【正文】 在發(fā)送數(shù)據(jù)到網(wǎng)絡(luò)，所有在局域網(wǎng)內(nèi)的計算機(jī)通過適配器都能夠發(fā)現(xiàn)這個數(shù)據(jù)包，其中也包括路由適配器，嗅探器和其他一些機(jī)器。用戶A并不清楚網(wǎng)絡(luò)的結(jié)構(gòu)情況和路由走向。這個IP包在網(wǎng)絡(luò)上傳輸，它必須能夠穿透路由器?；赗aw協(xié)議，傳輸和接收都在以太網(wǎng)里起著支配作用。這種問題不會發(fā)生在撥號用戶身上，因為計算機(jī)會假定一切數(shù)據(jù)都由你發(fā)送給MODEM，然后通過電話線傳送出去。事實上是忽略掉了與自身MAC地址不符合的信息。另外一種是針對不安全的局域網(wǎng)(采用交換HUB實現(xiàn))，放到個人電腦上就可以實現(xiàn)對整個局域網(wǎng)的偵聽，這里的原理是這樣的:共享HUB獲得一個子網(wǎng)內(nèi)需要接收的數(shù)據(jù)時，并不是直接發(fā)送到指定主機(jī)，而是通過廣播方式發(fā)送到每個電腦，對于處于接受者地位的電腦就會處理該數(shù)據(jù)，而其他非接受者的電腦就會過濾這些數(shù)據(jù)，這些操作與電腦操作者無關(guān)，是系統(tǒng)自動完成的，但是電腦操作者如果有意的話，就可以將那些原本不屬于他的數(shù)據(jù)打開，這就是安全隱患！以太網(wǎng)的數(shù)據(jù)傳輸是基于“共享”原理的：所有的同一本地網(wǎng)范圍內(nèi)的計算機(jī)共同接收到相同的數(shù)據(jù)包。不僅可以有效地診斷網(wǎng)絡(luò)狀況，更可以為信息安全戰(zhàn)打攻堅戰(zhàn)?？尚行匝芯繎?yīng)具有預(yù)見性、公正性、可靠性、科學(xué)性的特點(diǎn)。我們在使用基于TCP/IP協(xié)議的網(wǎng)絡(luò)時，網(wǎng)絡(luò)中其實傳遞的就是數(shù)據(jù)包。數(shù)據(jù)包的結(jié)構(gòu)非常復(fù)雜，不是三言兩語能夠說清的，在這里主要了解一下它的關(guān)鍵構(gòu)成就可以了，這對于理解TCP/IP協(xié)議的通信原理是非常重要的。 “包”聽起來非常抽象，那么是不是不可見的呢？通過一定技術(shù)手段，是可以感知到數(shù)據(jù)包的存在的。OSI模型在邏輯上可分為兩個部分：低層的1至3層關(guān)注的是原始數(shù)據(jù)的傳輸；高層的4至5層關(guān)注的是網(wǎng)絡(luò)下的應(yīng)用程序。有人說，局域網(wǎng)中傳輸?shù)牟皇恰皫?Frame)嗎？沒錯，但是TCP/IP協(xié)議是工作在OSI模型第三層(網(wǎng)絡(luò)層)、第四層(傳輸層)上的，而幀是工作在第二層(數(shù)據(jù)鏈路層)。ICMP的‘Redirect’信息通知主機(jī)通向其他系統(tǒng)的更準(zhǔn)確的路徑，而‘Unreachable’信息則指出路徑有問題。使用UDP的服務(wù)包括NTP（網(wǎng)落時間協(xié)議）和DNS（DNS也使用TCP）。DNS在某些情況下使用TCP（發(fā)送和接收域名數(shù)據(jù)庫），但使用UDP傳送有關(guān)單個主機(jī)的信息。TCP數(shù)據(jù)包中包括序號和確認(rèn)，所以未按照順序收到的包可以被排序，而損壞的包可以被重傳。這個選項是為了測試而存在的，說明了它可以被用來欺騙系統(tǒng)來進(jìn)行平常是被禁止的連接。 高層的TCP和UDP服務(wù)在接收數(shù)據(jù)包時，通常假設(shè)包中的源地址是有效的。下面對其中的4個協(xié)議做一些簡單的介紹：① IP :網(wǎng)際協(xié)議IP是TCP/IP的心臟，也是網(wǎng)絡(luò)層中最重要的協(xié)議。談到RFC標(biāo)準(zhǔn)，那么首先考慮到的應(yīng)該是RFC733。