IP层网络数据抓包实现方法收藏

怼烎@ 2022-08-24 01:29 475阅读 0赞

做过网管或协议分析的人一般都熟悉sniffer这个工具，它可以捕捉流经本地网卡的所有数据包。抓取网络数据包进行分析有很多用处，如分析网络是否有网络病毒等异常数据，通信协议的分析（数据链路层协议、IP、UDP、TCP、甚至各种应用层协议），敏感数据的捕捉等。下面我们就来看看在windows下如何实现数据包的捕获。

WINSOCK本身就提供了抓取流经网卡的所有数据包的函数，虽然只能在IP协议层上捕捉，但只要您的工作没有涉及到数据链路层的话，这也就足够用了。抓取数据包的编程方法基本和编写其它网络应用程序一样，只需多一个步骤，即将SOCKET设置为接收所有数据的模式，这是用WSAIoctl来实现的。

编程实现主要有以下几个步骤：  
1. 初始化WINSOCK库；  
2. 创建SOCKET句柄；  
3. 绑定SOCKET句柄到一个本地地址；  
4. 设置该SOCKET为接收所有数据的模式；  
5. 接收数据包；  
6. 关闭SOCKET句柄，清理WINSOCK库；

除第4个步骤外，其它的步骤都和编写其它网络应用程序一样。那我们就主要来看一下第4个步骤WSAIoctl。

WSAIoctl是定义在mstcpip.h里面的。系统SDK里面本身就有。函数原型如下：  
**int** **WSAIoctl(**  
**SOCKET** *s***,**  
 **DWORD** *dwIoControlCode***,**  
 **LPVOID** *lpvInBuffer***,**  
 **DWORD** *cbInBuffer***,**  
 **LPVOID** *lpvOutBuffer***,**  
 **DWORD** *cbOutBuffer***,**  
 **LPDWORD** *lpcbBytesReturned***,**  
 **LPWSAOVERLAPPED** *lpOverlapped***,**  
 **LPWSAOVERLAPPED\_COMPLETION\_ROUTINE** *lpCompletionRoutine*  
**);**  
 参数很多，但我们只需用到5个。s是步骤2创建的句柄；dwIoControlCode设为SIO\_RCVALL；lpvInBuffer和cbInBuffer是输入参数，SIO\_RCVALL的输入参数是u\_long，给它一个1的值就可以了；lpcbBytesReturned是返回字节数，给一个DWORD变量的地址；其它的都没用，传0就可以了；

![None.gif][] u\_long sioarg  =  1 ;  
![None.gif][]DWORD wt = 0 ;  
![None.gif][]WSAIoctl( h, SIO\_RCVALL ,  & sioarg, sizeof (sioarg),NULL, 0 , & wt,NULL,NULL ) ;

