Raw Socket（原始套接字）实现Sniffer（嗅探）

转自：http://hi.baidu.com/wuxiaoming1733/blog/item/5b85a6d35353452b960a1663.html

一. 摘要
  Raw Socket: 原始套接字
  可以用它来发送和接收 ip 层以上的原始数据包, 如 ICMP, TCP, UDP...

    int sockRaw = socket(AF_INET, SOCK_RAW, IPPROTO_RAW);

  这样我们就创建了一个 Raw Socket

  Sniffer: 嗅探器
  关于嗅探器的原理我想大多数人可能都知道
  1. 把网卡置于混杂模式;
  2. 捕捉数据包;
  3. 分析数据包.

  但具体的实现知道的人恐怕就不是那么多了. 好, 现在让我们用 Raw Socket 的做一个自已的 Sniffer.

二. 把网卡置于混杂模式
  在正常的情况下，一个网络接口应该只响应两种数据帧:
  一种是与自己硬件地址相匹配的数据帧
  一种是发向所有机器的广播数据帧
  假如要网卡接收所有通过它的数据, 而不管是不是发给它的, 那么必须把网卡置于混杂模式. 也就是说让它的思维混乱, 不按正常的方式工作. 用 Raw Socket 实现代码如下:

    setsockopt(sock, IPPROTO_IP, IP_HDRINCL, (char*)&flag, sizeof(flag); //设置 IP 头操作选项
    bind(sockRaw, (PSOCKADDR)&addrLocal, sizeof(addrLocal); //把 sockRaw 绑定到本地网卡上
    ioctlsocket(sockRaw, SIO_RCVALL, &dwValue);       //让 sockRaw 接受所有的数据

  flag 标志是用来设置 IP 头操作的, 也就是说要亲自处理 IP 头: bool flag = ture;
  addrLocal 为本地地址: SOCKADDR_IN addrLocal;
  dwValue 为输入输出参数, 为 1 时执行, 0 时取消: DWord dwValue = 1;
  没想到这么简单吧?

三. 捕捉数据包
  你的 sockRaw 现在已经在工作了, 可以在局域网内其它的电脑上用 Sniffer 检测工具检测一下, 看你的网卡是否处于混杂模式(比如 DigitalBrain 的 ARPKiller).
  不能让他白白的浪费资源啊, 抓包!

    recv(sockRaw, RecvBuf, BUFFER_SIZE, 0); //接受任意数据包

  #define BUFFER_SIZE 65535
  char RecvBuf[BUFFER_SIZE];
  越来越发现 Sniffer 原来如此的简单了, 这么一个函数就已经完成抓取数据包的任务了.

四. 分析数据包
  这回抓来的包和平常用 Socket 接受的包可就不是一回事儿了, 里面包含 IP, TCP 等原始信息. 要分析它首先得知道这些结构.
  数据包的总体结构:
  ----------------------------------------------
  | ip header | tcp header(or x header) | data |
  ----------------------------------------------

  IP header strUCture:
      4     8     16                     32 bit
  |--------|--------|----------------|--------------------------------|
  | Ver   | IHL   |Type of service |     Total length     |
  |--------|--------|----------------|--------------------------------|
  | Identification |   Flags   |     Fragment offset     |
  |--------|--------|----------------|--------------------------------|
  | Time to live   |   Protocol   |     Header checksum     |
  |--------|--------|----------------|--------------------------------|
  |             Source address               |
  |--------|--------|----------------|--------------------------------|
  |             Destination address             |
  |--------|--------|----------------|--------------------------------|
  |             Option + Padding               |
  |--------|--------|----------------|--------------------------------|
  |                 Data                 |
  |--------|--------|----------------|--------------------------------|

  TCP header structure:
                  16                 32 bit
  |--------------------------------|--------------------------------|
  |     Source port       |     Destination port     |
  |--------------------------------|--------------------------------|
  |             Sequence number             |
  |--------------------------------|--------------------------------|
  |           Acknowledgement number           |
  |--------------------------------|--------------------------------|
  | Offset | Resrvd |U|A|P|R|S|F|       Window       |
  |--------------------------------|--------------------------------|
  |       Checksum       |     Urgent pointer     |
  |--------------------------------|--------------------------------|
  |             Option + Padding             |
  |--------------------------------|--------------------------------|
  |               Data                 |
  |--------------------------------|--------------------------------|

五. 实现 Sniffer
  OK!
  现在都清楚了, 还等什么.
  下面是我用 BCB6 写的一个 Simple Sniffer 的代码, 仅供参考.
  （需要在工程文件里加入WS2_32.LIB这个文件）
//*************************************************************************//
//* CPP File: WMain.cpp
//* Simple Sniffer by shadowstar
//* http://shadowstar.126.com/
//*************************************************************************//
#include <vcl.h>
#pragma hdrstop

