２００８．１
26网络安全技术与应用网络数据包截获方法
安志强 刘峰 张春
北京交通大学计算机与信息技术学院 北京 １０００４４
摘要：本文在分析ｌｉｂｐｃａｐ基础上，引入一种新的网络监测方法，它可以动态的监测网络通信量，适用于不同的网络环境中。关键词：网络安全；数据包；截获；动态网络监视接口
０ 引言
网络数据包截获机制是网络管理系统的基础组件之一。数据包截获机制是网络性能分析工具和网络安全工具的实现基础。一方面，网络数据截取要能保证捕获到所有网络上的数据包，尤其是检测到被分片的数据包；另一方面，网络截取数据包的效率也是很重要的，它直接影响整个入侵检测系统的运行速度。
１ 数据流截获方法
１．１ 利用广播截取网络数据流
数据包的截取技术是依赖网卡的，而网卡可以通过广播监听到以太网络上的数据包，这就是数据包截取技术的基础。
要想截获不是给自己数据流，就必须绕开系统正常工作的机制，直接通过设置网卡的的工作模式为混杂模式，使之可以接受目标地址不是自己的ＭＡＣ地址的数据包，直接访问数据链路层，获取数据。
１．２ 各系统截取数据包机制
Ｌｉｎｕｘ系统为用户提供一种在理论上是数据链路层的，基于网卡驱动程序的，可以不用操作系统自身协议栈的接口——ＳｏｃｋＰａｃｋｅｔ。这种套接字可以从数据链路层上直接截取所有链路层数据包。而Ｕｎｉｘ系统则是通过ｌｉｂｐｃａｐ库直接与内核交互，实现网络截取，如ｌｉｂｐｃａｐ、ｔｃｐｄｕｍｐ等。
ＢＳＤ Ｐａｃｋｅｔ Ｆｉｌｔｅｒ（ＢＰＦ）机制来截取数据包。ＢＰＦ可以说是各系统中较好的截获方式。Ｗｉｎｄｏｗｓ系统也有类似情况，如：Ｗｉｎ系列上有＊．ｖｘｄ和网卡．ｓｙｓ来驱动网卡截取数据包。
２ 基于ｌｉｂｐｃａｐ库的通用数据截获技术
ｌｉｂｐｃａｐ是用户态的数据包截获ＡＰＩ函数接口，有独立和可移植性。最初，ｌｉｂｐｃａｐ是为了强大、健壮ｔｃｐｄｕｍｐ而编写的。它支持ＢＰＦ过滤机制。Ｓｎｏｒｔ就是依赖于ｌｉｂｐｃａｐ库进行数据包截取的程序之一。它的优点是可以从任何Ｕｎｉｘ内核平台上截取数据包，而不考虑什么芯片类型的网卡和驱动程序。
更重要的是，它可以使开发人员编写自己的解码、显示、记录等程序。
３ Ｓｎｏｒｔ调用Ｌｉｂｐｃａｐ
在Ｓｎｏｒｔ运行启动时，Ｓｎｏｒｔ调用ｌｉｂｐｃａｐ库。当调用ｌｉｂｐｃａｐ函数并初始化接口时，进入截取数据的循环模块——ｐｃａｐ循环。
在这个主循环——ｐｃａｐｌｏｏｐ（），当网卡从网络介质上接收数据开始，ｐｃａｐ＿ｌｏｏｐ便对采集来的每个数据包都ＰｒｏｃｅｓｓＰａｃ－ｋｅｔ（）函数处理，如果出错或达到指定的处理包数就退出。即ｐｃａｐ＿ｌｏｏｐ（）最后根据数据链路类型来选择数据包，然后由ＰｒｏｃｅｓｓＰａｃｋｅｔ（）来进行协议分析，实施信息流的匹配。
４ 网络通信量动态监视的设计
网络监视是指捕获穿越ＩＰ网的数据包，打开并进行分析。该操作是个被动行为，不对数据包作任何修改，数据包仍会继续在网络上向目的地传输。随着网络链接速度的增快，现有的网络监视体系已不能满足网络管理中对监视的需求，特别是对一些新的网络应用原有的监视工具不能进行监视，或者监视起来系统开销太大，比如要确定点对点的文件共享（ＦＴＰ）、多媒体会议等动态分配端口的网络应用对网络的使用情况，就不太可能。另外，对于一些安全应用程序，如入侵检测系统，传统的监视应用程序提供的信息往往是不够用的。
为了解决上述问题，传统的做法是获取通信中的全部数据包，这样会使网络管理员去处理海量的数据。这样做还有一个局限性，便是不具备通用性，不能在不同的硬件平台上使用。
故引入一种新的动态网络监视接口，它可根据用户的需要捕获相关数据包，也允许用户去触发自定义的处理例程。
４．１ 网络通信量动态监视的详细设计
在动态网络监视接口中，无需详细了解底层硬件的构成，网络流定义为满足给定条件的一组数据包序列。对于数据包的协议分析和审查而言，给定的条件是不受限制的。而原有的网络流定义为在一个给定的时间段内有相同源、目的ＩＰ地
作者简介：安志强（１９８０－），男，北京交通大学计算机学院２００５级硕士研究生，研究方向：网络管
