【正文】 [4]陳堅 ,陳偉 ．Visual c++ 網(wǎng)絡(luò)高級編程[M]．北京：人民郵電出版社,2022。同時我也發(fā)現(xiàn)了自身的許多不足之處，有待在將來的工作中進一步的學(xué)習(xí)和完善。在整個軟件的開發(fā)過程中，本人經(jīng)歷了對 VC++開發(fā)環(huán)境的熟悉、網(wǎng)絡(luò)基本知識的進一步熟悉、Winpcap 等相關(guān)技術(shù)的學(xué)習(xí)和研究,對本軟件開發(fā)方案的選擇以及信息捕獲的相關(guān)知識的學(xué)習(xí)。單擊開始按鈕，系 統(tǒng)開始執(zhí)行捕獲相應(yīng)的數(shù)據(jù)包信息，顯示捕獲數(shù)據(jù)包的個數(shù)，并且將捕獲出來的信息寫入 ACCESS 數(shù)據(jù)庫；單擊停止按鈕，系統(tǒng)停止捕獲數(shù)據(jù)包信息，并且斷開與數(shù)據(jù)庫的連接；單擊顯示數(shù)據(jù)按鈕， 會彈 出一個消息框，消息框里有一個下拉列表，可以選擇用戶想要查看的數(shù)據(jù)庫中的 3 張不同的表單，選中其中一項，會將數(shù)據(jù)庫中的相應(yīng)表中的相應(yīng)列和相應(yīng)項顯示在下面的消息框中；而單擊退出按鈕， 則是退出該軟件。具體界面如下： 21 圖 13 主界面外觀用戶界面第一行為軟件找網(wǎng)卡設(shè)備，設(shè)計成的是一個下拉列表，能夠把找到的網(wǎng)卡信息都列出來。 } … 用戶界面模塊根據(jù)上面三個模塊的分析，直接與用戶相關(guān)聯(lián)的操作有：為Winpcap 指定一個具體的網(wǎng)絡(luò)適配器，選擇需要過濾的數(shù)據(jù)類型或者想要過濾的特定 IP 地址發(fā)送的 TCP 和 UDP 信息。return。pColumn)。}catch(__error *e){AfxMessageBox(eErrorMessage())。m_pRecordsetPutCollect(IP 數(shù)據(jù)包長度, _variant_t(IPDateLength))。///連接數(shù)據(jù)庫}catch(__error e)///捕捉異常{ AfxMessageBox(數(shù)據(jù)庫連接失敗，確認數(shù)據(jù)庫 是否在當前路徑下!)。 //TCP 首部長度sprintf(date,%X,udphcontent)。 //TCP 首部長度sprintf(date,%X,tcphcontent)。if(ihproto == 6 ) //這里是 TCP 數(shù)據(jù)包{strcpy(proto,TCP)。//ip 頭int iplen=(ihver_ihl amp。udp* udph。}return 1。struct pcap_pkthdr *header。參數(shù)5為錯誤信息緩存。獲程序。如果不能保證較強的穩(wěn)定性的話，那么軟件對信息過濾的效率和功能有很大的局限性，對數(shù)據(jù)信息過濾就是失敗的。所以本軟件需要 設(shè)計出按TCP 協(xié)議類型和按UDP協(xié)議類 型來過濾網(wǎng)絡(luò)中的數(shù)據(jù)。而有的人，就利用這些隱患，通過網(wǎng)絡(luò)來發(fā)送一些包含色情，反動等不良內(nèi)容的信息，達到擾亂正常社會秩序的目的。UDP協(xié)議是英文User Datagram Protocol的縮寫，即用戶數(shù)據(jù)報協(xié)議，主要用來支持那些需要在計算機之間傳輸數(shù)據(jù)的網(wǎng)絡(luò)應(yīng)用。TCP首部的各字段如圖8所示：IP 首部 TCP 首部 TCP 數(shù)據(jù)IP 數(shù)據(jù)報TCP 報文段20 字節(jié) 20 字節(jié)圖 8 TCP 數(shù)據(jù)在 IP 數(shù)據(jù)報中的封裝TCP協(xié)議頭部信息如下：源端口：發(fā)送端TCP端口號。