ｎ ２ ｐ ｌ ｏ ， ｔｒｌ 特 完 是 个 费 且 ｔ等 ｈｅ
放源码的软件。 你可以 根据自 己的需要，任意修改和补充。 它可以 运行在 Ｗｎｏ ｓ Ｕ Ｉ 及 Ｌ ｕ 等 ｉ ｗ ， Ｘ以 ｉ ｘ ｄ Ｎ ｎ
系统的主程序启动过程如下： 读取抓包过滤器文件， 显示过滤器文件和无效的协议文件； 分析用户输 入的命令符，修改配置相应的参数；获取数据链路层抓包设备列表；设置抓包通道，进入抓包流程
ｃｐｕｅ） ａｔｒ （。
ｃｐｕｅ） 函数内部流程如图１ ａｔｒ（ 所示。 ａｔｒ （ Ｃｐｕｅ） 函数内部大量调用了ｌ ｐａ 中的 ｉ ｃｐ 接口函数， ｂ 有几点
ｐａ－ｔｌｃ ｐａ－ｔ ｌｈ ｐａ－ ｔｌｉｔｈ ｐａ－ｔｌｕ ｉ．； ｔｒ－ｐａ． ； ｔｒ－ｐａ ． ． ｃｐｕｉ． ； ｐｕｉ． ； ｐｕｉ－ｎ．； ｐｕ ｉ－ｎｘｃ ｃｐｕｅｗｃｐｃ ｃｐｕｅｗｃｐｈ ｃ ｃ ｃ ａ ａ ３２ ． 流程分析
３２１ ．． 关键数据结构 刘流程控制起到关键作用的有几个比较重要的数据变量： 在整个抓包源代码中，
根 ｄｉ ｔ ｅ 据ｌ ｎ ｙ 标识的 层类型 Ａｋ ｐ 链路
初始写抓包文件
对数据包进行分类
图２回调函数ｃｐ ｒ ｐａ＿ 流程图 ａｔｅ ｐｅ（ ｕ ｃ ｂ）
关键词：Ｅｈｒａ 网络监听 过滤器 ｔｅｅｌ
Ｒ ｓａ ｈ ｎｔｏ ａａ ｓｂｓｄ Ｅｈｒａ ｅｅｒ ｏ ｅ ｒ ｎｌ ｔ ｅ ｏ ｔ ｅｌ ｃ ｆ ｋ ｙ ａ ｎ ｅ ｗ
Ｙｏ Ｚ ａｇ Ｓｅ Ｑｎｇｏ ａ Ｆｉ ｎ Ｌｉ ｎ ｇｕ ｅ ｈ ｅ ｈ ｉ
Ｉ ｔｕ ｏＣ ｍ ｕｉ ｔｎ Ｅｇ ｅｒｇＰ Ａ ｉ ｒｔｏ Ｓｉ ｃ ａｄ ｈｏ ｇ， ｊ ｇ ０７Ｃ ｉ ｎ ｉｔ ｆ ｍ ｎ ａｏｓ ｉ ｅｎ， Ｕ ｖ ｓ ｃ ｎｅ Ｔｃｎｌ ｙＮ ｎｎ ２００， ａ ｓｔｅ ｏ ｃ ｉ ｎ ｎ ｉ Ｌ ｎ ｅ ｉ ｆ ｙ ｅ ｎ ｅ ｏ ａｉ １ ｈ ｎ Ａ ｓａｔＥｈｒ ｌ ｅｔ ｓ ｅ ｌａｏ ｉｎｔｏ ａａ ｓ ａｄ ｗ ｒｓ ｕｔ Ｉｃｎ ｕｄｒ ｏｓ ｆ ｍ ｂｔ ｃｏｔ ｅ ｈｓ ｎｉ ａｐｃｔｎ ｅ ｒ ｎｌ ｉ ｎ ｎｔｏ ｅ ｒ ． ｒ ｎｅｖｒｕｐ ｔｒｓ ｒ ｒ ａ ａ ｘ ｖ ｐ ｉ ｉ ｎ ｗ ｋ ｙ ｓ ｅ ｋ ｉ ｔ ｕ ｅ ｅ ｃ ｙ ａ ｎ ａ ｉ ｌｏ ． ａ Ｗｉ ｔ ｆ ｔｅ ｐｎ ｇ ｒ ｃｄ， ｓ ｃｎ ｃｏ ｅｔ ｄ ｆ ｃｏｓ ｏ ｉ ｔｈ ｓｅｉ ｎｅｓＴ ｉ ｔ ｈ ｅ ｕ ｏ ｏｅｉ ｓｕｃ ｏｅｕｅ ｃｎ ｔ ｔ ｘ ｎ ｉ ｕ ｔｎ ａｃｒｎ ｏ ｐｃ ｌ ． ｓ ｈ ａ ｒ ｆ ｎ ｏ ｅ ｓｒ ａ ｏ ｒ ｒ ｅ ａ ｅ ｔ ｎ ｉ ｃ ｄ ｇ ｉ ｓ ｓ ａ ｅｄ ｈ ｐｐｒ ｒｄｃｓ ｅ ｔｏｋ ｖｒｎ ｎ ｒｑｉ ｍｅｔ ａｄ ｉ ｔ ｌ ｉ ｉ Ｌｎｘ ｄｓｕｓｓ ａｅ ｉｔ ｕｅ ｔ ｎ ｗ ｒ ｅ ｉ ｍｅｔ ｕｒ ｎｓ ｉ ｎ ａ ａ ｏ ｎ ｕ ， ｃｓｅ ｔｅ ｎｏ ｈ ｅ ｎ ｏ ｅ ｅ ｎ ｔ ｓ ｌ ｔ ｎ ｉ ｓ ｉ ｈ ａｃｉ ｃ ｒ ａｄ ｃｐｕｅ ｃｓ， ａａ ｚｓ ｋｙ ｃｏ ｃｐｕｅ ｐｙ ｒｈｔ ｔ ｅ ｔｅ ｔｒ ｐｏｅｓａｄ ｌ ｅ ｔ ｅ ｆｎｔ ｎ ｔｒ ｄｅｌ ｅｕ ｎ ｈ ａ ｒ ｎ ｎｙ ｈ ｅ ｕ ｉ ａ ｅ ．
流程起主要的控制作用 主要描述的是与捕获数据包存储文 件，存储文件过滤 （ 后过滤） 和数据 存储格式相关的参数。 主要用于底层抓包循环中循环控制
ｅ ｉｅ ｆｌ
ｃ ｐ ｕｅ ｆ ｌ ａ ｔｒ ＿ ｅ ｉ ｌｏ ｄ ｔ ｏ ｐ ａ ａ
｝ｄ Ｉ
３ ２２流程分析 ． ．
计算机技术
１ １ ３７
调用ｓ＿ｃ ｌｋ ｐ（ ｅｐａ ｉ ｔ ｅ） ｔ ｐ ｙ 设 ｎ
置数据链路层类型
调用ｗａ￣ （ 转化格式后的 ｔ ｄｍ ） ｐ ｕ ｐ将
调 ａ ｏ ｆ ｃ ｃ ｐｅＶ 用ｐ ｐ ｏ ｍ ｐ ｐ ｌ （ 置 滤 ｅ ｓｆｅ） 过 器 ａ ｅｔ 设 ｌ ｒ ｉ 包转存到抓包文件中
多个平台。
本文安排如下。 首先介绍了Ｅｈｒａ 的监听原理和在Ｌｎｘ ｔｅｅｌ ｉ 下的安装； ｕ 再从Ｅｈｒａ 抓包的原理入 ｔｅｅｌ
手， 要 析了Ｅ ｅ ａ源 码 主 序 构 抓 流 并 关 数 行 分 ； 后 结 主 分 ｔ ｒ ｌ 代 的 程 结 和 包 程， 对 键函 进 了 析 最 是小 。 ｈｅ
１７ ３０
现代电子信息技术理论与应用
能力） 而Ｅｈｒａ 就是一种能将本地网 ， ｔｅｅｌ 卡状态设成混杂状态的软件 Ｅｈｒａ 软件可以 ｔｅｅｌ 运行在多个平台， 但只有在 Ｌｎｘ ｉ 下面是开放源码的，我们主要讨论Ｅｈｒａ 软件在 ｕ ｔｅｅｌ Ｌｎｘ 安装。 ｉｕ 下的 要完成安装需要一 下 ｓ 几步Ｉ ｌ 到Ｅｈｒａ 的官方网 ｌ ｔｅｅ 站上下载Ｅｈｒａ 的 ｔｅｅｌ 源码 ｅｈｒａ－． ． ｇ； ｔｅｅｌ０１ ７ｔｒ ｚ ０ ａ． ． 解压文件￥ａ ｚｖ ｅｈｒａ－ １． ｒ ｚ ｔｒ ｆ ｅｅｌ ． ． ｇ； ｘ ｔ ０ ０７ｔ ． ａ 确保己 经安装ｇｋ ｌ ｐａ 软件包； ｔ 和 ｉ ｃｐ ｂ 配置文件￥／ｏｆｇｒ； ．ｃｎｉｕｅ 编译￥ａｅ ； ｍｋ 安装￥ａｅ ｔｌ； ｉｓａｌ ｍｋ ｎ 运行， 在字符方式下￥ｅｈｒａ；在图形方式下￥ｔｅｅｌ ｔｔｅｅｌ ｅｈｒａ， 如果要对软件进行修改，可以 修改源文件， 然后编译￥ａｅ ｍｋ，这时编译器会对系统进行检查，只编译 修改的文件。 这时不需要安装， 直接运行￥八ｅｈｒａ ． ｔｅｅｌ或￥／ｔｅｅｌ ．ｅｈｒａ 来看调试的结果。
