【正文】 可行性分析 學(xué)校校園網(wǎng)內(nèi)提供了大量資料庫，可以進行相關(guān)資料的查找。所有這些，都要求軟件提供足夠的手段進行功能的調(diào)整和擴充。由此，決定采用通用的 MFC以完成界面部分的設(shè)計。而且，在一次系統(tǒng)讀請求調(diào)用過程中，可以將內(nèi)核緩沖區(qū) (kernelbuffer)中的多個數(shù)據(jù)包讀取到用戶緩沖區(qū) (userbuffer)中。完全網(wǎng)卡驅(qū)動完成硬件細節(jié)的操作和所有由 NDIS完成的同步和查詢操作，例如，完全網(wǎng)卡驅(qū)動維持接收到的數(shù)據(jù)的綁定信息。在 TCP/IP協(xié)議簇中，可以建立面向連接的 SOCK (修改 )型的 Socket，和非連接的 SOCK DGRAM類型的 Socket。 pcap_if：接口表中的一項，用于函數(shù) pcap_findalldevs()。 在利用 WinPcap開發(fā)網(wǎng)絡(luò)監(jiān)聽程序時，主要是調(diào)用 API函數(shù) [12]。 石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 16 WinPcap 體系結(jié)構(gòu) WinPcap的體系結(jié)構(gòu)是借鑒的 BSD Capturing Component的體系結(jié)構(gòu)，首先對 BSD Capturing Component的體系結(jié)構(gòu)和 Winpcap體系結(jié)構(gòu)做一 下對比。 WinPcap的這種包統(tǒng)計功能是一種非常高效的、用來監(jiān)測網(wǎng)絡(luò)的方法，即使在局域網(wǎng)有大量數(shù)據(jù)包流動時，它仍然可以工作的很好。 WinPcap是由意大利的 Fulvio Risso和 Loris Degioanni等人實現(xiàn)的應(yīng)用于 Win32平臺數(shù)據(jù)包捕獲與分析的一種驅(qū)動軟件包，并提供了在 Windows操作系統(tǒng)下的開放源代碼，是一套高性能API封裝庫，有一套標準的抓包接口專門用于網(wǎng)絡(luò)數(shù)據(jù)包的截獲，并在其基礎(chǔ)上增加了自定義數(shù)據(jù)包的發(fā)送能力以及針對 Win32平臺的擴展函數(shù)，獨立于 Windows操作系統(tǒng)的協(xié)議棧。交換式網(wǎng)絡(luò)嗅探區(qū)別于共享式網(wǎng)絡(luò)嗅探的地方是它主要利用交換網(wǎng)工 作機制中的漏洞來實現(xiàn)。由操作系統(tǒng)內(nèi)核提供的捕獲機制主要有以下四種： BPF(Berkeley Packet Filter)， DLPI(Data Link Provider Interface)，NIT(Network Interface Tap)， SOCK_PACKET套接口。 IP協(xié)議提供的是面向無連接的服務(wù)，不存在關(guān)于網(wǎng)絡(luò)連接的建立和維護過程，也不包括流量控制與差錯控制功能 ,但需要對網(wǎng)絡(luò)的狀態(tài)有一些了解，因此在網(wǎng)際層提供了因特網(wǎng)控制消息協(xié)議（ Inter control message protocol，簡稱 ICMP）來檢測網(wǎng)絡(luò)，包括路由、擁塞、服務(wù)質(zhì)量等問題。 圖 23 TCP 包首部 石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 8 3） UDP UDP與 TCP位于同一層，但它不管數(shù)據(jù)包的順序、錯誤或重發(fā)。 首部校驗和： 16位，首部檢驗和字段是根據(jù) IP首部計算的檢驗和碼，它不對首部后面的數(shù)據(jù)進行計算。標志字段中間的一位記為 DF（ Don39。 TOS： 4位，分別表示最小延時、最大吞吐量、最高可靠性、最小費用。 IP數(shù)據(jù)包是不可 靠的，因為 IP并沒有做任何事情來確認數(shù)據(jù)包是按順序發(fā)送的或者沒有被破壞。 TCP/IP分層模型的四個協(xié)議層分別完成以下的功能 [5]： 第一層網(wǎng)絡(luò)接口層：網(wǎng)絡(luò)接口層包括用于協(xié)作 IP數(shù)據(jù)在已有網(wǎng)絡(luò)介質(zhì)上傳輸?shù)膮f(xié)議。研究分析網(wǎng)絡(luò) TCP/IP協(xié)議，并對本嗅探器基于的 WinPcap的框架體系進行深入地研究。 Winpcap III 目錄 第一章 緒論 ........................................................... 1 課題背景 .......................................................... 1 課題研究的目的及意義 .............................................. 1 任務(wù)書 ............................................................ 1 設(shè)計時間 ...................................................... 1 課題分工 ...................................................... 2 設(shè)計成果 ...................................................... 2 論文組織 ...................................................... 2 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) ......................................... 3 網(wǎng)絡(luò)協(xié)議 .......................................................... 3 OSI 七層參考模型 ............................................... 3 TCP/IP 參考模型 ................................................ 3 OSI 模型與 TCP/IP 模型的比較 .................................... 4 主要協(xié)議 ...................................................... 5 數(shù)據(jù)包在 TCP/IP 網(wǎng)絡(luò)中的封裝解封過程 .......................... 10 仿真技術(shù)簡介 ..................................................... 11 反嗅探措施 ....................................................... 13 嗅 探的檢測 ................................................... 13 嗅探的防御 ................................................... 13 Windows 下的網(wǎng)絡(luò)嗅探及 WinPcap 研究 ................................ 