【正文】 特定操作系統(tǒng)的捕獲機(jī)制對用戶透明，使用戶程序有比較好的可移植性。在 windows平臺下，一個與 Libpcap很類似的函數(shù)包 winpcap提供捕獲功能，其官方網(wǎng)站是 Libpcap軟件包可從 載，解壓后依此執(zhí)行下列三條命令即可安裝。返回值： int，如果返回 0則執(zhí)行成功，錯誤返回 1。最后， ebuf 是一個我們可以存入任何錯誤信息的字符串（就像上面的 errbuf）。再下邊是一個定義表達(dá)式是否被優(yōu)化的整形量（ 0 為 false， 1為 true，標(biāo)準(zhǔn)規(guī)定）。 參數(shù)：這非常直觀，第一個參數(shù)是會話句柄，第二個參數(shù)是被編譯表達(dá)式版本的引用（可推測出它與 pcap_pile()的第二個參數(shù)相同）。最后一個參數(shù)在有些應(yīng)用里有用，但更多時候則置為 NULL。 struct pcap_addr *addresses。 如果非空，指向鏈的下一個元素。 如果非空，指向一個對設(shè)備的人性化的描述字符串。 PCAP_IF_ 網(wǎng) 卡 的 標(biāo) 志 。 /*length of portion present*/ bpf_u_int32 len。 當(dāng)前分片的長度； dpf_u_int32 len。 /* number of packets received */ u_int ps_drop。 接受數(shù)據(jù)報的數(shù)目； u_int ps_drop。 sockaddr * mask。 pcap_addr * next。 sockaddr * mask。 sockaddr * dstaddr。 第三步通過調(diào)用 pcap_datalink檢查該網(wǎng)卡所在網(wǎng)絡(luò)是不是以太網(wǎng)，如果不是則中止程序。這樣一來，應(yīng)用程序收到的數(shù)據(jù)包是最原始的數(shù)據(jù)包，也就是說監(jiān)聽主機(jī)接收到的數(shù)據(jù)包中，除了數(shù)據(jù)包本身的內(nèi)容之外，還帶有從對方主機(jī)中的傳輸層、網(wǎng)絡(luò)層以及數(shù)據(jù)鏈路層的數(shù)據(jù)包頭信息，所以要想獲得數(shù)據(jù)包里的應(yīng)用數(shù)據(jù)，是需要我們自己來按照每一層的 協(xié)議剝離數(shù)據(jù)包頭中的每一層首部內(nèi)容的，這就是協(xié)議分析需要完成的工作。比如發(fā)送方在數(shù)據(jù)鏈路層通常會在包頭加上目的 MAC地址、源 MAC地址、其他一些具體網(wǎng)絡(luò)信息及幀定界符，在包尾加上循環(huán)冗余碼，并使用字節(jié)填充或位填充，由接收方數(shù)據(jù)鏈路層去掉包頭與包尾進(jìn)行相關(guān)解釋工作。 (2)然后需要去掉數(shù)據(jù)鏈層的 報 頭，此時可以獲得 IP數(shù)據(jù)報、 arp、 rarp數(shù)據(jù)包，在這一層中可以對 IP數(shù)據(jù)報做一定的統(tǒng)計和分析等等；對 arp、 rarp數(shù)據(jù)包可以獲得發(fā)送端 IP和目的 IP等重要信息。 對 TCP/IP 模型中各層協(xié)議的分析 前面的內(nèi)容已經(jīng)提到過，我們在對數(shù)據(jù)包根據(jù)應(yīng)用層協(xié)議進(jìn)行分析的時候都需要首先剝離數(shù)據(jù) 包中的包頭并且需要根據(jù)包頭信息判斷是何種應(yīng)用層協(xié)議。把這個指針強(qiáng)制轉(zhuǎn)換為以太幀格式： (struct ether_header *) p。在以太網(wǎng)內(nèi)的 IP和 ARP數(shù)據(jù)報或者使用以太網(wǎng) II的或者使用 IEEE： 子網(wǎng)訪問協(xié)議 (SNAP)來封裝數(shù)據(jù)。目的地址可以是單播、多播或者以太網(wǎng)的廣播地址。 這個字段被用來將以太網(wǎng)的有效載荷傳給正確的上層協(xié)議實(shí)體。 (5)有效載荷 (Payload)：以太網(wǎng) II的幀的有效載荷由上層協(xié)議的協(xié)議數(shù)據(jù)單元組成，是數(shù)據(jù)包本身的具體內(nèi)容。 (6)幀校驗(yàn)序列 (Frame Check Sequence, FCS)： 4字節(jié)長，提供位級別的完整性校驗(yàn)，也被稱為循環(huán)冗余校驗(yàn) (CRC)。就得到了指向 IP報頭的指針，我們就可以進(jìn)行相應(yīng)的分析了。雖然很多時候一個 IP數(shù)據(jù)報就是一個 IP包，但它們在概念上是不同 的 實(shí)體。典型的 IP頭不包括任何選項(xiàng)，長度為 20字節(jié)。 (6)標(biāo)志 (flags)：長度為 3位，包含兩個用于分片的標(biāo)志。 (9)協(xié)議 (protocol)：長度為 1字節(jié)，表示包含在有效載荷中的上層協(xié)議。 (12)選項(xiàng)和填充：此字段跟在 IP頭之后，但必須是以 4個字節(jié)為增量單位，以使 IP頭的大小能用報頭長度字段表示。TCP正為目前 Intemet上幾乎所有的應(yīng)用協(xié)議所利用，這是因?yàn)榇蟛糠謶?yīng)用程序都需要可靠的、可糾錯的傳輸協(xié)議以保證不丟失或破壞數(shù)據(jù)。 IP頭中的源地址和 TCP頭中的源端口聯(lián)合起來提供一個源套接字。 (2)目的端口 (destination port)：指示目的應(yīng)用層協(xié)議，是一個 2字節(jié)字段。利用隨機(jī)值確定初始值，以字節(jié)為單位表示所發(fā)送數(shù)據(jù)的位置。在不包括選項(xiàng)的情況下， TCP報頭是 20個字節(jié)， offset的值為 5。 (8)窗口 (window)：一個 2字節(jié)的字段，表明該段的發(fā)送方的接收緩沖區(qū)中可 供使用的空間有多少字節(jié)數(shù)。 (11)選項(xiàng) (option)：為提高利用 TCP的通信性能所準(zhǔn)備的選項(xiàng)。此協(xié)議是面向操作的，未提供提交和復(fù)制保護(hù)。如果不使用，設(shè)置值為 0。該用戶數(shù)據(jù)報的八位長度，包括協(xié)議頭和數(shù)據(jù)。如果必要的話，可以由兩個八位復(fù)合而成。一種為公認(rèn)端口，另一種為短暫端口。公認(rèn)端口號有很多，工人端口號被定義在 unix類操作系統(tǒng)下的 /etc/services文件中下表列出了其中的一部分。關(guān)鍵代碼如下 void getportname (int portn, char portch[], char *protocol){ if (getservbyport (htons (portn), protocol) != NULL){ strcpy(portch, getservbyport(htons(portn),protocol)s_name)。 getportname()函數(shù)的核心是調(diào)用getservbyport()函數(shù)。把端口名稱賦給 s_name。 5 程序運(yùn)行與測試 測試環(huán)境 硬件環(huán)境 處理器 P3 800Mhz 以上；內(nèi)存 128M 以上；多臺普通搭載網(wǎng)卡的 PC、經(jīng)過 集線器 互聯(lián)。 然后 對每個功能模塊進(jìn)行數(shù)據(jù)合 法性檢查、數(shù)據(jù)一致性檢查。 圖 51 程序運(yùn)行界面 結(jié) 論 在研究了網(wǎng)絡(luò)監(jiān)聽技術(shù)和協(xié)議分析技術(shù)的基礎(chǔ)上，本文設(shè)計和實(shí)現(xiàn)了一個網(wǎng) 絡(luò)數(shù)據(jù)包的議分析程序，該程序具有以下特點(diǎn)： (1)將能夠監(jiān)聽局域網(wǎng)中的數(shù)據(jù)。目前本系統(tǒng)只能被動的接收網(wǎng)絡(luò)數(shù)據(jù)，并不能對監(jiān)聽點(diǎn)進(jìn)行控制，如果能夠增加控制功能比如可以設(shè)定監(jiān)聽程序的啟動 /暫停 ,無疑會使得更加靈活強(qiáng)大。