信息技术 ・１７９・ 基于ｗｉｎｄｏｗｓ平台 的网络嗅探器系统的设计与实现 于鹏飞孙春静薄红岩彭斌 （吉林建筑大学电气与计算机学院，吉林长春１３００２１） 摘要：网络嗅探和分析技术是很多网络安全软件实现的基础，也是设计网络分析软件的基础，现存在的一些技术如防火墙、协议分 析等软件的实现的前提都是以数据包的嗅探捕获，所以研究相关的数据包嗅探和分析技术对保证网络的安全运行是十分必要的。该项目 实现了数据包嗅探分析器。程序中网络监听的目标ＴＣＰＢＰ协议中的ＡＲＰ、ＩＰ、ＴＣＰ、ＵＤＰ四种协议，基于Ｗｉｎｄｏｗｓ操作系统为平台，在数 据链路层捕获原始数据包，并从中提取出网络通信协议及数据包的数据。 关键词：数据包；网络监听；嗅探捕获；网络通信协议 随着计算机技术的迅速发展，网络的应用的迅速普及，网络已日益 成为生活中必不可少的一部分。由于计算机网络具有连接形式多样性、 ｆｏｒ（ｉｎｔ ｉ＝０；ｉ＜ｍ＿ＰａｃｋｅｔＭｏｎｉｔｏｒｓ．Ｌｅｎｇｔｈ；ｉ＋＋】｛ 互联性、开放性、等特点，而且多数都采用了ＴＣＰ／ＩＰ协议，而ＴＣＰ／ＩＰ在 ＰａｃｋｅｔＭｏｎｉｔｏｒｓ０］＝ｎｅｗ ＰａｃｋｅｔＭｏｎｉｔｏｒ（ｈｏｓｔｓ［ｉ￣ 设计上要求运行效率，而且要建立在互相信任的基础上，其本身就是造 成网络不安全的主要因素，因此这也是ＴＣＰ￣Ｐ协议在设计上的缺陷， ） Ｐａｃｋｅｔｓ＝ｎｅｗ ＡｒｒａｙＬｉｓｔ０； 从而导致针对网络系统的攻击事件频繁发生，当我们在享受网络带来的 ｝ 方便、快捷、的同时，也应该认识到网络安全所面临的严峻考验。与此同 Ｐｒｉｖａｔｅ ｖｏｉｄ ＰａｃｋｅｔＭｏｎｉｔｏｒｍＦｏｒｍＣｌｏｓｉｎｇ（ｏｂｊｅｃｔ ｓｅｎｄｅｒ，ＣａｎｃｅｌＥｖｅｎｔＡｒｇｓ ｅ）（ 时，网络的安全胜与可靠性日益受到人们越来越高的重视，安全ｌ生指的 ＯｎＴｏｏｌＢａｒＣｌｉｃｋ（ｔｈｉｓ，ｎｅｗ ＴｏｏｌＢａｒＢｕｔｔｏｎＣｌｉｅｋＥｖｅｎｔＡｒｇｓ（ＳｔｏｐＢｕｔｔｏｎ））； １ 是网络上的信息不被更改、泄露、和破坏。网络数据包捕获、监听与分析 ｐｕｂｌｉｃｖｏｉｄＯｎＴｏｏｌＢａｒＣｌｉｃｋ（ｏｂｊｅｃｔｓｅｎｄｅｒ，ＴｏｏｌＢａｒＢｕｔｔｏｎＣｌｉｃｋＥｖｅｎｔＡｒｇｓ 曲｛ 技术是网络安全维护的一个基础技术，同时也是网络入侵的核心手段。 ｉｆ（ｅ．Ｂｕｔｔｏｎ＝＝ＳｔｏｐＢｕｔｔｏｎ）ｆ／／停止监听所有的端口 ｆｏｒ（ｉｎｔ ｉ＝０；ｉ＜ｍ＿ＰａｅｋｅｔＭｏｎｉｔｏｒｓ．Ｌｅｎｇｔｈ；ｉ＋＋）｛ 所以研究有关数据包捕获和分析技术对保证网络的健康、安全运行是 非常意义的。 ｅｄ＝ｆａｌｓｅ； １技术背景 ＳｔａｔｕｓＢａｒ．