下面我们就来看一下完整的代码：

![None.gif][]   
![None.gif][]\#include  < winsock2.h >   
![None.gif][]\#include  < windows.h >   
![None.gif][]\#include  < Mstcpip.h >   
![None.gif][]  
![None.gif][] \#pragma  comment(lib,"Ws2\_32.lib")   
![None.gif][]  
![None.gif][]\#include  < iostream >   
![None.gif][] using  namespace  std;  
![None.gif][]  
![None.gif][] // IP首部   
![None.gif][] typedef  struct  tIPPackHead  
![ExpandedBlockStart.gif][] \{  
![ExpandedSubBlockStart.gif][]enum PROTOCOL\_TYPE\{  
![InBlock.gif][] PROTOCOL\_TCP =6,  
![InBlock.gif][] PROTOCOL\_UDP =17,  
![InBlock.gif][] PROTOCOL\_ICMP =1,  
![InBlock.gif][] PROTOCOL\_IGMP =2  
![ExpandedSubBlockEnd.gif][] \};  
![InBlock.gif][] inline unsigned HeadLen() const  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][]//首部长度单位为4bytes。因此乘4  
![InBlock.gif][]return (ver\_hlen &0x0F) <<2;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][] inline unsigned PackLen() const  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][]return wPacketLen;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][] BYTE ver\_hlen; //IP协议版本和IP首部长度。高4位为版本，低4位为首部的长度(单位为4bytes)  
![InBlock.gif][] BYTE byTOS; //服务类型  
![InBlock.gif][] WORD wPacketLen; //IP包总长度。包括首部，单位为byte。\[Big endian\]  
![InBlock.gif][] WORD wSequence; //序号，一般每个IP包的序号递增。\[Big endian\]  
![InBlock.gif][] WORD wMarkFragPoi;  
![InBlock.gif][] BYTE byTTL; //生存时间   
![InBlock.gif][] BYTE byProtocolType; //协议类型，见PROTOCOL\_TYPE定义  
![InBlock.gif][] WORD wHeadCheckSum; //IP首部校验和\[Big endian\]  
![InBlock.gif][] DWORD dwIPSrc; //源地址  
![InBlock.gif][] DWORD dwIPDes; //目的地址  
![ExpandedBlockEnd.gif][]\}  IP\_PK\_HEAD;  
![None.gif][]  
![None.gif][]  
![None.gif][] int  DecodeIP( char  \* buf,  int  len);  
![None.gif][]  
![None.gif][] int  DecodeIP( char  \* buf,  int  len)  
![ExpandedBlockStart.gif][] \{  
![InBlock.gif][]int n = len;  
![InBlock.gif][]  
![InBlock.gif][]if( n >=sizeof(IP\_PK\_HEAD) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] IP\_PK\_HEAD iphead;  
![InBlock.gif][] memcpy( &iphead, buf, sizeof(iphead) );  
![InBlock.gif][]  
![InBlock.gif][]//以下三个为Big Endian字节顺序，转换成主机字节顺序  
![InBlock.gif][] iphead.wPacketLen = ntohs( iphead.wPacketLen );  
![InBlock.gif][] iphead.wSequence = ntohs( iphead.wSequence );  
![InBlock.gif][] iphead.wHeadCheckSum = ntohs( iphead.wHeadCheckSum );  
![InBlock.gif][]  
![InBlock.gif][] in\_addr src,dst;  
![InBlock.gif][] src.S\_un.S\_addr = iphead.dwIPSrc;  
![InBlock.gif][] dst.S\_un.S\_addr = iphead.dwIPDes;  
![InBlock.gif][]  
![InBlock.gif][]char strsrc\[20\],strdst\[20\];  
![InBlock.gif][] strcpy(strsrc, inet\_ntoa(src) );  
![InBlock.gif][] strcpy( strdst , inet\_ntoa(dst));  
![InBlock.gif][]  
![InBlock.gif][] printf( "IP数据包: ver=%d,hlen=%d,protocol=%d,pklen=%d,seq=%d,src=%s,dst=%s \_fcksavedurl="%s,dst=%s" ",  
![InBlock.gif][] iphead.ver\_hlen >>4,  
![InBlock.gif][] (iphead.ver\_hlen &0x0F) <<2,  
![InBlock.gif][] iphead.byProtocolType,  
![InBlock.gif][] iphead.wPacketLen,  
![InBlock.gif][] iphead.wSequence,  
![InBlock.gif][] strsrc,  
![InBlock.gif][] strdst );  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]return0;  
![ExpandedBlockEnd.gif][]\}   
![None.gif][]  
![None.gif][] void  AutoWSACleanup()  
![ExpandedBlockStart.gif][] \{  
![InBlock.gif][] ::WSACleanup();  
![ExpandedBlockEnd.gif][]\}   
![None.gif][]  
![None.gif][] int  \_tmain( int  argc, \_TCHAR \*  argv\[\])  
![ExpandedBlockStart.gif][] \{  
![InBlock.gif][]//初始化winsock库，使用2.2版本  
![InBlock.gif][] u\_short wVersionRequested =0x0202;  
![InBlock.gif][] WSADATA wsaData;  
![InBlock.gif][]if( SOCKET\_ERROR == WSAStartup( wVersionRequested, &wsaData ) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][] atexit( AutoWSACleanup );  
![InBlock.gif][]  
![InBlock.gif][]//创建SOCKET  
![InBlock.gif][] SOCKET h = socket( AF\_INET, SOCK\_RAW, IPPROTO\_IP);  
![InBlock.gif][]if( h == INVALID\_SOCKET )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]//获取本机地址  
![InBlock.gif][]char FAR name\[128\];  
![InBlock.gif][]if( \-1== gethostname(name, sizeof(name)) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] closesocket( h );  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]struct hostent FAR \* pHostent;  
![InBlock.gif][] pHostent = gethostbyname(name);  
![InBlock.gif][]  
![InBlock.gif][]//绑定本地地址到SOCKET句柄  
![InBlock.gif][] sockaddr\_in addr;  
![InBlock.gif][] addr.sin\_family = AF\_INET;  
![InBlock.gif][] addr.sin\_addr =\*(in\_addr\*)pHostent\->h\_addr; //IP  
![InBlock.gif][] addr.sin\_port =0; //端口，IP层端口可随意填  
![InBlock.gif][]if( SOCKET\_ERROR == bind( h,(sockaddr \*)&addr,sizeof(addr) ) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] closesocket( h );  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]//设置该SOCKET为接收所有流经绑定的IP的网卡的所有数据，包括接收和发送的数据包  
![InBlock.gif][]//该函数在mstcpip.h里面，详见MSDN帮助  
![InBlock.gif][] u\_long sioarg =1;  
![InBlock.gif][] DWORD wt=0;  
![InBlock.gif][]if( SOCKET\_ERROR == WSAIoctl( h, SIO\_RCVALL , &sioarg,sizeof(sioarg),NULL,0,&wt,NULL,NULL ) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] closesocket( h );  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]//我们只需要接收数据，因此设置为阻塞IO，使用最简单的IO模型  
![InBlock.gif][] u\_long bioarg =0;  
![InBlock.gif][]if( SOCKET\_ERROR == ioctlsocket( h, FIONBIO , &bioarg ) )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] closesocket( h );  
![InBlock.gif][] cout << WSAGetLastError();  
![InBlock.gif][]return0;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][]//开始接收数据  
![InBlock.gif][]//因为前面已经设置为阻塞IO，recv在接收到数据前不会返回。  
![InBlock.gif][]//当返回<=0时表示接收失败，退出循环  
![InBlock.gif][]//可以在另一个线程执行此循环，主线程closesocket可以使recv失败而结束循环  
![InBlock.gif][]char buf\[102400\];  
![InBlock.gif][]int len =0;  
![InBlock.gif][]do  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] len = recv( h, buf, sizeof(buf),0);  
![InBlock.gif][]if( len >0 )  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][] DecodeIP( buf, len );  
![ExpandedSubBlockEnd.gif][] \}  
![ExpandedSubBlockEnd.gif][] \}while( len >0 );  
![InBlock.gif][]  
![InBlock.gif][] closesocket( h );  
![InBlock.gif][]  
![InBlock.gif][]return0;  
![ExpandedBlockEnd.gif][]\}   
![None.gif][]  
![None.gif][]

