用winsock和winpcap分别实现嗅探器
1.两者实现的区别
用 Raw Socket 实现 Sniffer 的方法，实现起来比较简单，但有个缺点就是只能截获 IP 层以上的包，数据包头不含帧信息。但是相对于来说实现起来会比较简单。使用的话就见仁见智了，根据自己的需要去选择即可。
2.Raw Socket
操作环境：vs2005 其他的环境下代码有可能需要改动
#include
#include
#include
#include "fstream"
#include 主要函数：
int setsockopt(int sockfd,int level,int optname,const void *optval,socklen_t *optlen)
setsockopt(s,IPPROTO_IP,IP_HDRINCL,(char*)&flag,sizeof(flag));
设置套接字的选项。具体的可以看这个博文https://www.cnblogs.com/eeexu123/p/5275783.html
本程序设置SockRaw这个套接字的ip选项中的IP_HDRINCL即在数据包中包含IP首部。
int ioctlsocket( SOCKET s, long cmd, u_long FAR *argp );
s：一个标识套接口的描述字。
cmd：对套接口s的操作命令。
argp：指向cmd命令所带参数的指针。
即设置sock_raw为sio_rcvall,以便接收所有IP包
3.winpcap
关于这个的代码到处都是，我也是直接在网上粘了一段，稍微改了一下。
1）配置环境
参考自：https://blog.csdn.net/gk405128494/article/details/39314467
1．到http://www.winpcap.org/install/default.htm下载winpcap的安装包，然后到http://www.winpcap.org/devel.htm程序员开发包。
2．执行安装包，这样你的机子就能运行winpcap程序了。
3．解压开发包，在VC6.0的Tools–>Option–>Directories的Include fils 和library files加入winpcap的include和lib目录。
4．开始编写wpcap程序。
vs2005:
第一步：下载WinPcap的安装包；有不同操作系统环境下的包，我下的是win32版本的。下载地址：www.winpcap.org；最新的Release版本是4.0.1的，最高的版本一般是Beta的。这个安装包主要是注册一个wpcap.dll的库到操作系统中。必须安装，如果不安装，在运行例子的时候会弹出窗口提示，找不到wpcap.dll文件；
第二步：到上面的网站下载它的开发包，包括一些头文件和库文件；解压到自己指定的目录中；目录中还有HTML格式的说明文档，用于自己学习比较方便；
第三步：设置VS2005；1）设置环境目录；在菜单：工具->选项；弹出的选项窗体左边点击：项目和解决方案->VC++目录；在右边：“显示以下内容的目录”标签下面的下拉框中找到“包含文件”，然后对应到第二步下载开发包的Include目录；在同一下拉框中找到“库文件”，然后对应到第二步下载开发包的lib目录；2）设置编译条件；在项目属性页中：配置属性->C/C++->预处理器->预处理器定义，增加;WPCAP;HAVE_REMOTE;每一个预定义符用”;”隔开；在项目属性页中：配置属性->链接器->命令行->附加选项对应的文本框中增加：“wpcap.lib ws2_32.lib”；
第四步：非必要步骤；有的时候可能会有些意外错误；比如找不到u_char类型等；我的解决办法是加上
这里写代码片
#ifndef WIN32
#include 2）代码段：
参考自：http://doc.okbase.net/29062706/archive/10224.html
正则表达式在设置时一定要注意
#define WIN32
#include
#include
#ifndef WIN32
#include {
printf(" (无描述信息)\n");
}
}
if (i == 0)
{
printf("\n没发现任何接口，请确认是否已经安装WinPcap库.\n");
return -1;
}
printf("请输入网卡接口号 (1 - %d):", i);
scanf("%d", &inum);
if (inum < 1 || inum > i)
{
printf("\n接口号超出范围.\n");
// 释放alldevs资源
pcap_freealldevs(alldevs);
return -1;
}
// 跳到选择的网卡
for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++);
// 打开网卡
if ((fp = pcap_open(d->name, // 设备名称
65536,
PCAP_OPENFLAG_PROMISCUOUS, // 混杂模式
1000, // 读取超时时间
NULL, // 远程认证，本程序因是本地嗅探，不需要设置
errbuf
)) == NULL)
{
fprintf(stderr, "\nUnable to open the adapter. %s is not supported by Winpcap\n");
// 释放alldevs资源
pcap_freealldevs(alldevs);
return -1;
}
// 检查链路层，本程序只简单的支持以太网
if (pcap_datalink(fp) != DLT_EN10MB)
{
fprintf(stderr, "\n本程序只简单的支持以太网.\n");
// 释放alldevs资源
pcap_freealldevs(alldevs);
return -1;
}
if (d->addresses != NULL)
{
// 取得一个网络接口的子网掩码
netmask = ((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr;
}
else
{
netmask = 0xffffffff;
}
// 编译过滤器
if (pcap_compile(fp, &fcode, packet_filter, 1, netmask) < 0)
{
fprintf(stderr, "\nU不能编译包过滤，请检查正则表达式.\n");
// 释放alldevs资源
pcap_freealldevs(alldevs);
return -1;
}
// 设置过滤器
if (pcap_setfilter(fp, &fcode) < 0)
{
fprintf(stderr, "\n设置过滤器失败.\n");
// 释放alldevs资源
pcap_freealldevs(alldevs);
return -1;
}
printf("\nlistening on %s ...\n", d->description);
// 释放alldevs资源，因为不再需要它
pcap_freealldevs(alldevs);
// 打开输出文件
dumpfile= pcap_dump_open(fp, ofilename);
if (dumpfile == NULL)
{
fprintf(stderr,"\n打开输出文件错误\n");
pcap_close(fp);
return -1;
}
// 开始捕获数据包
while((res = pcap_next_ex( fp, &header, &pkt_data)) >= 0)
{
if(res == 0)
/* 超时继续 */
continue;
// 将捕获的数据包存入文件
pcap_dump((unsigned char *) dumpfile, header, pkt_data);
// 取得IP头，14为以太网头长度
ih = (ip_header*)(pkt_data + 14);
ip_len = (ih->ver_ihl & 0xf) * 4;
if (ih->proto == 6) //TCP
{
//取TCP头
th = (tcp_header*)((u_char*)ih + ip_len);
/* convert from network byte order to host byte order */
sport = ntohs(th->sport); //网络字节序转主机字节序
dport = ntohs(th->dport); //网络字节序转主机字节序
/* 打印IP地址和端口号 */
printf("%d.%d.%d.%d:%d-> %d.%d.%d.%d:%d\n",
ih->saddr.byte1,
ih->saddr.byte2,
ih->saddr.byte3,
ih->saddr.byte4,
sport,
ih->daddr.byte1,
ih->daddr.byte2,
ih->daddr.byte3,
ih->daddr.byte4,
dport);
}
else if (ih->proto == 17) //UDP
{
//取UDP头
uh = (udp_header*)((u_char*)ih + ip_len);
/* convert from network byte order to host byte order */
sport = ntohs(uh->sport); //网络字节序转主机字节序
dport = ntohs(uh->dport); //网络字节序转主机字节序
/* 打印IP地址和端口号 */
printf("%d.%d.%d.%d:%d-> %d.%d.%d.%d:%d\n",
ih->saddr.byte1,
ih->saddr.byte2,
ih->saddr.byte3,
ih->saddr.byte4,
sport,
ih->daddr.byte1,
ih->daddr.byte2,
ih->daddr.byte3,
ih->daddr.byte4,
dport);
}
}
pcap_close(fp);
pcap_dump_close(dumpfile);
return 0;}