Ｔｅｘｔ＝”停止嗅探”＋ｓｔｒｉｎｇ．Ｆｏｒｒｌｆｌ卅 数据包总量 １．１嗅探原理。嗅探是一种常用的收集有用数据的方法，嗅探器是 ｆ０ｌ字节数： 利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工 …１ ｂｙｔｅｓ”，ｍ＿Ｐａｃｋｅｔｓ．Ｃｏｕｎｔ，ｍ＿ＰａｃｋｅｔｓＳｉｚｅ）； ）ｅｌｓｅ ｉｆ（ｅＢｕｔｔｏｎ＝＝ＳｔａｒｔＢｕｔｔｏｎ）｛／／开始监听所有的端口 具。嗅探器的工作原理总共可以分为三大类：ａ基于中间人攻击的嗅探 ｆｏｒ（ｉｎｔ ｉ＝０；ｉ＜ｍ＿ＰａｅｋｅｔＭｏｎｉｔｏｒｓ．Ｌｅｎｇｔｈ；ｉ＋＋】｛ 原理；ｂ．基于ＡＲＰ欺骗的网络嗅探原理；ｃ．基于网卡混杂模式的嗅探原 ｒｙ ｆ 理：网卡一般可以分为四种接收模式： 直接方式：在这种模式下，只有 ＰａｃｋｅｔＭｏｎｉｔｏｒｓ［ｉ］．Ｓｔａｒｔ０； ）ｃａｔｃｈ（Ｅｘｃｅｐｔｉｏｎ ｅｘ）（ 目的网卡才能接收该数据；ｂ．混杂模式：在这种模式下的网卡能够接收 ＭｅｓｓａｇｅＢｏｘ．Ｓｈｏｗ（ｔｈｉｓ，”界面出现—个错误”＋ 切通过它的数据．ｃ．广播方式：该模式下的网卡能够接收网络中的广 ａｌｉｓ．ｏｒｇ ＰａｃｋｅｔＭｏｎｉｔｏｒ￣ｉ］．ＩＲＴｏＳｔｉｒｎｇ０＋” ｎ ’＋ｅｘ．Ｍｅｓｓａｇｅ＋’Ｔ’， ”ＭｅｎｔＰａｃｋｅｔ Ｍｏｎｉｔｏｒ”，ＭｅｓｓａｇｅＢｏｘＢｕｔｔｏｎ￣ＯＩ＜，ＭｅｓｓａｇｅＢｏｘｌｃｏｎ．Ｅｒｒｏｒ）； 播信息；ｄ．组播方式：设置在该模式下的网卡能够接收组播数据。 】 １．２捕获机制。网络数据包捕获技术是从网络上捕获特定的或所有 的网络数据包信息，供其他网络 安全系统使用。不同的网络有不同的 Ｊ 捕获技术，不同的操作系统其捕获机理也不尽不同。操作系统提供的捕 ＳｔａｔｕｓＢａｒ．Ｔｅｘｔ：”检测所有端口”； 获机制主要有以下三种：ａ．ＳＯＣＫ＿ＰＡＣＫＥＴ类型套接口；ｂ．数据链路提 １ ｅｌｓｅ ｉｆ（ｅ．Ｂｕｔｔｏｎ＝＝ＣｌｅａｒＢｕｔｔｏｎ）（／／清除列表 ＰａｃｋｅｔＬｉｓｔＩｔｅｍｓ．Ｃｌｅａｒ０； 供者接口（（Ｄａｔａ ｌｉｎｋ Ｐｒｏｖｉｄｅｒ Ｉｎｔｅｒｆａｃｅ，ＤＬＰＩ））；ｃ伯克利数据包过滤 ｍ＿ｎｌ＿ｍ＿一ｍ＿器（Ｂｅｒｋｅｌｅｙ Ｐａｃｋｅｔ Ｆｉｈｅｒ，ＢＰＦ）。 ＢＦＰ主要由两部分组成：网络转发部分和数据包过滤部分。 在实际应用中，实现网络数据包捕获技术的代表是Ｌｉｂｐｃａｐ。它是 个专业的跨平台的网络数据包捕获开发包。使用Ｌｉｂｐｃａｐ可以很轻 松的实现网络数据包的捕获功能，它的捕获机制就是ＢＰＦ捕获机制。