绑定地址时，必须获取到本机的一个真实IP地址，不能用0.0.0.0或127.0.0.0.1。端口就没有限制了。接收数据的方法和基于TCP或UDP的接收是一样的。也可以用非阻塞IO，并采用select、WSAAsyncSelect、WSAEventSelect等IO模型来处理。但我们要做的只是简单地接收数据而已，不需要任何交互，实在没有必要给自己找麻烦。这里我用的是阻塞IO，即在接收到数据前recv不会返回，一旦返回了，要不就是接收到数据，要不就是接收失败。当接收失败时循环就退出了。不过因为是阻塞IO的关系，主线程就无法进行其它操作，最好把接收数据的循环放到第二线程内。主线程通过closesocket就可以使接收失败从而结束接收数据的循环了。

通过这种方法接收到的数据是个IP层的数据包，每个数据包的开始是至少20个字节的IP首部，IP首部定义见tIPPackHead结构体，关于IP首部的更详细的资料可以参考《TCP-IP详解卷1：协议》第3章，在此就不多作描述。DecodeIP是对IP首部的解析，IP首部后面的数据则需要根据首部里面的协议类型进行各自不同处理。如果是TCP协议则按照TCP协议解析，UDP则按UDP协议解析。下面附上TCP和UDP首部的定义，更详细的信息请参考《TCP-IP详解卷1：协议》第11和17章。

![None.gif][]   
![None.gif][] // UDP首部   
![None.gif][] typedef  struct  tUDPPackHead  
![ExpandedBlockStart.gif][] \{  
![InBlock.gif][] inline unsigned HeadLen() const  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][]return8;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][] inline unsigned PackLen() const  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][]return wLength;  
![ExpandedSubBlockEnd.gif][] \}  
![ExpandedSubBlockStart.gif][] WORD wSPort; /\*Source Port\*/  
![ExpandedSubBlockStart.gif][] WORD wDPort; /\*Destinate Port\*/  
![ExpandedSubBlockStart.gif][] WORD wLength; /\*UDP Length\*/  
![ExpandedSubBlockStart.gif][] WORD wCheckSum; /\*UDP CheckSum\*/  
![ExpandedBlockEnd.gif][]\}  UDP\_PK\_HEAD;  
![None.gif][]  
![None.gif][] // TCP首部   
![None.gif][] typedef  struct  tTCPPackHead  
![ExpandedBlockStart.gif][] \{  
![InBlock.gif][] inline unsigned HeadLen() const  
![ExpandedSubBlockStart.gif][]\{  
![InBlock.gif][]return ((lenres>>4) &0x0F) <<2;  
![ExpandedSubBlockEnd.gif][] \}  
![InBlock.gif][]  
![InBlock.gif][] WORD wSrcPort; //16位源端口   
![InBlock.gif][] WORD wDstPort; //16位目的端口   
![InBlock.gif][] DWORD dwSeq; //32位序列号   
![InBlock.gif][] DWORD dwAck; //32位确认号   
![InBlock.gif][] unsigned char lenres; //4位首部长度/6位保留字 (高4bit为head len)  
![InBlock.gif][] unsigned char flag; //6位标志位 (低6bit为标志)  
![InBlock.gif][] WORD wWin; //16位窗口大小   
![InBlock.gif][] WORD wSum; //16位校验和   
![InBlock.gif][] WORD wUrp; //16位紧急数据偏移量   
![ExpandedBlockEnd.gif][]\} TCP\_PK\_HEAD;  
![None.gif][]

[None.gif]: /images/20220823/2022d92f135f4f8682f797a3e9217305.png
[ExpandedBlockStart.gif]: /images/20220823/b9dde4345b3741999f078adc7aeb06c8.png
[ExpandedSubBlockStart.gif]: /images/20220823/f4de6edec48145a09429e63655c02591.png
[InBlock.gif]: /images/20220823/efb67d937baa473d926d6e9230a3865a.png
[ExpandedSubBlockEnd.gif]: /images/20220823/0cf6da3d410b46d1bd6c24d00882cb2c.png
[ExpandedBlockEnd.gif]: /images/20220823/0df76adfc5124eb5b8a959285e595c4a.png