把數(shù)據(jù)報捕獲、協(xié)議分析、數(shù)據(jù)分析、相應(yīng)控制等都集中在一起必然對整個系統(tǒng)的性能存在影響，所以可以把各個組件分散設(shè)計并協(xié)同工作，甚至一個組件比如數(shù)據(jù)報捕獲組件都可以部署在多個監(jiān)控點(diǎn)。 [3] 謝希仁 .計算機(jī)網(wǎng)絡(luò) [M].北京：電子工業(yè)出版社 ， 2021。 致 謝 本文是在歐曉聰老師的熱情關(guān)心和指導(dǎo)下完成的，他淵博的知識和嚴(yán)謹(jǐn)?shù)闹螌W(xué)作風(fēng)使我受益匪淺，對順利完成本課題起到了極大的作用。對金老師的感激之情是無法用言語表達(dá)的。除非另有說明，本文的工作是原始性工作。 （ 4）學(xué)?？稍试S學(xué)位論文被查閱或借閱。 卓姆強(qiáng)巴，藏族，四十二歲，天獅名犬馴養(yǎng)基地公司總裁，也是復(fù)旦大學(xué)生物系客座教授，主講世界名犬。 “幾千年來，全世界所公認(rèn)的，體形最龐大，性格最兇猛的，叫獒。” 瑪瑞滿腹狐疑，悻悻地去了，心里喃喃念叨著：“瘋了，教授一定是瘋了。我一直想到上海來探望你，看看是不是真的?！? “哦 ?”方新疑惑道，“好像這個時 段，沒有直飛拉薩的航班吧 ?” 卓木強(qiáng)道：“因?yàn)槭俏覀円ダ_，所以就有了去那里的直飛航班呢。我以為，它們都在拉薩機(jī)場起降呢。到時候安排人來接我們就是了。兩人遂登上軍用專機(jī)，從上海往西，朝著圣潔的高原 —— 西藏飛去?！? 次仁對他旁邊的年輕軍官道：“小張，你和小黃一起去，去機(jī)場看看，怎么說 也是上級領(lǐng)導(dǎo)的朋友。 這時候，秦立感覺到有一只溫暖的手覆蓋在自己的額頭，撫摸著自己的臉頰，很輕，很溫柔，透露著一股憐惜，珍愛??同時，朦朧中聽到一陣斷斷續(xù)續(xù)，似有還無的嗚咽聲，突然，似乎有一滴雨滴打在了臉上，涼涼的，沿著臉頰往下流，而后滑過嘴角??咸咸的。 不知過了多久，他終于融合了腦中全部的記憶，那種痛苦的感覺也漸漸消失，黑暗中，秦立心中茫然，想不到這么離奇 詭異的事情，都能讓自己遇到，原以為必死無疑，卻不想竟然以另一種方式，再一次的活過來！ 這個時候，秦立對外界的感知，也一點(diǎn)點(diǎn)的恢復(fù)了正常，耳中傳來一個有些清冷，但卻帶著幾分哀求聲音：“吳醫(yī)師，求你救救他，只要能把他治好，我，我一定重謝！” “重謝？大小姐，現(xiàn)在的你，又能拿什么來重謝我？” 黑暗中，秦立的眉頭皺起來，腦中充滿悲憤的記憶告訴他，他很反感這個聲音的主人。只是，秦母又怎么可能看上他這種人，若不是為了兒子，根本連看都懶得看他一眼。秦立整日練功，難免帶來一些傷害，因?yàn)檎埐黄鹩忻尼t(yī)生，只能去請這個在秦家地位并不高的 醫(yī)師。無數(shù)記憶的碎片再一次潮水般洶涌襲來，秦立就像是一只被怒浪卷進(jìn)大海的可憐蟲，沒有絲毫反抗的余地，最難受的是想昏過去，都成為一種奢望。他身高一米七六，身體魁梧狀況僅次于團(tuán)長班覺次仁，面如刀削，目光如炬，其個人格擊和應(yīng)變思維，在這個團(tuán)不作第二人想。次仁剛吃過午飯，一名士兵來報，上級領(lǐng)導(dǎo)打來電話，某教授會乘 A3097次專機(jī)在軍區(qū)機(jī)場降落，他們會從機(jī)場直赴蒙河，希望他能安排一下，準(zhǔn)備輛車接應(yīng)。這樣，我們就不用進(jìn)拉薩，到時候直接從機(jī)場往南，看是先去你家還是先去蒙河 ?”說著，打了個電話，那位領(lǐng)導(dǎo)在外地，答應(yīng)方新會替他們安排好的。 方新道：“不用著急，我打個電話，我和西藏軍區(qū)的一位領(lǐng)導(dǎo)頗有交情，上次也是坐他的飛機(jī)去西藏的，所以才知道這情況。” 方新道：“可是，軍用包機(jī)不在拉薩機(jī)場降落，在旁邊有個專用的軍用機(jī)場，離城還有一段距離呢。 方新收起電腦，喃喃道：“入藏后，就不能無線上網(wǎng)了，只是電腦里的很多資料很有用處?！彪娔X上在氣象局發(fā)來的橘紅色區(qū)域中又用更深的大紅色畫 出一塊，從珠峰以北畫到錫金和尼泊爾境內(nèi)。 或許聽錯了。他沒有讓他的父母失望，如今已是擁有千萬資產(chǎn)的公司老總，也是著名大學(xué)的教授，可謂名利俱盛，讓他起家的資本，不是別的，是犬。 