摘要：本文介紹一個用C語言和網絡數據包分析開發工具實現的簡易網絡Sniffer。
關鍵詞：網絡；數據包；Sniffer
引言
目前，已經有不少的Sniff工具軟件，如Windows環境下，最富盛名的工具是Netxray和Sniffer pro，用它們在 Windows環境下抓包來分析，非常方便。在UNIX環境下如Sniffit，Snoop，Tcpdump，Dsniff 等都是比較常見的。這裡介紹一個用C語言和網絡數據包和分析開發工具libpcap及winpcap實現的簡易網絡Sniffer。
網絡嗅探器程序框圖
首先給出流程如圖1所示。
圖1 流程圖
網絡嗅探器程序實現
在c環境下編程，源碼如下：
/* June 2nd，2002
* Project for graduation qualification By Bby Team 19 */
#include ＜stdio.h＞
#include ＜conio.h＞
//必須加路徑，必須把頭文件packet32.h包含進去
#include "..\..\Include\packet32.h"
#include "..\..\Include\ntddndis.h"
#define Max_Num_Adapter 10
// Prototypes原形
//發包
void PrintPackets(LPPACKET lpPacket);
//設備列表
char AdapterList[Max_Num_Adapter][1024];
// 主程序開始
int main()
{
//define a pointer to an ADAPTER structure設備指針
LPADAPTER lpAdapter = 0;
//define a pointer to a PACKET structure包指針
LPPACKET lpPacket;
int i;
DWORD dwErrorCode;
DWORD dwVersion;
DWORD dwWindowsMajorVersion;
//Unicode strings (WinNT)
WCHAR AdapterName[8192]; //網絡適配器設備列表
WCHAR *temp,*temp1;
//ASCII strings (Win9x)
char AdapterNamea[8192]; //網絡適配器設備列表
char *tempa,*temp1a;
int AdapterNum=0,Open;
ULONG AdapterLength;
char buffer[256000]; // 容納來自驅動器的數據的緩沖區
struct bpf_stat stat;
// 獲得本機網卡名
AdapterLength=4096;
printf("Packet.dll test application. Library version:%s\n", PacketGetVersion());
printf("Adapters installed:\n");
i=0;
下面這段代碼是用來在不同版本下得到網絡適配器名：
Win9x 和WinNT中的網卡名稱是分別用ASCII和UNICODE實現的，所以首先要得到本地操作系統的版本號：
dwVersion=GetVersion();
dwWindowsMajorVersion= (DWORD)(LOBYTE(LOWORD(dwVersion)));
這裡首先用到的Packet.dll函數是PacketGetAdapterNames（PTSTR pStr，PULONG BufferSize,通常它是與驅動程序通信並被調用的第一個函數，它將返回的用戶本地系統中安裝的網絡適配器的名字放在緩沖區pStr中；BufferSize是緩沖區的長度：
if (!(dwVersion ＞= 0x80000000 && dwWindowsMajorVersion ＞= 4))
{
//是Windows NT
// 找不到設備列表
if(PacketGetAdapterNames(AdapterName,&AdapterLength)==FALSE){
printf("Unable to retrieve the list of the adapters!\n");
return -1;
}
// 找到設備列表
temp=AdapterName;
temp1=AdapterName;
while ((*temp!='\0')||(*(temp-1)!='\0'))
{
if (*temp=='\0')
{
memcpy(AdapterList[i],temp1,(temp-temp1)*2);
temp1=temp+1;
i++;
}
temp++;
}
// 顯示適配器列表
AdapterNum=i;
for (i=0;i＜AdapterNum;i++)
wprintf(L"\n%d- %s\n",i+1,AdapterList[i]);
printf("\n");
}
else //否則就是windows 9x，獲取適配器名的方法同WinNT下
{
if(PacketGetAdapterNames(AdapterNamea,&AdapterLength)==FALSE){
printf("Unable to retrieve the list of the adapters!\n");
