【正文】 ..................... 3 網(wǎng)絡(luò)協(xié)議 .......................................................... 3 OSI 七層參考模型 ............................................... 3 TCP/IP 參考模型 ................................................ 3 OSI 模型與 TCP/IP 模型的比較 .................................... 4 主要協(xié)議 ...................................................... 5 數(shù)據(jù)包在 TCP/IP 網(wǎng)絡(luò)中的封裝解封過(guò)程 .......................... 10 仿真技術(shù)簡(jiǎn)介 ..................................................... 11 反嗅探措施 ....................................................... 13 嗅 探的檢測(cè) ................................................... 13 嗅探的防御 ................................................... 13 Windows 下的網(wǎng)絡(luò)嗅探及 WinPcap 研究 ................................ 13 WinPcap 簡(jiǎn)介 .................................................. 13 WinPcap 體系結(jié)構(gòu) .............................................. 16 Windows 下的網(wǎng)絡(luò)嗅探 .......................................... 19 基于 WinPcap 的包捕獲過(guò)程 ..................................... 21 第三章 需求分析與動(dòng)畫(huà)演示設(shè)計(jì) ........................................ 23 功能需求 ......................................................... 23 性能需求 ......................................................... 23 可行性分析 ....................................................... 24 動(dòng)畫(huà)演示設(shè)計(jì) ..................................................... 24 第四章 詳細(xì)設(shè)計(jì) ...................................................... 28 開(kāi)發(fā)環(huán)境 ......................................................... 28 系統(tǒng)功能模塊圖 ................................................... 29 系統(tǒng)流程圖 ....................................................... 30 詳細(xì)設(shè)計(jì) ......................................................... 31 界面實(shí)現(xiàn) ..................................................... 31 IV 選擇網(wǎng)卡 ..................................................... 34 過(guò)濾規(guī)則 ..................................................... 34 數(shù)據(jù)包捕獲 ................................................... 36 數(shù)據(jù)包分析 ................................................... 37 第五章 系統(tǒng)測(cè)試 ...................................................... 46 編寫(xiě)目的 ........................................................ 46 測(cè)試概要 ........................................................ 46 對(duì)軟件功能的評(píng)價(jià) ................................................ 49 第六章 開(kāi)發(fā)總結(jié) ...................................................... 51 致謝 ................................................................... 