抓包软件关键代码段实现
实验平台： vc6.0, winxp
1。 首先定义IP 头，UDP，TCP 头的结构：
typedef struct _IPHeader // 20字节的IP头
{
UCHAR iphVerLen; // 版本号和头长度（各占4位）
UCHAR ipTOS; // 服务类型
USHORT ipLength; // 封包总长度，即整个IP报的长度
USHORT ipID; // 封包标识，惟一标识发送的每一个数据报
USHORT ipFlags; // 标志
UCHAR ipTTL; // 生存时间，就是TTL
UCHAR ipProtocol; // 协议，可能是TCP、UDP、ICMP等
USHORT ipChecksum; // 校验和
ULONG ipSource; // 源IP地址
ULONG ipDestination; // 目标IP地址
} IPHeader, *PIPHeader;
typedef struct _UDPHeader
{
USHORT sourcePort; // 源端口号
USHORT destinationPort;// 目的端口号
USHORT len; // 封包长度
USHORT checksum; // 校验和
} UDPHeader, *PUDPHeader;
typedef struct _TCPHeader // 20字节的TCP头
{
USHORT sourcePort; // 16位源端口号
USHORT destinationPort; // 16位目的端口号
ULONG sequenceNumber; // 32位序列号
ULONG acknowledgeNumber; // 32位确认号
UCHAR dataoffset; // 高4位表示数据偏移
UCHAR flags; // 6位标志位
//FIN - 0x01
//SYN - 0x02
//RST - 0x04
//PUSH- 0x08
//ACK- 0x10
//URG- 0x20
//ACE- 0x40
//CWR- 0x80
USHORT windows; // 16位窗口大小
USHORT checksum; // 16位校验和
USHORT urgentPointer; // 16位紧急数据偏移量
}TCPHeader, *PTCPHeader;
TCP 头 flags的宏定义：
// 定义TCP标志
#define TCP_FIN 0x01
#define TCP_SYN 0x02
#define TCP_RST 0x04
#define TCP_PSH 0x08
#define TCP_ACK 0x10
#define TCP_URG 0x20
#define TCP_ACE 0x40
#define TCP_CWR 0x80
2。socket 的初始化代码，设置网卡处于杂和方式，接收网卡收到的所有封包：
//按照原始方式初始化socket, 这里只接收IP封包，
//如果想接收ICMP 封包请更改IPPROTO_IP 为IPPROTO_ICMP
//如果想接收TCP 封包请更改IPPROTO_IP 为IPPROTO_TCP
SOCKET sRaw = socket(AF_INET, SOCK_RAW , IPPROTO_IP );
// 获取本地IP地址
char szHostName[56];
SOCKADDR_IN addr_in;
struct hostent *pHost;
gethostname(szHostName, 56);
if((pHost = gethostbyname((char*)szHostName)) == NULL)
return ;
// 在调用ioctl之前，套节字必须绑定;端口号为0
addr_in.sin_family = AF_INET;
addr_in.sin_port = htons(0);
memcpy(&addr_in.sin_addr.S_un.S_addr, pHost->h_addr_list[0], pHost->h_length);
if(bind(sRaw, (PSOCKADDR)&addr_in, sizeof(addr_in)) == SOCKET_ERROR)
return ;
//接收所有的封包，注意SIO_RCVALL 在MSTcpIP.h中定义的，所以必须include MSTcpIP.h 文件
DWORD dwValue = 1;
if(ioctlsocket(sRaw, SIO_RCVALL, &dwValue) != 0)
return ;
这样完成了socket的初始化
3。接收部分：
我用了一个最简单的方式，循环接收，有数据就解析：
char buff[1024];
int nRet;
while(TRUE)
{
nRet = recv(sRaw, buff, 1024, 0);
if(nRet > 0)
{
TRACE("Recv some data.../n");
DecodeIPPacket(buff);
}
AfxGetApp()->PumpMessage();
}
closesocket(sRaw);
解析部分代码：
void DecodeIPPacket(char *pData)
{
IPHeader *pIPHdr = (IPHeader*)pData;
in_addr source, dest;
char szSourceIp[32], szDestIp[32];
// 从IP头中取出源IP地址和目的IP地址
source.S_un.S_addr = pIPHdr->ipSource;
dest.S_un.S_addr = pIPHdr->ipDestination;
strcpy(szSourceIp, ::inet_ntoa(source));
strcpy(szDestIp, ::inet_ntoa(dest));
CString sSource=szSourceIp;
CString sdest=szDestIp;
// IP头长度
int nHeaderLen = (pIPHdr->iphVerLen & 0xf) * sizeof(ULONG);
TRACE("/n/n-------------------------------/n");
switch(pIPHdr->ipProtocol)
{
case IPPROTO_TCP: // TCP协议
TRACE("TCP %s -> %s /n", szSourceIp, szDestIp);
DecodeTCPPacket(pData + nHeaderLen);
break;
case IPPROTO_UDP:
TRACE("UDP %s -> %s /n", szSourceIp, szDestIp);
break;
case IPPROTO_ICMP:
TRACE("ICMP %s -> %s /n", szSourceIp, szDestIp);
break;
}
}
当网络是用集线器连接起来的局域网，则可抓到同一局域网内任意两台通讯的数据，如果是通过交换机连接的局域网，则只能抓到发往本机的封包，包括广播报。