winpcap编程_适合当讲授课件.ppt

第1章常用抓包工具的使用内容组织一、什么是WinPcap一、什么是WinPcap引用WinPcap主页上的一段内容：
WinPcap基于Win32平台，用于捕获数据包和进行网络分析。它包括了一个内核级的数据包过滤器，一个低层动态链接库(packet.dll)，一个高层的，依赖于系统的库(wpcap.dll)。WinPcap提供了以下功能：三、哪些程序在使用WinPcap特别地，大部分windows平台下有数据包捕获功能的软件都使用了winpcap作为编程接口，比较著名的有:四、WinPcap不能胜任的事情一、编程环境设定一、编程环境设定二、获得设备列表pcap_findalldevs_ex()由pcap_findalldevs_ex()返回的每一个pcap_if结构体，都包含一个pcap_addr结构体，这个结构体由如下元素组成：例子:如果使用Hub等基于共享的网络的情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的数据包则不予响应（换句话说，工作站A不会捕获属于工作站B的数据，而是简单地忽略这些数据）。如果某个工作站的网络接口处于混杂模式，那么它就可以捕获网络上所有的数据包和帧。
但是现代网络常常采用交换机作为网络连接设备枢纽，在通常情况下，交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时采用网络端口镜像技术进行配合。例子适配器打开以后，捕获工作就可以用pcap_dispatch()或pcap_loop()进行例子请注意，使用pcap_loop()函数捕获数据包时,应用程序不能直接控制数据包处理函数的调用,因为这个包处理函数是自动由包捕获驱动程序调用的.在某些情况下，使用循环调用pcap_next_ex()来接受数据包会更容易理解。不用回调方法捕获数据包例子四、过滤数据包pcap_compile()&pcap_setfilter()a.捕获MAC地址为00:d0:f8:00:00:03网络设备通信的所有报文
etherhost00:d0:f8:00:00:03
b.捕获IP地址为192.168.10.1网络设备通信的所有报文
host192.168.10.1
c.捕获网络web浏览的所有报文
tcpport80
d.捕获192.168.10.1除了http外的所有通信数据报文
host192.168.10.1andnottcpport80

这些过滤规则也是软件Ethereal直接使用的规则更一般的过滤规则六、发送数据包发送单个数据包例子Cont.Cont.Cont.发送多个数据包—发送队列中的包七、收集并统计网络流量回调函数将在每一个read_timeout时间，收到由驱动发来的计算好的采样数据。这些采样数据将通过回调函数的第2个和第3个参数传递，如下所示例子简单总结获得已安装设
备的高级信息其它相关软件工具Thanks附录参考文献