理。刘峰（１９６１－），男，北京交通大学计算机学院副院长、教授，硕士生导师。张春（１９６６－），女，北
京交通大学计算机学院网管研究中心高级工程师。
２００８．１
27
网络安全技术与应用址及端口的一组数据包。所以，动态网络监视接口定义的网络流可以是数据包、管道、文件等实体，可以创建和删除（关闭）网络流，读取、采样或计数一个流的数据包，在网络流上应用某些函数。
（１）创建和终止网络流
① ｆｄ＝ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（ｃｈａｒ ＊ｄｅｖ， ｃｏｎｄ ＊ｃ， ｍｏｄｅ ｍ）创建一个网络流ｆｄ。第三个参数ｍ允许监视系统在网络流上执行一些预处理操作，可重新编配数据包，删除数据包，对数据包重新排序等。例如，当ｍ置成ＣＯＯＫＥＤ时，单个的数据包按照网络协议（ＴＣＰ 或ＵＤＰ）进行预处理然后串成一个数据流。如：ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（“／ｄｅｖ／ｄａｇ０”， “ｄｓｔ ｐｏｒｔ ８０”，ＲＡＷ） 创建了一个网络流，它的所有数据包是指通过网络接口／ｄｅｖ／ｄａｇ０去往８０号端口的包。
② ｆｄ＝ｍａｐｉ＿ｃｌｏｓｅ＿ｆｌｏｗ（ｆｌｏｗ＿ｄｅｓｃ ｆｄ）关闭不再需要监视的网络流。（２）从网络流中读出数据包① ｐａｃｋｅｔ ＊ ｍａｐｉ＿ｇｅｔ＿ｎｅｘｔ＿ｐａｃｋｅｔ（ｆｄ）
读取属于网络流ｆｄ的下一个数据包（一次读取一个数据包）。
② ｍａｐｉ＿ｌｏｏｐ（ｆｌｏｗ＿ｄｅｓｃ ｆｄ ， ｉｎｔ ｃｎｔ ， ｍａｐｉ＿ｈａｎｄｌｅｒ ｃａｌｌｂａｃｋ）为网络流ｆｄ的下一个数据包ｃｎｔ调用处理程序ｃａｌｌｂａｃｋ。（３）网络流的应用函数
动态网络监视接口允许用不同的函数去处理不同网络流中的数据包。
ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉａｎ（ｆｌｏｗ＿ｄｅｓｔ ｆｄ， ｆｕｎｃｔｉｏｎ ｆ ，……）函数 ｆ 可以作用于网络流ｆｄ的每一个数据包。ＭＡＰＩ提供了一些预定义函数：ＰＡＣＫＥＴ＿ＣＯＵＮＴ函数－计算网络流中数据包的个数，ＳＡＭＰＬＥ＿ＰＡＣＫＥＴＳ 函数－对数据包进行采样。
（４）动态生成网络流
ｆｄ＝ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（＂ｄａｇ０＂， ＂ｐｏｒｔ ８０＂ ， ＨＩＥＲＡＲＣＨＩＣＡＬ）创建了ｈｉｅｒａｒｃｈｉｃａｌ模式的网络流ｆｄ，ｆｄ由去往８０号端口的所有数据包组成。
用户如想获得通信量统计数据，则只需了解包头信息，不需要了解数据包的负载。ｈｉｅｒａｒｃｈｉｃａｌ模式的网络流便可满足用户该项需要。
４．２ 动态网络监视接口应用实例：监视ＦＴＰ的通信
ｐａｃｋｅｔ ＊ｐ；
ｆｌｏｗ＿ｄｅｓｃｒｉｐｔｏｒ ｆｄ， ｘｆｅｒｓ［１０２４］；Ｓｔｒｕｃｔ ｂｙｔｅ＿ｃｏｕｎｔ＿ｒｅｓｕｌｔｓ ｂｒ；
ｉｎｔ ｓｒｃ＿ｐｏｒｔ， ｄｓｔ＿ｐｏｒｔ， ｃｏｕｎｔ， ｔｏｔａｌ＿ｆｔ＿ｐｔｒａｆｆｉｃ＝０；ｃｈａｒ ｎｅｗ＿ｆｌｏｗ［６４］；
／＊ 创建一个监视ＦＴＰ２１号控制端口的网络流 ＊／１： ｆｄ ＝ ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（／ｄｅｖ／ｓｃａｍｐｉ， ＂ｔｃｐ ｐｏｒｔ ２１＂， ＲＡＷ）；／＊ 寻找到指出一个新传输开始的数据包，这样的数据包包含字符串：＂２２７ Ｅｎｔｅｒｉｎｇ Ｐａｓｓｉｖｅ Ｍｏｄｅ＂ ＊／
２： ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉｏｎ（ｆｄ， ＳＵＢＳＴＲＩＮＧ＿ＳＥＡＲＣＨ， ＂２２７Ｅｎｔｅｒｉｎｇ Ｐａｓｓｉｖｅ Ｍｏｄｅ＂）；
／＊ 追踪接下来的１００个数据包 ＊／３： ｆｏｒ（ｃｏｕｎｔ＝０； ｃｏｕｎｔ＜１００； ｃｏｕｎｔ＋＋）｛４： ｐ＝ｍａｐｉ＿ｇｅｔ＿ｎｅｘｔ＿ｐａｃｋｅｔ（ｆｄ）；