除非另有科研合同和其他法律文書的制約，本論文的科研成果屬于成都信息工程學(xué)院。 （ 2）學(xué)?？梢圆捎糜坝?、縮印或其他復(fù)制方式保存學(xué)位論文。 最后向在百忙之中評審本文的各位專家、老師表示衷心的感謝！ 作者簡介 姓 名： 沈也明 性別： 男 出生年月： 1985 年 8 月 民族： 漢 Email: 聲 明 本論文的工作是 2021 年 02 月至 2021 年 06 月在成都信息工程學(xué)院 系完成的。金老師多次詢問研究進(jìn)程，并為我指點(diǎn)迷津，幫助我開拓 研究思路，精心點(diǎn)撥、熱忱鼓勵。 [5] Libpcap的數(shù)據(jù)結(jié)構(gòu)和函數(shù)介紹 [OL].LinuxAid網(wǎng)站 . [6] 王學(xué)磊 .網(wǎng)絡(luò)數(shù)據(jù)包截獲與分析研究 [D].沈陽：東北大學(xué) [碩士論文 ],2021。 參考文獻(xiàn) [1] 小高知宏 [日 ].TCP/IP數(shù)據(jù)包分析程序篇 [M].葉明譯 .北京：科學(xué)出版社 ,2021。在高速寬帶的網(wǎng)絡(luò)中進(jìn)行監(jiān)聽時，由于受限于目前網(wǎng)絡(luò)接口、計算機(jī)總線結(jié)構(gòu)、 CPU處理能力、磁盤 I/O性能等的影響，不可避免會出現(xiàn)丟包、無法實(shí)時控制等情況，這時應(yīng)類似于網(wǎng)絡(luò)分析儀一樣結(jié)合硬件充分發(fā)揮系統(tǒng)的潛 能開發(fā)成熟產(chǎn)品。 與此同時，隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展， 網(wǎng)絡(luò)帶寬越來越寬，網(wǎng)絡(luò)規(guī)模越來越大，網(wǎng)絡(luò)結(jié)構(gòu)越來越復(fù)雜，可以從以下三個方面對本系統(tǒng)做改進(jìn)和更進(jìn)一步的深入研究。 測試結(jié)果評價 本設(shè)計在 Fedora Core 4 環(huán)境試運(yùn)行下，編碼后經(jīng)過多次測試并將發(fā)現(xiàn)的錯誤及時修改，系統(tǒng)運(yùn)行正常，基本達(dá)到設(shè)計目標(biāo)，運(yùn)行結(jié)果比較良好。 測試步驟 首先，用多臺 PC搭建局域網(wǎng)絡(luò)。這是因?yàn)榈玫降亩丝谔柺嵌虝憾丝谔?，沒有檢索到它的端口名稱。 servent型的結(jié)構(gòu)體在 明。 } } 現(xiàn)在介紹一下 getportname()函數(shù)。短暫端口號是不可再 生的，被運(yùn)行系統(tǒng)分配給客戶端程序。當(dāng)某一網(wǎng)絡(luò)客戶端利用其他計算機(jī)上的服務(wù)程 序時，在根據(jù) IP地址指定服務(wù)計算機(jī)的同時，也指定了被分配的服務(wù)程序的公認(rèn)端口號。端口是應(yīng)用程序在網(wǎng)絡(luò)通信上使用的數(shù)據(jù)輸入輸出口。 (4)校驗(yàn)和 — 16 位。目標(biāo)端口在特殊因特網(wǎng)目標(biāo)地址的情況下具有意義。源端口是可選字段。此協(xié)議默認(rèn)認(rèn)為網(wǎng)路協(xié)議 (IP)是其下層協(xié)議。 (9)校驗(yàn)和 (checksum)：一個 2字節(jié)的字段，為 TCP段提供位級別的完整性校驗(yàn)。 (7)標(biāo)志 (flags)：一個 6字節(jié)字段，指示 6個 TCP標(biāo)志。是用于保證可靠性的確認(rèn)號碼。 (3)序列號 (sequence number)：指示段的第一個 8位組的輸出字節(jié)流的序列號，是一個 4字節(jié)字段。在一般情況下，應(yīng)用層協(xié)議的服務(wù)器端在己知的端口上偵聽。如圖 45所示，是 TCP段的封裝結(jié)構(gòu) 。然后就可以對 TCP/UDP數(shù)據(jù)包進(jìn)行分析了。 (10)報頭校驗(yàn)和 (header checksum)：長度為 2字節(jié)，是