53 石河子大學(xué)學(xué)士學(xué)位論文 第一章 緒論 1 第一章 緒論 課題背景 近年來(lái)，數(shù)據(jù)通信網(wǎng)絡(luò)無(wú)論就其物理的規(guī)模還是應(yīng)用范圍來(lái)講，都獲得了巨大的發(fā)展。本課題主要通過(guò)對(duì)數(shù)據(jù)包的抓捕與分析機(jī)制進(jìn)行研究， 參考了大量有關(guān)抓捕數(shù)據(jù)包的專(zhuān)業(yè)文獻(xiàn)，由此了解國(guó)內(nèi)以及國(guó)際上主要的抓捕分析數(shù)據(jù)包的技術(shù)方法，并通過(guò)制作一個(gè)共享環(huán)境下的的數(shù)據(jù)抓包軟件的具體實(shí)現(xiàn)以對(duì)該機(jī)制進(jìn)行深一步的了解。研究分析網(wǎng)絡(luò) TCP/IP協(xié)議，并對(duì)本嗅探器基于的 WinPcap的框架體系進(jìn)行深入地研究。 在網(wǎng)絡(luò)歷史的早期，國(guó)際標(biāo)準(zhǔn)化組織 (ISO)和國(guó)際電報(bào)電話(huà)咨詢(xún)委員會(huì) (CCITT)共同出版了開(kāi)放系統(tǒng)互聯(lián)的七層參考模型 [6]，它是一種抽象的包含七層通信協(xié)議的參考模型，其中每一層執(zhí)行某一規(guī)定的任務(wù)，每層之間都有相應(yīng)的接口，除了第一層和第七層外，每一層即使用下層提供的服務(wù)，又給上層提供服務(wù)，也就是說(shuō)它即是服務(wù)的享有者，又是服務(wù)的提供者。 TCP/IP分層模型的四個(gè)協(xié)議層分別完成以下的功能 [5]： 第一層網(wǎng)絡(luò)接口層：網(wǎng)絡(luò)接口層包括用于協(xié)作 IP數(shù)據(jù)在已有網(wǎng)絡(luò)介質(zhì)上傳輸?shù)膮f(xié)議。其中 TCP協(xié)議 (Transmission Control Protocol)提供可靠的數(shù)據(jù)流傳輸服務(wù)，UDP協(xié)議 (Use Datagram Protocol)提供不可靠的用戶(hù)數(shù)據(jù)報(bào)服務(wù)。 IP數(shù)據(jù)包是不可 靠的，因?yàn)?IP并沒(méi)有做任何事情來(lái)確認(rèn)數(shù)據(jù)包是按順序發(fā)送的或者沒(méi)有被破壞。 IP數(shù)據(jù)報(bào)格式，如圖 21所示： 圖 21 IP 數(shù)據(jù)報(bào)格式 版本： 4位，標(biāo)識(shí) IP版本號(hào)。 TOS： 4位，分別表示最小延時(shí)、最大吞吐量、最高可靠性、最小費(fèi)用。 IP軟件在存儲(chǔ)器中維持一個(gè)計(jì)數(shù)器，每產(chǎn)生一個(gè)數(shù)據(jù)報(bào)，計(jì)數(shù)器就加 1，并將此值賦給標(biāo)識(shí) 字段。標(biāo)志字段中間的一位記為 DF（ Don39。最初的設(shè)計(jì)是以秒作為 TTL的單位。 首部校驗(yàn)和： 16位，首部檢驗(yàn)和字段是根據(jù) IP首部計(jì)算的檢驗(yàn)和碼，它不對(duì)首部后面的數(shù)據(jù)進(jìn)行計(jì)算。 TCP將包排序并進(jìn)行錯(cuò)誤檢查，同時(shí)實(shí)現(xiàn)虛電路間的連接。 圖 23 TCP 包首部 石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 8 3） UDP UDP與 TCP位于同一層，但它不管數(shù)據(jù)包的順序、錯(cuò)誤或重發(fā)。 長(zhǎng)度（ Length）： 2字節(jié)， UDP用戶(hù)數(shù)據(jù)報(bào)的總長(zhǎng)度，以字節(jié)為單位。 IP協(xié)議提供的是面向無(wú)連接的服務(wù)，不存在關(guān)于網(wǎng)絡(luò)連接的建立和維護(hù)過(guò)程，也不包括流量控制與差錯(cuò)控制功能 ,但需要對(duì)網(wǎng)絡(luò)的狀態(tài)有一些了解，因此在網(wǎng)際層提供了因特網(wǎng)控制消息協(xié)議（ Inter control message protocol，簡(jiǎn)稱(chēng) ICMP）來(lái)檢測(cè)網(wǎng)絡(luò)，包括路由、擁塞、服務(wù)質(zhì)量等問(wèn)題?？蛻?hù)程序向服務(wù)石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 10 進(jìn)程寫(xiě)入信息，服務(wù)進(jìn)程讀出信息并發(fā)出響應(yīng)，客戶(hù)程序讀出響應(yīng)并向用戶(hù)報(bào)告。由操作系統(tǒng)內(nèi)核提供的捕獲機(jī)制主要有以下四種： BPF(Berkeley Packet Filter)， DLPI(Data Link Provider Interface)，NIT(Network Interface Tap)， SOCK_PACKET套接口。 (1)目的 MAC地址 (2)源 MAC地址 (3)0800(表示承載的 IPv4)(4)IP頭 (5)TCP頭或 UDP頭(6)數(shù)據(jù) (7)校驗(yàn)和。交換式網(wǎng)絡(luò)嗅探區(qū)別于共享式網(wǎng)絡(luò)嗅探的地方是它主要利用交換網(wǎng)工 作機(jī)制中的漏洞來(lái)實(shí)現(xiàn)。 (2)在重要的終端機(jī)器上使用靜態(tài)的 ARP表，把本局域網(wǎng)內(nèi)所有網(wǎng)卡的 IP． MAC地址記錄下 來(lái)，建立 IP． MAC數(shù)據(jù)庫(kù)，以便以后使用。 