13 WinPcap 簡介 .................................................. 13 WinPcap 體系結(jié)構(gòu) .............................................. 16 Windows 下的網(wǎng)絡(luò)嗅探 .......................................... 19 基于 WinPcap 的包捕獲過程 ..................................... 21 第三章 需求分析與動畫演示設(shè)計 ........................................ 23 功能需求 ......................................................... 23 性能需求 ......................................................... 23 可行性分析 ....................................................... 24 動畫演示設(shè)計 ..................................................... 24 第四章 詳細設(shè)計 ...................................................... 28 開發(fā)環(huán)境 ......................................................... 28 系統(tǒng)功能模塊圖 ................................................... 29 系統(tǒng)流程圖 ....................................................... 30 詳細設(shè)計 ......................................................... 31 界面實現(xiàn) ..................................................... 31 IV 選擇網(wǎng)卡 ..................................................... 34 過濾規(guī)則 ..................................................... 34 數(shù)據(jù)包捕獲 ................................................... 36 數(shù)據(jù)包分析 ................................................... 37 第五章 系統(tǒng)測試 ...................................................... 46 編寫目的 ........................................................ 46 測試概要 ........................................................ 46 對軟件功能的評價 ................................................ 49 第六章 開發(fā)總結(jié) ...................................................... 51 致謝 ................................................................... 53 石河子大學(xué)學(xué)士學(xué)位論文 第一章 緒論 1 第一章 緒論 課題背景 近年來，數(shù)據(jù)通信網(wǎng)絡(luò)無論就其物理的規(guī)模還是應(yīng)用范圍來講，都獲得了巨大的發(fā)展。 Inter上不斷地有新的需求出現(xiàn)，人們開發(fā)新的協(xié)議和算法來滿足這些變化的需求。 第三章：需求分析與可行性分析，動畫演示設(shè)計。它對實際的網(wǎng)絡(luò)媒體進行管理，定義了將資料組成正確幀的規(guī)則和在網(wǎng)絡(luò)中傳輸幀的規(guī)則，定義如何使用實際網(wǎng)絡(luò)如以太網(wǎng) Ethemet等來傳送數(shù)據(jù)。 IP數(shù)據(jù)包中含有發(fā)送它的主機的地址（源地址）和接收它的主機的地址（目的地址）。如果 4位 TOS子字段均為 0，那么就意味著是一般服務(wù)。t Fragment），意思是“不能分片”。 ICMP， UDP， TCP在它們各自的首部中均含有同時覆蓋首部和數(shù)據(jù)檢驗和碼。因此， UDP不被應(yīng)用于那些使用虛電路的面向連接的服務(wù)， UDP主要用于那些面向查詢 應(yīng)答的服務(wù)，例如 NFS。在網(wǎng)絡(luò)中， ICMP報文將作為 IP層數(shù)據(jù)報的數(shù)據(jù)，封裝在 IP數(shù)據(jù)報中進行傳輸，如圖 27所示 ,但 ICMP并不是高層協(xié)議，而仍被 視為網(wǎng)絡(luò)層協(xié)議。其中 BPF由基于 BSD的 Unix系統(tǒng)內(nèi)核所實石河子大學(xué)學(xué)士學(xué)位論文 第二章 網(wǎng)絡(luò)協(xié)議及協(xié)議仿真技術(shù) 12 現(xiàn)，而 DLPI是 Solaris系統(tǒng)的子系統(tǒng)，對于 NIT則是 SunOS 4系統(tǒng)的一部分，但在 Solaris系統(tǒng)中已經(jīng)被 DLPI取代， Linux系統(tǒng)內(nèi)核則實現(xiàn)了 SOCK_PACKET的包捕獲機制。知道了嗅探器的工作原理，我們應(yīng)該認識到嗅探器并不是專為網(wǎng)絡(luò)攻擊入侵而開發(fā)的，其實一些網(wǎng)絡(luò)診斷命令就屬于嗅探器的范疇，利用嗅探器可以幫助我們檢查底層傳輸數(shù)據(jù)封包的能力，對網(wǎng)絡(luò)進行診斷。 不同版本的 Windows系統(tǒng)都有自己的內(nèi)核模塊和用戶層模塊，所以使用 Windows SDK開發(fā)的嗅探程序在不同的 Windows操作系統(tǒng)版本下需重新進行編譯。 (2)發(fā)送數(shù)據(jù)包功能使得應(yīng)用程序不僅可以嗅探網(wǎng)絡(luò)，還可以實現(xiàn)向網(wǎng)絡(luò)發(fā)送數(shù)據(jù)，但是WinPcap本身不具備產(chǎn)生數(shù)據(jù)包的能力，需要通過手工或者其它工具來構(gòu)造。 1） BSD Capturing Component 的體系結(jié)構(gòu) BSD Capturing Component是 Unix下最常用的捕獲數(shù)據(jù)包的驅(qū)動，其基本體系結(jié)構(gòu)見圖 212。 ， 、功能更加強大的函數(shù)調(diào)用。 pcap_pkthdr：當機轉(zhuǎn)儲文件 (dump file)中數(shù)據(jù)包的首部。在所有的網(wǎng)絡(luò)程序中，這兩種 Socket用的最為廣泛。 (2)中間層驅(qū)動。當數(shù)據(jù)由捕獲應(yīng)用程序流向網(wǎng)絡(luò)時，其流程與數(shù)據(jù)由網(wǎng)絡(luò)流向捕獲應(yīng)用程序時相反。 需要 支持網(wǎng)絡(luò)數(shù)