c# 利用Log Parser制作简易可视化netmon抓包分析工具

这是本科时候的一个课程设计，要求调用Log Parser的dll实现图形界面分析Network Monitor 的抓包文件，编程语言是c#。

Log Parser 是微软的一款日志分析工具，可以支持很多格式的输入输出，但只提供命令行界面。本文采用的是Log Parser 2.2，百度可以下载，安装到c盘不然可能会出现问题，本身也才2M不大。Log Parser提供一种类似与SQL语句的查询语言，对日志文件进行分析，输出想要的结果。下图是命令行模式下的操作，可以看到查询语句基本类似与SQL，说明文档里有非常详细的操作说明，支持格式说明以及COM调用说明。IP地址在WIN7下显示有问题：

图1：

在Log Parser的说明文档里有关于支持格式的各字段描述，可以方便使用者了解所分析文件的结构。本文将以network monitor的抓包文件.cap文件作为分析对象。

图2：

使用vs2010开发，建立一个c#窗体应用工程，

图3：

然后在解决方案浏览器右键引用，添加引用，然后选择浏览，浏览LogParser2.2的安装目录下的LogParser.dll，添加引用。

图4：

然后在窗体上添加一个Button控件，一个DataGridView空间和一个Chart空间

图5：

然后进行代码编写：

代码：

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Data;
using System.Drawing;
using System.Linq;
using System.Text;
using System.Windows.Forms;
using System.Windows.Forms.DataVisualization.Charting;    //新添加
namespace LogParserTest
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }

        private void button1_Click(object sender, EventArgs e)
        {
            //文件操作
            OpenFileDialog file1 = new OpenFileDialog(); //定义新的文件打开位置控件
            file1.Filter = "Netmon抓包文件|*.cap";
            if (file1.ShowDialog() == DialogResult.OK)
            {
                string sql = @"SELECT Frame,FrameBytes,DateTime,SrcIP,SrcPort ,DstIP,DstPort,
                             FrameBytes,SrcMac,DstMac,IPVersion,TCPFlags,PayloadBytes FROM " + file1.FileName;  //完整的查询语句 
                DataTable dt = OpenLog(sql);

                //对表中载荷单位进行处理
                for (int i = 0; i < dt.Rows.Count; i++)
                {
                    double temppayloadbyte = double.Parse(dt.Rows[i]["有效载荷大小"].ToString());
                    double tempframebyte = int.Parse(dt.Rows[i]["帧大小"].ToString());

                    dt.Rows[i]["有效载荷大小"] = (temppayloadbyte / 1024).ToString("0.00") + "KB";


                    dt.Rows[i]["帧大小"] = (tempframebyte / 1024).ToString("0.00") + "KB";

                }

                //绑定数据源,实现表格显示
                dataGridView1.DataSource = dt;

                //计算流量实现流量统计
                string TimeSql = @"SELECT QUANTIZE(DateTime, 1) AS Second, SUM(FrameBytes) AS FrameNum FROM "+ file1.FileName +" GROUP BY Second";
                DataTable dt2 = TimeFromLog(TimeSql);

                //将dt2中帧字节数转为KB
                for (int i = 0; i < dt2.Rows.Count; i++)
                {
                    //string CovStr = dt4.Rows[i]["流量"].ToString();   //获得美秒字节数
                    Int32 CovInt = Int32.Parse(dt2.Rows[i]["流量"].ToString());
                    CovInt /= 1024; //单位转为KB
                    dt2.Rows[i]["流量"] = CovInt.ToString();
                }

                // Set series chart type  
                chart1.Series[0].ChartType = SeriesChartType.Line;
                // Show as 3D  
                chart1.ChartAreas[0].Area3DStyle.Enable3D = false;
                // Draw as 3D Cylinder  
                //chart3.Series[0]["DrawingStyle"] = "Cylinder";
                //chart1.BackColor = Color.Azure; //图表背景色  
                //chart1.Titles.Add("IP协议分布"); //图表标题  
                //设置图表的数据源              
                chart1.DataSource = dt2;
                //设置图表Y轴对应项  
                chart1.Series[0].YValueMembers = "流量";
                //Chart1.Series[1].YValueMembers = "Volume2";  
                //设置图表X轴对应项  
                chart1.Series[0].XValueMember = "时间";
                chart1.Series[0].IsValueShownAsLabel = false; //是否显示数据  
                chart1.Series[0].IsVisibleInLegend = false; //是否显示数据说明  
                chart1.Series[0].MarkerStyle = MarkerStyle.Circle; //线条上的数据点标志类型  
                chart1.Series[0].MarkerSize = 0; //标志大小  
                chart1.ChartAreas[0].AxisX.LineColor = Color.Red; //X 轴颜色  
                chart1.ChartAreas[0].AxisY.LineColor = Color.Red; //Y 轴颜色  
                chart1.ChartAreas[0].AxisX.LineWidth = 2; //X 轴宽度  
                chart1.ChartAreas[0].AxisY.LineWidth = 2; //Y 轴宽度  
                chart1.ChartAreas[0].AxisY.Title = "流量 KB"; //Y 轴标题 
                chart1.ChartAreas[0].AxisX.Title = "时间"; //X 轴标题  
                chart1.ChartAreas[0].CursorX.IsUserEnabled = true;//启用x轴游标
                chart1.ChartAreas[0].CursorX.IsUserSelectionEnabled = true;
                chart1.ChartAreas[0].CursorY.IsUserEnabled = true;//启用y轴游标
                chart1.ChartAreas[0].CursorY.IsUserSelectionEnabled = true;
                //绑定数据  
                chart1.DataBind();
            }
        }