return -1;
}
tempa=AdapterNamea;
temp1a=AdapterNamea;
while ((*tempa!='\0')||(*(tempa-1)!='\0'))
{
if (*tempa=='\0')
{
memcpy(AdapterList[i],temp1a,tempa-temp1a);
temp1a=tempa+1;
i++;
}
tempa++;
}
AdapterNum=i;
for (i=0;i＜AdapterNum;i++)
printf("\n%d- %s\n",i+1,AdapterList[i]);
printf("\n");
}
下面這段代碼就是讓用戶選擇監聽的網絡適配器號：
// 選擇設備
do
{
printf("Select the number of the adapter to open : ");
scanf("%d",&Open);
if (Open＞AdapterNum)
printf("\nThe number must be smaller than %d",AdapterNum);
} while (Open＞AdapterNum);
然後，將所選擇的設備打開，這裡可以設置為“混雜”模式打開，也可以是“直接”模式打開。代碼如下：
// 打開設備
lpAdapter = PacketOpenAdapter(AdapterList[Open-1]);
// 當設備無法打開時，出示錯誤信息：
if (!lpAdapter || (lpAdapter-＞hFile == INVALID_HANDLE_VALUE))
{
dwErrorCode=GetLastError();
printf("Unable to open the adapter, Error Code : %lx\n",dwErrorCode);
return -1;
}
將網卡設置為“混雜”模式，代碼如下：
這裡用到函數PacketSetHwFilter（LPADAPTER AdapterObject，ULONG Filter），它在到來的包上設置了一個硬件過濾器，如操作成功，返回TRUE。AdapterObject是過濾器所在的網卡設備指針；過濾器的常量Filter定義在頭文件ntddndis.h 中，包括有：
·NDIS-PACKET-TYPE-PROMISCUOUS：設置混雜模式，每個到來的包都會被網卡接受；
·NDIS-PACKET-TYPE-DIRECTED：只有直接到主機網卡的包才會被接受；
·NDIS-PACKET-TYPE-BROADCAST：只接受廣播包；
·NDIS-PACKET-TYPE-MULTICAST：只接受到主機所在的組的多播包；
·NDIS-PACKET-TYPE-ALL-MULTICAS：接受每個多播的包。
// set the network adapter in promiscuous mode
// 如果混雜模式設置失敗，提示錯誤：
if(PacketSetHwFilter(lpAdapter,NDIS_PACKET_TYPE_PROMISCUOUS)==FALSE){
printf("Warning: unable to set promiscuous mode!\n");
}
然後在driver中置512K的緩沖：
這裡用到函數PacketSetBuff（LPADAPTER AdapterObject，int dim），它被用於設置AdapterObject指向的網卡的驅動程序的緩沖區，成功則返回TRUE。Dim是新的緩沖區的大小，當它被設定時，舊緩沖區中的數據將被丟棄，其中存儲的包也會失去。
需要注意的地方：驅動器緩沖區的大小設置是否恰當，將影響截包進程的性能，設置應能保證運行快且不會丟包。這裡設置的是512000Byte。
// set a 512K buffer in the driver
// 當無法設置緩沖區時，提示錯誤：
if(PacketSetBuff(lpAdapter,512000)==FALSE){
printf("Unable to set the kernel buffer!\n");
return -1;
}
PacketSetReadTimeout（LPADAPTER AdapterObject，int timeout）函數的功能是，設置與AdapterObject指定網卡綁定的讀操作超時的值，timeout以毫秒為單位，0表示沒有超時，當沒有包到時，read就不返回。
// set a 1 second read timeout
// 設置1秒的讀取操作超時
if(PacketSetReadTimeout(lpAdapter,1000)==FALSE){
printf("Warning: unable to set the read tiemout!\n");
}
接下來，定位設備，代碼如下：
這裡用到函數PacketAllocatePacket（Void）將在內存中分配一個PACKET結構並返回一個指向它的指針，但這個結構的Buffer字段還沒有設定，所以應再調用PacketInitPacket函數來對其進行初始化。
//allocate and initialize a packet structure that will be used to
//receive the packets.