２ ｈｒａ 的 Ｅ ｅｅｌ 监听环境与安装使用 ｔ
通常在同 一个网段的所有网 络接口 都有访问 在物理媒体上传输的所有数据的能力， 而每个网络接口 都 还应该有一个硬件地址， 该硬件地址不同于网 络中 存在的 其他网 络接口的 硬件地址，同时， 每个网 络至少 还要一个广播地址。 代表所有的 （ 接口 地址） 在正常情况下， ， 一个合法的网 络接口 应该只响 应这样的两种 数据帧：１ 、帧的目 标区域具有和本地网络接口 相匹配的硬件地址；２ 帧的目 、 标区域具有” 广播地址” 在 。 接受到上面两种情况的数据包时，网卡通过ＣＵ Ｐ 产生一个硬件中断， 该中断能引 起操作系统注意， 然后将 帧中 所包含的数据传送给系统进一步处理。 然而，当网卡被设置成’ 混杂’（ｒｍｓ ｏｓ 方式时，它对遇到的每一个帧都产生一个硬件中断以 ｐｏｉｃ ｕ） ｕ 便提醒操作系统处理流经该物理媒体上的每一个数据帧。（ 绝大多数的网卡具备置成 ｐｏｉｃｏｓ ｒｍｓｕｕ 方式的
网络分析软件 Ｅｈｒａ 的源代码分析 ｔｅｅｌ
姚 菲’ 张 磊 沈庆国
解放军理工大学通信工程学院 江苏 南京 ２００ Ｅ ａ： １０７ ｍ ｉ ｌ
摘 要： ｔｅｅｌ 络分析和网络安全 Ｅｈｒａ在网 方面有 着广泛的应用。 它能够在多 种平台下 运行， 源代 而且 码开放， 用 户可以 对其进行添加或裁减以 满足自 的 己 特殊需 本文首 求。 先介绍了Ｅｈｒａ 的 环境和在Ｌｎｘ ｔｅｅｌ 监听 ｉ 下的安 ｕ 装过 程。 后从 Ｅ ｅ ａ 抓 原 手， 分 然 ｔ ｒ ｌ 包的 理入 着重 析了 Ｅ ｅ ａ 源 码的 程 结 和 包 程 并 键函 ｈｅ ｔｒ ｌ 代 主 序 构 抓 流 ｈｅ 对关 数 ｃｐｕｅ） ａｔｒ（ 进行Ｔ 详细分析。
３ ｈｒａ 源自文库代码分析 Ｅ ｅｅｌ ｔ
这里主要是对原代码中的 程序流程和抓包流程进行了分析， 给出了 部分关键功能的函数并对这些函数 进行了介绍。 ３１ ｐ ｐ ａ 介绍 ．ｌ ｃ ｉ ｂ Ｅｈｒａ 与其他 ｔｐｕｐ ｓｏｔ ｔｅｅｌ ｃｄｍ， ｒ 等著名软件包一样， ｎ 都是基于 ｌ ｐａ 库， ｉ ｃｐ 在分析主 ｂ 要流程前，先 介绍 一 ｌ ｐａ 库及其Ｅｈｒａ 原代码中 下 ｉ ｃｐ ｂ ｔｅｅｌ 用到的主要函数。 