沒過多久（1986年），為了RFC討論的需要，需要建立一個由工程技術(shù)人員組成的、對標(biāo)準(zhǔn)的發(fā)展負(fù)責(zé)的工作機(jī)構(gòu)，以便有效地引導(dǎo)因特網(wǎng)的發(fā)展成長，這樣，因特網(wǎng)工程工作組（INENG）成立了。1969年，當(dāng)時只有一個網(wǎng)絡(luò)，整個社會不超過一百位專業(yè)人員；隨著因特網(wǎng)的飛速發(fā)展，因特網(wǎng)不但需要一個機(jī)構(gòu)來集中和協(xié)調(diào)這些成果，并且需要制定一個最低要求的準(zhǔn)則，至少能在成員之間進(jìn)行有效的通信并取得相互了解。它的發(fā)展變遷過程要追溯到1969年，起因是由于因特網(wǎng)的成員過于分散。在1968年，它的早期研究成果開始嶄露頭角，后來便出現(xiàn)了它的前身ARPANET，ARPANET為表現(xiàn)因特網(wǎng)特性的試驗平臺做出了重大貢獻(xiàn)，1973年，因特網(wǎng)正式面世。首先，在以太網(wǎng)中是基于廣播方式傳送數(shù)據(jù)的，也就是說，所有的物理信號都要經(jīng)過我的機(jī)器。對于網(wǎng)卡來說一般有四種接收模式：a)廣播方式：該模式下的網(wǎng)卡能夠接收網(wǎng)絡(luò)中的廣播信息。當(dāng)用戶發(fā)送一個數(shù)據(jù)包時，這些數(shù)據(jù)包就會發(fā)送到LAN上所有可用的機(jī)器。幀通過特定的稱為網(wǎng)絡(luò)驅(qū)動程序的軟件進(jìn)行成型，然后通過網(wǎng)卡發(fā)送到網(wǎng)線上，通過網(wǎng)線到達(dá)它們的目的機(jī)器，在目的機(jī)器的一端執(zhí)行相反的過程。C＃通過避免一般的編程錯誤和自動資源管理，使得C＃的穩(wěn)定性得到了極大的增強(qiáng)。C 。而一個好的開發(fā)環(huán)境對提高開發(fā)的效率同樣起著很重要的作用。作為從事網(wǎng)絡(luò)技術(shù)方面的人員來說，要想有效地利用它、防范它，就得深入地學(xué)習(xí)、分析網(wǎng)絡(luò)嗅探技術(shù)。這成為黑客們常用的擴(kuò)大戰(zhàn)果的方法，用來奪取其他主機(jī)的控制權(quán)。多數(shù)黑客入侵成功并植入后門后的第一件事就是選擇一個合適當(dāng)前網(wǎng)絡(luò)的嗅探器，以獲得更多的受侵者的信息。目 錄1 引 言 1 開發(fā)背景 1 開發(fā)意義 12 系統(tǒng)分析 2 設(shè)計概述 2 實現(xiàn)目標(biāo) 2 開發(fā)環(huán)境 2 開發(fā)相關(guān)技術(shù)簡介 2 C語言簡介 2 嗅探技術(shù)簡介 3 TCP/IP協(xié)議 4 數(shù)據(jù)包簡介 6 可行性分析 83 詳細(xì)設(shè)計 9 設(shè)計原理 9 功能說明 11 系統(tǒng)實施 12 系統(tǒng)測試 144 論文總結(jié) 19致 謝 20參考文獻(xiàn) 21 1 引 言 開發(fā)背景網(wǎng)絡(luò)技術(shù)的日新月異，發(fā)展突飛猛進(jìn)，計算機(jī)網(wǎng)絡(luò)的應(yīng)用越來越廣泛，其作用也越來越重要。Internet的安全已經(jīng)成為亟待解決的問題。鍵盤捕獲程序捕獲在終端上輸入的鍵值，對網(wǎng)絡(luò)中的數(shù)據(jù)幀進(jìn)行捕獲的一種被動監(jiān)聽手段，是一種常用的收集有用數(shù)據(jù)的方法，可以分析各種信息包并描述出網(wǎng)絡(luò)的結(jié)構(gòu)和使用的機(jī)器，由于它接收任何一個在同一網(wǎng)段上傳輸?shù)臄?shù)據(jù)包，所以也就存在著捕獲密碼、各種信息、秘密文檔等一些沒有加密的信息的可能性。[1] 開發(fā)意義本次畢業(yè)設(shè)計是基于C的網(wǎng)絡(luò)嗅探器的設(shè)計與實現(xiàn)，由于本人能力上的限度，只是對抓取到的本機(jī)在網(wǎng)絡(luò)中的通信數(shù)據(jù),比如說協(xié)議類型，源、目的地址和端口、數(shù)據(jù)包的大小等加以分析，而無法做到像Sniffer或者影音神探那種成熟的嗅探器所擁有的強(qiáng)大功能。