#include <winsock2.h>
#include <ws2tcpip.h>
#include <mstcpip.h>
#include <netmon.h>
#include "WMain.h"
//---------------------------------------------------------------------------
#pragma package(smart_init)
#pragma resource "*.dfm"
TMainForm *MainForm;
//---------------------------------------------------------------------------
__fastcall TMainForm::TMainForm(TComponent* Owner)
  : TForm(Owner)
{
WSADATA WSAData;
  BOOL   flag   = true;
  int   nTimeout = 1000;
  char   LocalName[16];
  struct hostent *pHost;

  //检查 Winsock 版本号
  if (WSAStartup(MAKEWORD(2, 2), &WSAData) != 0)
    throw Exception("WSAStartup error!");

  //初始化 Raw Socket
  if ((sock = socket(AF_INET, SOCK_RAW, IPPROTO_RAW)) == INVALID_SOCKET)
    throw Exception("socket setup error!");

  //设置IP头操作选项
  if (setsockopt(sock, IPPROTO_IP, IP_HDRINCL, (char*)&flag, sizeof(flag)) == SOCKET_ERROR)
    throw Exception("setsockopt IP_HDRINCL error!");

  //获取本机名
  if (gethostname((char*)LocalName, sizeof(LocalName)-1) == SOCKET_ERROR)
    throw Exception("gethostname error!");

  //获取本地 IP 地址
  if ((pHost = gethostbyname((char*)LocalName)) == NULL)
    throw Exception("gethostbyname error!");

  addr_in.sin_addr   = *(in_addr *)pHost->h_addr_list[0]; //IP
  addr_in.sin_family = AF_INET;
  addr_in.sin_port   = htons(57274);

  //把 sock 绑定到本地地址上
  if (bind(sock, (PSOCKADDR)&addr_in, sizeof(addr_in)) == SOCKET_ERROR)
    throw Exception("bind error!");

  iSortDirection = 1;
}
//---------------------------------------------------------------------------
__fastcall TMainForm::~TMainForm()
{
  WSACleanup();
}
//---------------------------------------------------------------------------

void __fastcall TMainForm::BTnCtrlClick(TObject *Sender)
{
  TListItem *Item;
  DWORD dwValue;
  int nIndex = 0;

  if (btnCtrl->Caption == "&Start")
  {
    dwValue = 1;
    //设置 SOCK_RAW 为SIO_RCVALL，以便接收所有的IP包
    if (ioctlsocket(sock, SIO_RCVALL, &dwValue) != 0)
      throw Exception("ioctlsocket SIO_RCVALL error!");
    bStop = false;
    btnCtrl->Caption = "&Stop";
    lsvPacket->Items->Clear();
  }
  else
  {
    dwValue = 0;
    bStop = true;
    btnCtrl->Caption = "&Start";
    //设置SOCK_RAW为SIO_RCVALL，停止接收
    if (ioctlsocket(sock, SIO_RCVALL, &dwValue) != 0)
      throw Exception("WSAIoctl SIO_RCVALL error!");
  }

  while (!bStop)
  {
    if (recv(sock, RecvBuf, BUFFER_SIZE, 0) > 0)
    {
      nIndex++;
     
      ip = *(IP*)RecvBuf;
      tcp = *(TCP*)(RecvBuf + (ip.HdrLen & IP_HDRLEN_MASK));

      Item = lsvPacket->Items->Add();
      Item->Caption = nIndex;
      Item->SubItems->Add(GetProtocolTxt(ip.Protocol));
      Item->SubItems->Add(inet_ntoa(*(in_addr*)&ip.SrcAddr));
      Item->SubItems->Add(inet_ntoa(*(in_addr*)&ip.DstAddr));
      Item->SubItems->Add(tcp.SrcPort);
      Item->SubItems->Add(tcp.DstPort);
      Item->SubItems->Add(ntohs(ip.TotalLen));
    }
    application->ProcessMessages();
  }  
}
//---------------------------------------------------------------------------

AnsiString __fastcall TMainForm::GetProtocolTxt(int Protocol)
{
  switch (Protocol)
  {
    case IPPROTO_ICMP :       //1         /* control message protocol */
      return PROTOCOL_STRING_ICMP_TXT;
    case IPPROTO_TCP :       //6         /* tcp */
      return PROTOCOL_STRING_TCP_TXT;
    case IPPROTO_UDP :       //17       /* user datagram protocol */
      return PROTOCOL_STRING_UDP_TXT;
    default :
      return PROTOCOL_STRING_UNKNOWN_TXT;
  }
}
//---------------------------------------------------------------------------

//*************************************************************************//
//* Header File: WMain.h for WMain.cpp class TMainForm
//*************************************************************************//
//---------------------------------------------------------------------------

#ifndef WMainH
#define WMainH
//---------------------------------------------------------------------------
#define BUFFER_SIZE 65535

#include <Classes.hpp>
#include <Controls.hpp>
#include <StdCtrls.hpp>
#include <Forms.hpp>
#include <ComCtrls.hpp>
#include <ExtCtrls.hpp>
#include <winsock2.h>
#include "netmon.h"

