【正文】 如圖 12 所示： 。 因?yàn)檫@是外部網(wǎng)絡(luò)，監(jiān)聽機(jī)放在目標(biāo)論壇的網(wǎng)關(guān)路由器上，所以當(dāng)用戶機(jī) 2給目標(biāo)論壇發(fā)信息的時(shí)候，它的 MAC 地址到達(dá)它自己的路由器后，就發(fā)生了轉(zhuǎn)變。 網(wǎng)關(guān)的 配置 添加網(wǎng)絡(luò)路由功能，網(wǎng)卡 IP地址設(shè)為 ，網(wǎng)卡 2的 IP地址設(shè)為， DNS地址 ， 設(shè)為 目標(biāo)論壇的 網(wǎng)關(guān)的 MAC地址：007305072997。 如圖 10 所示： 計(jì)算機(jī)處于外部網(wǎng)絡(luò) 如圖 11 所示是 監(jiān)測(cè) 計(jì)算機(jī)處于局域網(wǎng)外部： 圖 10 抓包信息的 16 進(jìn)制 HUB 目標(biāo)論壇 監(jiān)聽機(jī) 用戶機(jī) 2 HUB 用戶機(jī) 3 圖 11 局域網(wǎng)外部監(jiān)聽拓?fù)鋱D 第 22 頁 共 25 頁 圖 12 抓包信息的 16進(jìn)制 用戶機(jī) 和目標(biāo)論壇 配置 這里我們把 監(jiān)測(cè) 計(jì)算機(jī)處于外部網(wǎng)絡(luò) 的這種情況做實(shí)驗(yàn)，配置如下： 用戶機(jī) 2網(wǎng)卡的 IP地址設(shè)為 ，網(wǎng)關(guān)地址設(shè)為 ,DNS地址設(shè)為 ，用 ipconfig/all查看它的 MAC地址 000B6A62DC71。 目標(biāo)論壇 網(wǎng)卡的 IP地址設(shè)為 ，網(wǎng)關(guān)地址設(shè)為 ,DNS地址設(shè)為 ，用 ipconfig/all查看它的 MAC地址為： 。分別用來測(cè)試 監(jiān)測(cè) 計(jì)算機(jī)處于局域網(wǎng)絡(luò)內(nèi)部和局域網(wǎng)外部的 監(jiān)測(cè) 效果。 7. 抓 包 和 丟包率的測(cè)試。 5. 捕獲到非法數(shù)據(jù)后有日志功能。 3. 捕獲到非法數(shù)據(jù)后有顯示功能。 } } 6 結(jié)果測(cè)試，性能分析 ： 1. 啟動(dòng)包捕獲。 } If ( !pCompletedOverlapped ) { continue。 } If ( pAdapter != (PHookAdapter )Key ) { 第 20 頁 共 25 頁 printf( Key Invalid\n )。 } If ( !bSuccess ) { printf( GetQueuedCompletionStatus\n )。pCompletedOverlapped, (DWORD)1 )。NumberBytes, amp。 } 循環(huán)直到 Shutdown while( !g_bShutdown ) { pCompletedOverlapped = NULL。pRxPackagenBytesReturned, amp。 W32N_PacketRead( pAdapterm_hDevice, amp。 i++ ) { pRxPackage = amp。 開始所有包的讀取 for( i = 0。 printf( Dest: %.%.%.%.%.% , (char * )pW32NPacketPacketBuffer[ MDstAddr + 0 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 1 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 2 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 3 ], (char * )pW32NPacketPacketBuffer[ MDstAddr + 4 ], 第 19 頁 共 25 頁 (char * )pW32NPacketPacketBuffer[ MDstAddr + 5 ] )。 0x08) define BPF_K 0x00 define BPF_X 0x08 顯示目的和源的 MAC 地址： void HP_Display802_3Packet( PW32N_PACKET pW32NPacket ) { USHORT nLengthOrType。 0xe0) define BPF_IMM 0x00 define BPF_ABS 0x20 define BPF_IND 0x40 define BPF_MEM 0x60 define BPF_LEN 0x80 define BPF_MSH 0xa0 define BPF_OP(code)((code) amp。 0x07) define BPF_LD 0x00 define BPF_LDX 0x01 define BPF_ST 0x02 define BPF_STX 0x03 define BPF_ALU 0x04 define BPF_JMP 0x05 define BPF_RET 0x06 define BPF_MISC 0x07 第 18 頁 共 25 頁 define BPF_SIZE (code) ((code) amp。 pAdapterm_hReadPort = CreateIoCompletionPort(pAdapterm_hDevice, //file handle to associate with I/O pletion port pAdapterm_hReadPort,//optional handle to existing I/O pletion port (DWORD )pAdapter, //pletion key 2)。 