// 當定位失敗時，提示錯誤：
if((lpPacket = PacketAllocatePacket())==NULL){
printf("\nError: failed to allocate the LPPACKET structure.");
return (-1);
}
然後，就可以初始化設備，開始接受網絡包了：
用函數PacketInitPacket（LPPACKET lpPacket，PVOID Buffer，UINT Length）來初始化PACKET結構。lpPacket是要被初始化的指針；Buffer為指向用戶分配的包含包的數據的緩沖區的指針；Length為緩沖區長度。
需要注意的地方：PACKET結構關聯的緩沖區存儲由packet capture driver 截獲的包，包的數量被緩沖區大小所限制，最大緩沖區的大小就是應用程序從驅動器中一次能讀到的數據的多少。所以設置大的緩沖區可減少系統調用的次數，提高截獲效率。這裡設置的是256K。
PacketInitPacket(lpPacket,(char*)buffer,256000);
接下來，是截包主循環：
//main capture loop
這裡又用到函數PacketReceivePacket（LPADAPTER AdapterObject，LPPACKET lpPacket，BOOLEAN Sync），它將接受（截獲）一個包的集合。參數包括一個指向用來指定截包的網卡的ADAPTER結構指針、一個指向用來容納包的PACKET結構、一個指出是同步還是異步方式操作的標記。當操作同步時，函數鎖定程序；當操作異步時，函數不鎖定程序，必須調用PacketWaitPacket過程來檢查是否正確完成。一般采用同步模式。
// 直到有鍵盤鍵入：
while(!kbhit())
{
// capture the packets 捕獲包
// 捕獲包失敗時，提示錯誤：
if(PacketReceivePacket(lpAdapter,lpPacket,TRUE)==FALSE){
printf("Error: PacketReceivePacket failed");
return (-1);
}
// 打印包中的數據，調用自定義函數PrintPackets（）
PrintPackets(lpPacket);
}
最後將得到的統計數據打印出來，代碼如下：
這裡用到函數PacketGetStats（LPADAPTER AdapterObject，struct bpf_star*s）可以得到兩個驅動程序的內部變量的值：從調用PacketOpenAdapter開始，已經被指定網卡接收的包數目；以及已經被網卡接收但被內核丟棄的包數目。這兩個值被驅動程序拷貝到應用提供的bpf_stat結構中。
//print the capture statistics
// 得到統計值
// 當無法從內核讀取狀態時，提示錯誤：
if(PacketGetStats(lpAdapter,&stat)==FALSE){
printf("Warning: unable to get stats from the kernel!\n");
}
// 打印“XX包被截取；XX包被丟棄”：
else
printf("\n\n%d packets received.\n%d Packets lost",stat.bs_recv,stat.bs_drop);
這裡用函數PacketFreePacket(LPPACKET lpPacket)來釋放由lpPacket指向的結構：
// 釋放空間
PacketFreePacket(lpPacket);
用函數PacketCloseAdapter(LPADAPTER lpAdapter)來釋放ADAPTER結構lpAdapter，並關閉網卡指針：
// close the adapter and exit
// 關閉設備退出
PacketCloseAdapter(lpAdapter);
return (0);
} // 主程序結束
其中用來打印數據報的自定義的函數PrintPackets（）的代碼在這裡就不詳細說明了。
結束語
通過對網絡嗅探器的編寫，目的使大家知道網絡管理的重要性，時刻注意網絡信息安全問題，做好信息的加密和解密工作。
參 考 文 獻
【1】王騰蛟等，《新概念Visual C＋＋ 6.0 教程》，北京科海集團公司，2001
【2】王寶智等，《全新計算機網絡教程》，北京希望電子出版社，2001
【3】單征等，《網絡黑洞攻擊與防范指南》，中國電力出版社，2002
【4】程秉恢等，《黑客任務實戰》，北京希望電子出版社，2002
【5】王力等，《病毒武器與網絡戰爭》，軍事誼文出版社，2001
【6】盧昱等，《網絡安全技術》，中國物質出版社，2001
