c#用winpcap发送需要用到的函数

只需要5个

一般步骤是

        [DllImport("wpcap.dll")]
        private static extern int pcap_findalldevs(ref IntPtr devicelist, StringBuilder errbuf);
        [StructLayout(LayoutKind.Sequential, CharSet = CharSet.Ansi)]
        private struct pcap_if
        {
            public IntPtr next;
            public string name;
            public string description;
            public IntPtr addresses;
            public uint flags;
        }

pcap_findalldevs找到所有的网络接口

自己找到正确的那个

然后

        [DllImport("wpcap.dll")]
        private static extern void pcap_freealldevs(IntPtr devicelist);

调用这种非托管的dll，包括winapi，弄完一样几乎都要相应的free一下，也几乎都有一个相应的free方法，这是c#不太习惯的

为什么要用pcap_findalldevs?虽然用System.Net.NetworkInformation命名空间里面的玩意可以多快好省的搞到一切信息吧，但是却不能保证winpcap可以打开这个设备啊，用winpcap的函数就相当于测试一下工作是否正常。

然后通过pcap_findalldevs找到相应的网络接口后

要pcap_if结构中的name

然后open

        [DllImport("wpcap.dll")]
        private static extern IntPtr pcap_open(string source, int snaplen,int flags, int read_timeout, IntPtr auth, StringBuilder errbuf);

这个source就是上面那个name

打开后

        [DllImport("wpcap.dll")]
        private static extern int pcap_sendpacket(IntPtr p, byte[] buff, int size);

pcap_sendpacket，这里发送的是以太网的数据包

其实以太网数据包和ip数据包相比，仅仅是在ip数据包前面多了14个字节

这里可能是个误区，好像以太网数据包在mac前面还有点东西，最后还有crc校验，但是对于用winpcap的pcap_sendpacket来说就等于ip包前多了14个字节而已

前6个是目标mac地址，接下来6个是本机网卡的mac地址，最后2个是协议类型，ip协议就是08 00

目标mac如何获得？

其实你用sniffer工具看一下就知道，就是网关的mac

比如我的机器是通过路由器上网的（路由器进行的PPPoE拨号）

那么发送时的以太网数据格式为

路由器mac（6字节)+网卡mac(6字节)+协议2字节+协议内容

这是我用ie连接时捕获的结果，返回的比如syn+ack就是网卡mac在前和路由mac在后仅此而已

自己构造好发出去就行了

于是就可以突破windows对于rawsocket的限制进行syn扫描或者攻击什么的了，只要能装winpcap的windows系统都可以。

最后

        [DllImport("wpcap.dll")]
        private static extern void pcap_close(IntPtr p);

===========

补充一句，winpcap是不管矫正你的数据包的，像ip头的checksum你得算对了才能发出去呢。而rawsocket，系统会帮你矫正checksum的，不信你可以试试，用rawsocket即使不计算checksum把那俩字节全用0，系统照样给你算出checksum发出去，比如说我用rawsocket发出去了syn也收到了syn+ack，但是用winpcap发出去结果就收不到，我就奇怪了同样一个程序啊，结果用sniffer工具一看，用winpcap的ip checksum不对，我就更奇怪了，同样一个程序生成的Ip包，怎么checksum会不一样呢？折腾了半天发现，原来用rawsocket发送的ip包的checksum也是错误的，但是却被系统自己给改成了正确的，合着之前一直算错了，但rawsocket每次都给矫正发出去了，而winpcap是不给矫正的，算错了就发不出去，于是改对了checksum后，用winpcap发送syn也就可以正常接收到syn+ack了。