printf( Starting Receive Thread\n )。 DWORD Key, NumberBytes。 PSendPackage pTxPackage, pTxPackage2。 int i。 } DWORD WINAPI ReceiveProc( PHookAdapter pAdapter ) { DWORD nResult。 DWORD Key, NumberBytes。 PSendPackage pTxPackage, pTxPackage2。 int i。 如圖 8 所示： 第 16 頁 共 25 頁 論壇 監(jiān)測(cè) 的關(guān)鍵代碼 接受線程 DWORD WINAPI ReceiveProc( PHookAdapter pAdapter ) { DWORD nResult。當(dāng)用戶選擇命令發(fā)送時(shí)，可以有啟動(dòng)抓包、結(jié)束抓包、傳送 流程 三種選擇。主要兩大部份，一部分提供命令接口供用戶使用，另一部分將數(shù)據(jù)存儲(chǔ)，顯示并進(jìn)行報(bào)警。當(dāng)匹配成功時(shí)調(diào)用處理模塊完成報(bào)警、記錄日志攔截計(jì)算機(jī)功能。模式匹配模塊采用順序匹配方式逐個(gè)匹配 關(guān)鍵詞，如果匹配成功退出該程序，如果不成功繼續(xù)匹配直到匹配完所有的關(guān)鍵詞。 模式匹配模塊 模式匹配模塊通過打開存取有害詞庫的文件提取并建立匹配字庫。 目的 IP地址 }。 IP頭的校驗(yàn)和 unsigned int ip_source。 生存期 unsigned char ip_protocol。 服務(wù)類型 unsigned short ip_total_ length IP數(shù)據(jù)包的總長(zhǎng)度 unsigned short ip_flags。 ipv4 unsigned int ip_length:4。分析該數(shù)據(jù)結(jié)構(gòu)，可以很容易取出該數(shù)據(jù)流的源 IP地址、目的 IP 地址、傳輸層協(xié)議類型。 去掉以太網(wǎng)頭部信息可以得到 IP層數(shù)據(jù)實(shí)體。 以太網(wǎng)類型。 源網(wǎng)卡地址。 struct EtherHdr { unsigned char ether_dst[6]: 目標(biāo)網(wǎng)卡地址。以太網(wǎng)頭數(shù)據(jù)結(jié)構(gòu)定義如下。過程復(fù)雜，因此劃分出解碼模塊專門對(duì)捕獲的原始數(shù)據(jù)包進(jìn)行處理。由于最大截獲數(shù)目設(shè)置為 1，該函數(shù)在無錯(cuò)誤情況下，將進(jìn)入永久循環(huán)過程中。 程序的循環(huán)部分是讀取打開的截獲設(shè)備上的所有數(shù)據(jù)包，直到滿足設(shè)置的最大 截獲數(shù)目。 指向一個(gè)過濾器指令鏈表頭的指針值。 這定這段指令程序的長(zhǎng)度。 }。 char errbuf [PCAP_ERRBUF_SIZE]。 struct by program fcode。 u_char *pkt。 int cc。 u char *bf。 u char *buffer。 int bufsize。 第 14 頁 共 25 頁 struct pcap_md 。 struct pcap_sf 。 int offset。 int tzoff。 int linktype。 文件描述符，這里指數(shù)據(jù)包的描述符，即底層過濾器特殊文件描述符 int snapshot。 結(jié)構(gòu) pcap是實(shí)現(xiàn)數(shù)據(jù)包截獲機(jī)制的一個(gè)關(guān)鍵數(shù)據(jù)結(jié)構(gòu)。 打開數(shù)據(jù)包截獲設(shè)備，定義 t是指向 數(shù)據(jù)包截獲設(shè)備描述符結(jié)構(gòu) pcap的全局指針。 Libpcap 庫所提供的主要功能函數(shù)有pcap_open_live(),pcap_read(),pcap_pile(),pcap_setfilter(), pcap_close()。 第四步調(diào)用包捕獲模塊開始抓包。 第三步根據(jù)全局系統(tǒng)緩沖區(qū)中存放的命令參數(shù)，定義過濾規(guī)則，建立過濾器指令鏈表頭，該數(shù)據(jù)結(jié)構(gòu)詳細(xì)介紹在后面。主線程啟動(dòng)后首先讀取存放關(guān)鍵詞的文件，將需要捕獲的關(guān)鍵詞放在一個(gè)全局的緩沖區(qū)內(nèi)。結(jié)束主程序 ： 最后等待用戶退出消息，結(jié)束該系統(tǒng)工作，完成應(yīng)用退出時(shí)的釋放資源工作。查看當(dāng)前流量 ： 打開系統(tǒng)中 /pros//dev文件，從而獲得網(wǎng)絡(luò)接口 的流第 13 頁 共 25 頁 量數(shù)據(jù)，然后將數(shù)據(jù)后發(fā)送給前臺(tái)軟件進(jìn)行顯示。停止抓包 ： 關(guān)閉抓包線程。啟動(dòng)抓包 ： 初始化抓包線程。 第三處理用戶命令。參數(shù)內(nèi)容即過濾規(guī)則供包捕獲模塊使用。如果命令行給出的參數(shù)不正確，會(huì)提示用戶一個(gè)信息然后退出。 軟件模塊的實(shí)現(xiàn) 主控模塊 ： 主