標識：信源主機賦予每個IP數(shù)據(jù)報的唯一標識符號，用于控制分片及其重組。這個過程稱作分用（Demultiplexing ），圖6顯示了該過程是如何發(fā)生的。然后逐個通過每一層直到被當作一串比特流送入網(wǎng)絡(luò)。雖然TCP使用不可靠的IP服務(wù) ，但它卻提供一種可靠的運輸層服務(wù)。任何必需的可靠性必須由應(yīng)用層來提供。網(wǎng)絡(luò)層：有時也稱作互聯(lián)網(wǎng)層，處理分組在網(wǎng)絡(luò)中的活動，例如分組的選路。Winpcap 結(jié)構(gòu)圖如下： 4 圖 2 NPF device driver2 基于信息捕獲的相關(guān)理論基礎(chǔ) TCP/IP 協(xié)議TCP/IP（Transfer Contrcol/Inter Protocol）傳輸控制協(xié)議/ 網(wǎng)際協(xié)議起源于60年代末美國政府資助的一個分組交換網(wǎng)絡(luò)研究項目，到90年代已發(fā)展成為計算機之間最常應(yīng)用的組網(wǎng)形式。它包括了一些比如過濾器生成、用戶級緩沖等其它的高層函數(shù)，增加了比如統(tǒng)計和包發(fā)送等更高級的特性。它的主要功能是過濾數(shù)據(jù)包，并把這些數(shù)據(jù)包原封不動地傳給用戶態(tài)模塊。 Winpcap 簡介Winpcap（windows packet capture）是 Windows 平臺下一個免費，公共的網(wǎng)絡(luò)訪問系統(tǒng)。目前我國正在進行大規(guī)模的現(xiàn)代化經(jīng)濟建設(shè)，需要使用自己的網(wǎng)絡(luò)和信息安全系統(tǒng)來保護自己的網(wǎng)絡(luò)和信息系統(tǒng)，尤其是對于全國性大型計算機網(wǎng)絡(luò)而言，必須將網(wǎng)絡(luò)安全和信息安全放在非常重要的地位上，而從長遠角度看，這只能依靠我們自己解決。 data capture。在網(wǎng)絡(luò)技術(shù)發(fā)展與普及的同時，網(wǎng)絡(luò)安全問題引起了人們的廣泛關(guān)注。另外，還能實現(xiàn)一些功能，如對指定的 IP 地址進行數(shù)據(jù)包的捕獲，對捕獲結(jié)果進行顯示等。但同時某些不法分子利用網(wǎng)絡(luò)的漏洞非法入侵他人的主機系統(tǒng)，有的利用網(wǎng)絡(luò)盜取他人個人信息，如網(wǎng)上銀行帳號密碼等，對他人財產(chǎn)安全造成了重大威脅。本畢業(yè)設(shè)計主要通過使用Winpcap開發(fā)包，在VC++環(huán)境下編寫出了一款簡單的軟件對數(shù)據(jù)包信息按TCP協(xié)議類型、UDP 協(xié)議類型和特定IP地址進行分類捕獲，捕獲出所需要的敏感信息，并且將捕獲出來的信息寫入數(shù)據(jù)庫。Winpcap是Win32 平臺下的數(shù)據(jù)包捕 獲與網(wǎng) 絡(luò)分析架構(gòu)，由三個模塊構(gòu)成:NPF, , 。提供了一套系統(tǒng)獨立的API（Application Programming Interface 應(yīng)用編程接口）， Windows 3 平臺上而無需重新編譯。Winpcap 的具體結(jié)構(gòu)圖 1 所示: Winpcap 是用 NDIS（Windows 的通信協(xié)議程序(比如 TCP/IP)和網(wǎng)絡(luò)設(shè)備驅(qū)動器之間通信的規(guī)范）的，將自己注冊為一個協(xié)議處理驅(qū)動?；赥CP/IP協(xié)議的網(wǎng)絡(luò)體系結(jié)構(gòu)，TCP/IP 協(xié)議分為四層如圖3所示，每一層 分別負責不同的通信功能。