在 ｗｉｎｄｏｗｓ平台下有与Ｌｉｂｐｃａｐ兼容的ＷｉｎＰｃａｐ开发 包，它是专门针 对 ｉｎｄｏｗｓ平台而开发的，本次论文的程序的开发就是利用ＷｉｎＰｃａｐ 一Ｐａｃｋｅｔｓ．Ｃｌｅａｒ０； ＳｔａｔｕｓＢａｒ．Ｔｅｘｔ＝”清空列表”； １ ｅｌｓｅ ｉｆ（ｅ．Ｂｕｔｔｏｎ：＝ＡｂｏｕｔＢｕｔｔｏｎ）｛ ＡｂｏｕｔＦｏｒｍ ａｆ＝ｎｅｗ ＡｂｏｕｔＦｏｒｍ￣ ａ￣ＳｈｏｗＤｉａｌｏｇ（ｔｈｉｓ），； ） ｍｌ （１）最低配置： Ｐ３ １．０Ｇ ＣＰＵ ２５６ ＭＢ ＲＡＭ Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ ５．５ ｏｒ ｈｉｇｈｅｒ 库函数实现的。 ２程序流程 通过采用程序的顺序、循环和选择三种基本的控制流程，可以提高 程序质量和编程效率，使程序具有良好的可读性；可维护性、可靠性以 及良好的结构，有利于后面程序的编写。 ３代码实现 ”．（２）支持的操作系统 Ｗｉｎｄｏｗｓ ２０００（ＳＰ ４ ｏｒ ｌａｔｅｒ） ＭｅｓｓａｇｅＢｏｘＢｕｔｔｏｎｓ￣ＯＫ，／／网络嗅探器 ＭｅｓｓａｇｅＢｏｘｌｃｏｎ．Ｅｒｒｏｄ； ） ） ｐｒｉｖａｔｅ ｖｏｉｄ Ｉｎｉｔｉａｌｉｚｅ０ ｆ ／／取得计算机的所有端口，并以列表的形式显示出来 ＩＰＡｄｄｒｅｓｓ１］ｈｏｓｔｓ：Ｄｎｓ．Ｒｅｓｏｌｖｅ（Ｄｎｓ．ＧｅｔＨｏｓｔＮａｍｅ０）．ＡｄｄｒｅｓｓＬｉｓｔ； ｉｆ（ｈｏｓｔ￣Ｌｅｎｇｔｈ＝：０ｌ ｃｏｍｐｕｔｅｒ ｄｏｅｓ ｎｏｔ ｈａｖｅ ｌ＇ｔｏｎ—ｌｏｏｐｂａｃｋ ｉｎｔｅｒｆａｃｅｓ ｉｎｓｔａｌｌｅｄ！’ ｆｏｒ（ｉｎｔ ｉ＝０；ｉ＜ｈｏｓｔｓ．Ｌｅｎｇｔｈ；ｉ＋ ｛ ＨｏｓｔｓＭｅｎｕ．Ｍｅｎｕｌｔｅｍ，￣Ａｄｄ（ｈｏｓｔｓ［ｉ］．ＴｏＳｔｒｉｎ酊’ｎｅｗ Ｅ 编译通过后，对本系统进行测试。 测试主机的硬件和软件环境如下： 操作系统：Ｗｉｎｄｏｗｓ ＶｉｓｔａＴＭ Ｈｏｍｅ Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｐａｃｋ １ 处理器：ＩｎｔｅｌＯｔ）ＣｏｒｅＯ＇Ｍ）２ Ｄｕｏ ＣＰＵ Ｔ６６７０＠２．２０ＧＨｚ ２．２０ＧＨｚ ￣－（ＲＡＭ）：２．０ＯＧＢ 系统类型：３２位操作系统 开发工具：ＶＣ＋＋６．０ ４结论 随着网络技术的迅猛发展，网络安全将被人们越来越重视，网络嗅 探技术作为网络安全攻防中最基础的技术，网络嗅探工具的发展将向 着集成化和易用型发展这两个方向发展，我相信这也是绝大部分软件 的发展趋势。 注：大创项目，项目编号：８５７００８３１。 作者简介：于鹏飞（１９９５一），男，吉林省长春市人，学生，吉林建筑大学。