//---------------------------------------------------------------------------
class TMainForm : public TForm
{
__published: // IDE-managed Components
  TPanel *Panel1;
  TButton *btnCtrl;
  TListView *lsvPacket;
  TLabel *Label1;
  void __fastcall btnCtrlClick(TObject *Sender);
  void __fastcall lsvPacketColumnClick(TObject *Sender,
    TListColumn *Column);
  void __fastcall lsvPacketCompare(TObject *Sender, TListItem *Item1,
    TListItem *Item2, int Data, int &Compare);
  void __fastcall Label1Click(TObject *Sender);
private: // User declarations
  AnsiString __fastcall GetProtocolTxt(int Protocol);
public: // User declarations
  SOCKET   sock;
  SOCKADDR_IN addr_in;
  IP     ip;
  TCP     tcp;
  PSUHDR   psdHeader;
  char     RecvBuf[BUFFER_SIZE];
  bool     bStop;

  int iSortDirection;
  int iColumnToSort;
 
  __fastcall TMainForm(TComponent* Owner);
  __fastcall ~TMainForm();
};
//---------------------------------------------------------------------------
extern PACKAGE TMainForm *MainForm;
//---------------------------------------------------------------------------
#endif

  偷了个懒, IP, TCP 头及一些宏定义用了 netmon.h 的头, 这个文件在 BCB6 的 include 目录下可以找得到, 其中与本程序相关内容如下:

//*************************************************************************//
//* Header File: netmon.h
//*************************************************************************//
//
// IP Packet Structure
//
typedef struct _IP
{
  union
  {
    BYTE   Version;
    BYTE   HdrLen;
  };
  BYTE ServiceType;
  WORD TotalLen;
  WORD ID;
  union
  {
    WORD   Flags;
    WORD   FragOff;
  };
  BYTE TimeToLive;
  BYTE Protocol;
  WORD HdrChksum;
  DWORD   SrcAddr;
  DWORD   DstAddr;
  BYTE Options[0];
} IP;

typedef IP * LPIP;
typedef IP UNALIGNED * ULPIP;

//
// TCP Packet Structure
//
typedef struct _TCP
  {
  WORD SrcPort;
  WORD DstPort;
  DWORD SeqNum;
  DWORD AckNum;
  BYTE DataOff;
  BYTE Flags;
  WORD Window;
  WORD Chksum;
  WORD UrgPtr;
  } TCP;

typedef TCP *LPTCP;
typedef TCP UNALIGNED * ULPTCP;

// upper protocols
#define PROTOCOL_STRING_ICMP_TXT     "ICMP"
#define PROTOCOL_STRING_TCP_TXT     "TCP"
#define PROTOCOL_STRING_UDP_TXT     "UDP"
#define PROTOCOL_STRING_SPX_TXT     "SPX"
#define PROTOCOL_STRING_NCP_TXT     "NCP"

#define PROTOCOL_STRING_UNKNOW_TXT   "UNKNOW"

  这个文件也有人声称没有.
//*************************************************************************//
//* Header File: mstcpip.h
//*************************************************************************//
// Copyright (c) Microsoft Corporation. All rights reserved.
#if _MSC_VER > 1000
#pragma once
#endif

/* Argument structure for SIO_KEEPALIVE_VALS */

struct tcp_keepalive {
  u_long onoff;
  u_long keepalivetime;
  u_long keepaliveinterval;
};

// New WSAIoctl Options

#define SIO_RCVALL       _WSAIOW(IOC_VENDOR,1)
#define SIO_RCVALL_MCAST   _WSAIOW(IOC_VENDOR,2)
#define SIO_RCVALL_IGMPMCAST _WSAIOW(IOC_VENDOR,3)
#define SIO_KEEPALIVE_VALS   _WSAIOW(IOC_VENDOR,4)
#define SIO_ABSORB_RTRALERT   _WSAIOW(IOC_VENDOR,5)
#define SIO_UCAST_IF     _WSAIOW(IOC_VENDOR,6)
#define SIO_LIMIT_BROADCASTS _WSAIOW(IOC_VENDOR,7)
#define SIO_INDEX_BIND     _WSAIOW(IOC_VENDOR,8)
#define SIO_INDEX_MCASTIF   _WSAIOW(IOC_VENDOR,9)
#define SIO_INDEX_ADD_MCAST   _WSAIOW(IOC_VENDOR,10)
#define SIO_INDEX_DEL_MCAST   _WSAIOW(IOC_VENDOR,11)

// Values for use with SIO_RCVALL* options
#define RCVALL_OFF       0
#define RCVALL_ON       1
#define RCVALL_SOCKETLEVELONLY 2

  现在我们自已的 Sniffer 就做好了, Run, Start......哇, 这么多数据包, 都是从这一台机器上发出的, 它在干什么? 原来 Adminstrator 密码为空, 中了尼姆达病毒!

六. 小结
  优点: 实现简单, 不需要做驱动程序就可实现抓包.
  缺点: 数据包头不含帧信息, 不能接收到与 IP 同层的其它数据包, 如 ARP, RARP...
  这里提供的程序仅仅是一个 Sniffer 的例子, 没有对数据包进行进一步的分析. 写此文的目的在于熟悉Raw Socket 编程方法, 了解 TCP/IP 协议结构原理以及各协议之间的关系. 

资料引用:http://www.knowsky.com/392820.html