它所做的工作包括把應(yīng)用程序交給它的數(shù)據(jù)分成合適的小塊交給下面的網(wǎng)絡(luò)層，確認接收到的分組， 設(shè)置發(fā)送最后確認分組的超時時鐘等，由于運輸層提供了高可靠性的端到端的通信，因此應(yīng)用層可以忽略所有這些細節(jié)。下三層對應(yīng)用程序一無所知，但卻要處理所有的通信細節(jié)。網(wǎng)絡(luò)層的ICMP是IP協(xié)議 的附屬協(xié)議，IP協(xié)議用它與路由器之間交換錯誤報文或其它控制信息。這就是通常說的數(shù)據(jù)的封裝過程，如圖5所示。首部長度：以32bit為單 位的包頭長度。源IP地址和目的IP 地址：分別指發(fā)送本數(shù)據(jù)報的主機IP地址和接受本數(shù)據(jù)報的主機的IP地址。碼位：指出段的目的與內(nèi)容，不同的各碼位置位有不同的含義。這個偽頭標來自于IP報頭，包括：源IP 地址、信宿 IP地址、協(xié)議類型、UDP長度及填充域。IP是TCP/IP協(xié)議族中最為核心的協(xié)議。一方面，網(wǎng)絡(luò)檢測部分的數(shù)據(jù)源是網(wǎng)絡(luò)上的數(shù)據(jù)包，需要經(jīng)過捕獲后方可以提交給分析系統(tǒng)；另一方面，捕獲數(shù)據(jù)包效率的高低直接影響著網(wǎng)絡(luò)探測部分的性能的好壞，如果發(fā)生丟包現(xiàn)象， 則有可能丟掉的包就是攻擊包。系統(tǒng)流程圖如下圖： 12 開始捕獲數(shù)據(jù)分析協(xié)議類型數(shù)據(jù)庫處理結(jié)束結(jié)束Y E SY E SN ON O圖 10 系統(tǒng)流程圖本系統(tǒng)包括三個基本模塊，分別是數(shù)據(jù)包捕獲模塊，數(shù)據(jù)分析模塊和數(shù)據(jù)庫模塊。}接下來打開所獲得的網(wǎng)絡(luò)適配器，其中pcap_open函數(shù)的參數(shù)1為上面獲得的NIC名稱，參數(shù)2定義了網(wǎng)絡(luò)監(jiān)測 程序所捕捉的最大字節(jié)數(shù)。m_handle=CreateThread(NULL,0,ThreadProc,this,0,ThID)。header,amp。其流程圖如下： 捕獲的數(shù)據(jù)包分析以太網(wǎng)協(xié)議判斷是否為I P 協(xié)議數(shù)據(jù)分析 I P 協(xié)議數(shù)據(jù)判斷是否是T C P ， U D P協(xié)議類型字段分析 T C P ，U D P 協(xié)議類型數(shù)據(jù)包傳入數(shù)據(jù)庫處理模塊Y E SN OY E SN O圖 12 數(shù)據(jù)包分析流程圖 16 數(shù)據(jù)分析模塊實現(xiàn)時，本系統(tǒng)提取的數(shù)據(jù)包中主要的一些信息，如 IP 數(shù)據(jù)包中的 IP 地址，端口信息等。header)。//生存時間sprintf(SIP,%d.%d.%d.%d,ih,ih,ih,ih)。 //源端口// sprintf(Dport,%d,tcphdport)。 //目的端口// sprintf(Sport,%d,udphsport)。本系統(tǒng)使用的是 ado 數(shù)據(jù)庫連 接方式，ado 是 Microsoft 開發(fā)的一個連接數(shù)據(jù)庫方式，由于本系統(tǒng)的使用平臺，開發(fā)環(huán)境都為 Microsoft 的軟件，所以本系統(tǒng)使用 ado 方式。try{m_pRecordsetAddNew()。m_pRecordsetPutCollect(源端口, _variant_t(Sport))。pColumn)。pColumn)。 if( != VT_NULL) {str= __util::ConvertBSTRToString((_bstr_t)var)。在為程序指定具體的捕獲方式時，在程序中分別設(shè)置了三個BOOL 型變量來分別控制所選中的狀態(tài)。3 種過濾類型中默認選中的是