有個合理的設(shè)計目標(biāo)使得在設(shè)計過程中不茫然，思路更清楚。 C語言簡介C（C Sharp）是微軟于2000年提出的一種源于C++、類似于Java的面向?qū)ο缶幊陶Z言，適合于分布式環(huán)境中的組件開發(fā)。不過，絕大部分的C++開發(fā)者將會因為C＃保留了C++中大部分其喜歡的、強(qiáng)大的、令人激動的功能而選擇使用它。[2] 嗅探技術(shù)簡介數(shù)據(jù)在網(wǎng)絡(luò)上是以很小的稱為幀（Frame）的單位傳輸?shù)?，幀由幾部分組成，不同的部分執(zhí)行不同的功能。 每一個在局域網(wǎng)（LAN）上的工作站都有其硬件地址，這些地址唯一地表示了網(wǎng)絡(luò)上的機(jī)器（這一點(diǎn)與Internet地址系統(tǒng)比較相似）。從原理上來說，在一個實際的系統(tǒng)中，數(shù)據(jù)的收發(fā)是由網(wǎng)卡來完成的，網(wǎng)卡接收到傳輸來的數(shù)據(jù)，其內(nèi)的單片程序接收數(shù)據(jù)幀的目的MAC地址，根據(jù)計算機(jī)上的網(wǎng)卡驅(qū)動程序設(shè)置的接收模式判斷該不該接收，認(rèn)為該接收就接收后產(chǎn)生中斷信號通知CPU，認(rèn)為不該接收就丟掉不管，所以不該接收的數(shù)據(jù)網(wǎng)卡就截斷了，計算機(jī)根本就不知道。d)混雜模式：在這種模式下的網(wǎng)卡能夠接收一切通過它的數(shù)據(jù)，而不管該數(shù)據(jù)是否是傳給它的。[4] TCP/IP協(xié)議因特網(wǎng)是一個發(fā)展非?；钴S的領(lǐng)域。為了了解新的協(xié)議是如何出現(xiàn)并最終成為標(biāo)準(zhǔn)的，應(yīng)該首先熟悉縮寫詞RFC，即Request for Comment。在因特網(wǎng)社會中關(guān)于RFC的用法以及如何操作并沒有太大的變化。大約在1977年，隨著作為因特網(wǎng)實驗備忘錄（IEN）一部分的許多實驗的進(jìn)行，著名的TCP/IP協(xié)議獲得了發(fā)展的動力。但是，如果你是一個因特網(wǎng)上的?？?，可能對縮略詞IAB并不滿意，的確，在IAB的逐步發(fā)展并走向成熟過程中，IAB將它的名字改為“Internet Architecture Board”（由“Activities”改為“Architecture”），因為I A B在因特網(wǎng)發(fā)展的運(yùn)作方面并沒起多大作用。[5]現(xiàn)今因特網(wǎng)上用到的主要協(xié)議有：用戶數(shù)據(jù)報協(xié)議（UDP），次要文件傳輸協(xié)議（TFTP），網(wǎng)際協(xié)議（IP），因特網(wǎng)控制報文協(xié)議(ICMP)，傳輸控制協(xié)議(TCP)，地址轉(zhuǎn)換協(xié)議(ARP)，虛終端協(xié)議(Telnet)，反向地址轉(zhuǎn)換協(xié)議(RARP)，外部網(wǎng)關(guān)協(xié)議(EGP)版本2，引導(dǎo)協(xié)議(BootP)，路由信息協(xié)議(RIP)，距離向量多播路由協(xié)議(DVMRP)。IP數(shù)據(jù)包中含有發(fā)送它的主機(jī)的地址（源地址）和接收它的主機(jī)的地址（目的地址）。對于一些TCP和UDP的服務(wù)來說，使用了該選項的IP包好象是從路徑上的最后一個系統(tǒng)傳遞過來的，而不是來自于它的真實地點(diǎn)。TCP將包排序并進(jìn)行錯誤檢查，同時實現(xiàn)虛電路間的連接。 面向連接的服務(wù)（例如Telnet、FTP、Rlogin、X Windows和SMTP）需要高度的可靠性，所以它們使用了TCP。相對于FTP或Telnet，這些服務(wù)需要交換的信息量較小。它主要是用來提供有關(guān)通向目的地址的路徑信息。[6] 數(shù)據(jù)包簡介