        public DataTable OpenLog(string sql)
        {
            try
            {
                DataTable datat = new DataTable();

                datat.Columns.Add("帧号", typeof(string));
                datat.Columns.Add("时间", typeof(string));
                datat.Columns.Add("源Mac", typeof(string));
                datat.Columns.Add("源地址", typeof(string));
                datat.Columns.Add("源端口", typeof(string));
                datat.Columns.Add("目标地址", typeof(string));
                datat.Columns.Add("目标Mac", typeof(string));
                datat.Columns.Add("目标端口", typeof(string));
                datat.Columns.Add("IP版本", typeof(string));
                datat.Columns.Add("TCP Flags", typeof(string));
                datat.Columns.Add("帧大小", typeof(string));
                datat.Columns.Add("有效载荷大小", typeof(string));

                // Instantiate the LogQuery object    
                MSUtil.ILogQuery oLogQuery = new MSUtil.LogQueryClass();
                // Instantiate the Netmon Input Format object  
                MSUtil.ICOMNetMonInputContext oEvtInputFormat = new MSUtil.COMNetMonInputContextClass();

                oEvtInputFormat.fMode = "TCPIP";    //这是netmon输入格式的模式之一，LogParser说明文档有详细介绍
                oEvtInputFormat.binaryFormat = "ASC";

                // Create the query    
                string query = sql;
                // Execute the query    
                //object o=null;
                MSUtil.ILogRecordset oRecordSet = oLogQuery.Execute(query, oEvtInputFormat);  //oEvtInputFormat

                while (!oRecordSet.atEnd())
                {
                    var itemData = oRecordSet.getRecord();
                    DataRow dr = datat.NewRow();
                    dr["帧号"] = itemData.getValue("Frame").ToString();
                    dr["时间"] = itemData.getValue("DateTime").ToString();
                    dr["源端口"] = itemData.getValue("SrcPort").ToString();
                    dr["源Mac"] = itemData.getValue("SrcMAC").ToString();
                    dr["源地址"] = itemData.getValue("SrcIP").ToString();
                    dr["目标地址"] = itemData.getValue("DstIP").ToString();
                    dr["目标端口"] = itemData.getValue("DstPort").ToString();
                    dr["目标Mac"] = itemData.getValue("DstMAC").ToString();
                    dr["IP版本"] = itemData.getValue("IPVersion").ToString();
                    dr["TCP Flags"] = itemData.getValue("TCPFlags").ToString();
                    dr["帧大小"] = itemData.getValue("FrameBytes").ToString();
                    dr["有效载荷大小"] = itemData.getValue("PayloadBytes").ToString();
                    datat.Rows.Add(dr);
                    oRecordSet.moveNext();
                }

                // Close the recordset    
                oRecordSet.close();
                return datat;
            }
            catch (System.Runtime.InteropServices.COMException exc)
            {
                MessageBox.Show("Unexpected error: " + exc.Message);
                return null;
            }
        }

        public DataTable TimeFromLog(string sql)
        {
            try
            {
                DataTable datat = new DataTable();


                datat.Columns.Add("时间", typeof(string));
                datat.Columns.Add("流量", typeof(string));


                // Instantiate the LogQuery object    
                MSUtil.ILogQuery oLogQuery = new MSUtil.LogQueryClass();
                // Instantiate the Netmon Input Format object  
                MSUtil.ICOMNetMonInputContext oEvtInputFormat = new MSUtil.COMNetMonInputContextClass();

                oEvtInputFormat.fMode = "TCPIP";
                oEvtInputFormat.binaryFormat = "ASC";

                // Create the query    
                string query = sql;
                // Execute the query    
                //object o=null;
                MSUtil.ILogRecordset oRecordSet = oLogQuery.Execute(query, oEvtInputFormat);  //oEvtInputFormat

                while (!oRecordSet.atEnd())
                {
                    var itemData = oRecordSet.getRecord();
                    DataRow dr = datat.NewRow();

                    dr["时间"] = itemData.getValue("Second").ToString();
                    dr["流量"] = itemData.getValue("FrameNum").ToString();
                    datat.Rows.Add(dr);
                    oRecordSet.moveNext();
                }

                // Close the recordset    
                oRecordSet.close();
                return datat;
            }
            catch (System.Runtime.InteropServices.COMException exc)
            {
                MessageBox.Show("Unexpected error: " + exc.Message);
                return null;
            }
        }
    }


}

运行结果如下图。经验证，IP地址无论是命令行还是COM调用都无法在WIN7、win8、win10显示，XP显示正常。支持netmon3.2，3.3，3.4以及MMA的.cap文件，wireshark的文件未验证：

图6：