WinPcap是由意大利的 Fulvio Risso和 Loris Degioanni等人實(shí)現(xiàn)的應(yīng)用于 Win32平臺(tái)數(shù)據(jù)包捕獲與分析的一種驅(qū)動(dòng)軟件包，并提供了在 Windows操作系統(tǒng)下的開(kāi)放源代碼，是一套高性能API封裝庫(kù)，有一套標(biāo)準(zhǔn)的抓包接口專(zhuān)門(mén)用于網(wǎng)絡(luò)數(shù)據(jù)包的截獲，并在其基礎(chǔ)上增加了自定義數(shù)據(jù)包的發(fā)送能力以及針對(duì) Win32平臺(tái)的擴(kuò)展函數(shù)，獨(dú)立于 Windows操作系統(tǒng)的協(xié)議棧。 (3)將原始數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)發(fā)送出去。 WinPcap的這種包統(tǒng)計(jì)功能是一種非常高效的、用來(lái)監(jiān)測(cè)網(wǎng)絡(luò)的方法，即使在局域網(wǎng)有大量數(shù)據(jù)包流動(dòng)時(shí)，它仍然可以工作的很好。主動(dòng)模式是有用的，除了當(dāng)遠(yuǎn)程后臺(tái)程序遇到了防火墻的阻止而不能訪(fǎng)問(wèn)外部網(wǎng)絡(luò)時(shí)。 石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 16 WinPcap 體系結(jié)構(gòu) WinPcap的體系結(jié)構(gòu)是借鑒的 BSD Capturing Component的體系結(jié)構(gòu)，首先對(duì) BSD Capturing Component的體系結(jié)構(gòu)和 Winpcap體系結(jié)構(gòu)做一 下對(duì)比。 WinPcap包捕獲驅(qū)動(dòng)由三個(gè)模塊組成，一個(gè)在內(nèi)核級(jí)，另外兩個(gè)處于用戶(hù)級(jí)，以動(dòng)態(tài)鏈接庫(kù)的形式提供。 在利用 WinPcap開(kāi)發(fā)網(wǎng)絡(luò)監(jiān)聽(tīng)程序時(shí)，主要是調(diào)用 API函數(shù) [12]。 int pcap_setfilter()：將一個(gè)過(guò)濾器與內(nèi)核捕獲會(huì)話(huà)相關(guān)聯(lián)。 pcap_if：接口表中的一項(xiàng)，用于函數(shù) pcap_findalldevs()。直接使用 Winsock API編程較簡(jiǎn)單，但只能捕獲 IP層以上的數(shù)據(jù)，得不到數(shù)據(jù)鏈路層幀信息。在 TCP/IP協(xié)議簇中，可以建立面向連接的 SOCK (修改 )型的 Socket，和非連接的 SOCK DGRAM類(lèi)型的 Socket。設(shè)計(jì)NDIS驅(qū)動(dòng)最主要的目的是允許協(xié)議驅(qū)動(dòng)發(fā)送和接收網(wǎng)絡(luò)上的數(shù)據(jù)包而不用關(guān)心特定的適配器或操作系統(tǒng)。完全網(wǎng)卡驅(qū)動(dòng)完成硬件細(xì)節(jié)的操作和所有由 NDIS完成的同步和查詢(xún)操作，例如，完全網(wǎng)卡驅(qū)動(dòng)維持接收到的數(shù)據(jù)的綁定信息。中間層驅(qū)動(dòng)不能與用戶(hù)模式的應(yīng)用程序通信，但可以與其他的 NDIS驅(qū)動(dòng)通信。而且，在一次系統(tǒng)讀請(qǐng)求調(diào)用過(guò)程中，可以將內(nèi)核緩沖區(qū) (kernelbuffer)中的多個(gè)數(shù)據(jù)包讀取到用戶(hù)緩沖區(qū) (userbuffer)中。應(yīng)用程序從 NPF緩沖區(qū)中讀取數(shù)據(jù)時(shí)，一般一次讀取一組數(shù)據(jù)包，這樣可以使讀取數(shù)據(jù)包的次數(shù)減到最小。由此，決定采用通用的 MFC以完成界面部分的設(shè)計(jì)。能夠把捕獲的數(shù)據(jù)包以十六進(jìn)制的形式保存為 xml文件輸出。所有這些，都要求軟件提供足夠的手段進(jìn)行功能的調(diào)整和擴(kuò)充。例如在開(kāi)發(fā)過(guò)程中使用的操作性同、網(wǎng)絡(luò)系統(tǒng)、開(kāi)發(fā)工具都必須符合通用標(biāo)準(zhǔn)。 可行性分析 學(xué)校校園網(wǎng)內(nèi)提供了大量資料庫(kù)，可以進(jìn)行相關(guān)資料的查找。 動(dòng)畫(huà)演示設(shè)計(jì) 1）主界面演示實(shí)現(xiàn)，如圖 31: 石河子大學(xué)學(xué)士學(xué)位論文 第三章 需求分析與動(dòng)畫(huà)演示設(shè)計(jì) 25 圖 31 主界面 2） OSI參考模型實(shí)現(xiàn)，如圖 32 圖 32 OSI 參考模型演示界面 3） IP重組過(guò)程實(shí)現(xiàn)，如圖 33 石河子大學(xué)學(xué)士學(xué)位論文 第三章 需求分析與動(dòng)畫(huà)演示設(shè)計(jì) 26 圖 33 IP 重組過(guò)程演示界面 4） TCP/IP工作流程實(shí)現(xiàn)，如圖 34 圖 34 TCP/IP 工作流程演示界 面 5） TCP建立連接和釋放過(guò)程演示，如圖 35 石河子大學(xué)學(xué)士學(xué)位論文 第三章 需求分析與動(dòng)畫(huà)演示 設(shè)