ｌｂｃｐ ｉ ａ 的英文意思是 Ｐｃｅ Ｃｐｕｅ ｒｒ，即 ｐ ａｋｔ ｔｒ ｌ ａｙ 数据包捕获函数库。 ａ ｉ ｂ 该库提供的Ｃ 函数接口 可用 于需要捕获经过目 标地址网络接口 数据包的系统开发上。由 Ｂｒｅｅ 大学Ｌｗｅｃ Ｂｒｅｅ Ｎｔｏａ ｅｋｌ ｙ ａｒｎｅ ｋｌｙ ｉｎｌ ｅ ａ Ｌｂｒｔｒ 研究院的Ｖｎ ｏｓｎ Ｃａｇ ｅ 和 Ｓｅｅ ＭＣｎｅ ａｏａｏｙ ａ Ｊｃｂｏ， ｉ Ｌｒｓ ｔｖｎ ａｎ 编写，口 ａ ｒ ｅ ｃ 前的 最新版本为０４ ．。该
｝量 名 变
ｃｐｕ ｅｃ ｉｄ ａｔｒ＿ ｌ ｈ
变量类型
ｇ ｏ ｌａ ｂ ｏ ｅｎ
功能描述
ｃｐ ｕ ｅ ｏ ｔ ａ ｔｒ ＿ ｓ ｐ
ｃ ｕ ｅ ｔｏ ｓ 即ｔｒ ｏ ｉｎ ｐ
标识该进程是否子进程 记录上层在抓包前的 些选项的设 置， 部分参数与Ｅｈｒａ 中Ｃｐｕｅ ｔｅｅｌ ａｔｒ
如ｔｏｓ对话框的 ｉｎ 选项对应，对抓包
统所提供的分组捕获机制主要有二种：ＢＦ ｅｋｌ Ｐｃｅ Ｆｌ ｒ， Ｉ ａａ ｋ ｖｄｒ Ｐ（ ｒｅｅ ａｋｔ ｔ ） ＤＰ（ ｔ Ｌｎ Ｐｏｉ Ｂ ｙ ｉｅ Ｌ Ｄ ｉ ｒ ｅ Ｉｔｒａｅ， ｉ ｘ ｎｅｆ ） 及Ｌｎ 下的ＳＣ少ＡＫ 类型 ｃ ｕ ＯＫ Ｃ Ｔ 套接口ｓ Ｅ ［ ７
主要接口函数有 ｐａ＿ ＿ （ ｐａ＿ｅｆｌｅ（， ｐｄｓａｃ（ ｃｐｏｅ ｌｖ ） ｃｐｓｔｉｔｒ） ｐａ＿ ｔｈ） 分别用于数据包捕获 ｐｎ ｉｅ ， ｃ ｉ ｐ 等， 描述字、指定一个过滤程序、捕获并处理数据包等功能。 在Ｅｈｒａ 源代码文件中，与 ｌ ｐａ 相关的源文件有以 卜 ｌ ｔｅｅ ｉ ｃｐ ｂ 几个：
Ｋｅ Ｗｏｄ ｏＥｈｒａ ｎ ｔ ｏｋ ｆｎ ｉｅ ｙ ｒ ｓ ｅｅｌ ｅ ｒ ｓｉ ｉｇ Ｆｌ ｒ ｒ ｔ ｗ ｎｆ ｔ
１ 概
述
Ｅ ｅ ａ 是目 前一种应用非常广泛的网络分析软件，是一种虚拟的网络分析仪，它试图在局域网上捕 ｔｒｌ ｈｅ 捉数据报，并且尽可能详细的显示数据报的内容。应用这个软件，网络管理员可以分析网络故障，网络安 全工程师可以检测安全问题，协议开发者可以调试网络协议，用户可以了解网络协议的交互过程。
需要详细说明：
调用ＷＳ Ｓ ｒｐ１ Ａ ｔｔ （ ａｕ ， Ｓ Ｃ Ｔ初始化 Ｅ ＯＫ
初始化变量 Ｉ ｄ
调 ｅ ｅ ｌｖ ） 取 用Ｐ ｐｏ ｎ （ ａ ｐ ｉ ｅ获 ｓｅ
捕捉句柄
调用ｐａ ｓｂｆ 设置缓 ｅ ｅｅ ｕ＇ ｐ Ｑ ｓｔ
冲区大小
调用 ｗａ ｐ ｃ ｓ ｃ ＿ａ ｅ） ｔ＿ｒ ｅ＿ ａｐｃ ｔ ｐ ｏ ｓ ｐ ｋ（ ｐ 将捕获的包转化为ｗａ 格式 ｔ ｐ