／＊ ｅｘｔｒａｃｔ＿ｐｏｒｔｓ 得到指出新传输开始的那个数据包，并提取出分配的动态数据端口 ＊／
５： ｅｘｔｒａｃｔ＿ｐｏｒｔｓ（ｐ， ＆ｓｒｃ＿ｐｏｒｔ， ＆ｄｓｔ＿ｐｏｒｔ）；
／＊ 创建一个网络流去追踪按照包含在控制数据包中的信息的即将到来的传输 ＊／
６： ｓｐｒｉｎｔｆ（ｎｅｗ＿ｆｌｏｗ， ＂ｔｃｐ ｓｒｃ ｐｏｒｔ ％ｄ ａｎｄ ｄｅｓｔ ｐｏｒｔ ％ｄ＂，ｐｏｒｔ［０］， ｐｏｒｔ［１］）；
／＊ 为该数据传输创建一个新流 ＊／
７： ｘｆｅｒｓ［ｃｏｒｎｔ］ ＝ ｍａｐｉ＿ｃｒｅａｔｅ＿ｆｌｏｗ（／ｄｅｖ／ｓｃａｍｐｉ， ｎｅｗ＿ｆｌｏｗ，ＲＡＷ）；
／＊ 计算该流中传输的字节数 ＊／
８： ｍａｐｉ＿ａｐｐｌｙ＿ｆｕｎｃｔｉｏｎ（ｘｆｅｒｓ［ｃｏｕｎｔ］， ＢＹＴＥ＿ＣＯＵＮＴ）；｝／＊ 结果＊／
９： ｆｏｒ（ｃｏｕｎｔ＝０； ｃｏｕｎｔ＜ｌ００； ｃｏｕｎｔ＋＋）｛
１０： ｍａｐｉ＿ｒｅａｄ＿ｒｅｓｕｌｔｓ（ｘｆｅｒｓ［ｃｏｕｎｔ］，ＢＹＴＥ＿ＣＯＵＮＴ，＆ｂｒ）；１１： ｔｏｔａｌ＿ｆｔｐ＿ｔｒａｆｆｉｃ ＋＝ ｂｒ．ｂｙｔｅｓ； ｝
５ 小结
网络数据的截取是网络管理及入侵检测系统的基础。本文介绍了两种网络数据截取机制。在重点讲述了ｌｉｂｐｃａｐ库的网络数据包截取机制的基础上，引入了一种更为方便有效的网络流监控方法，使网络监控更有目的性。
参考文献
［１］张明武，肖宏年，邹晓．基于ＮＤＩＳ的网络检测与分析．湖北工学院学报．２００１．
［２］Ｍａｒｃｕｓ Ｊ．Ｒａｎｕｍ，Ｋｅｎｔ Ｌａｎｄｆｉｅｌｄ，Ｍｉｋｅ Ｓｔｏｌａｒｃｈｕｋ，ＥｒｉｃＷａｌｌ．Ｉｍｐｌｉｍｅｎｔｉｎｇ ａ Ｇｒｅｎｅｒａｌｉｚｅｄ Ｔｏｏｌ ｆｏｒ Ｎｅｔｗｏｒｋ ＭｏｎｉｔｏｒｉｎｇＩｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ．１９９８．
［３］陈向阳，方汉．Ｌｉｎｕｘ实用大全．北京：科学出版社．１９９９．［４］唐靖飚．ＵＮＩＸ平台下Ｃ语言高级编程指南．北京：北京希望电子出版社．２０００．
［５］鸵鸟工作室．Ｌｉｎｕｘ网络应用大全．北京：机械工业出版社．２００１．
龙源期刊网 https://www.doczj.com/doc/675773564.html, 高速网络环境下数据包捕获技术的分析 作者：王亚 来源：《数字技术与应用》2011年第12期 摘要：互联网的迅猛发展，网络带宽飞速增长，在高速网络环境下，传统的网络数据包捕获已经成为制约整个系统的性能提升的瓶颈，为了满足高速网络的数据包捕获的需求，对传统的网络数据包捕获存在的问题进行分析，在此基础上提出了改进措施，为后期研究高速网络下高性能的数据包捕获技术奠定基础。 关键词：高速网数据包捕获 Libpcap 中图分类号：TP393 文献标识码：A 文章编号：1007-9416(2011)12-0194-02 The Analysis of Packet Capture Technology in High Speed Network wangya (Fuyang Teachers College of computer and Information engineering Fuyang 236041) Abstract:The rapid development of the Internet and the rapid growth of network bandwidth,in high-speed network environment,the traditional network data packet capture has become the constraints of the system performance bottleneck. In order to satisfy the high speed network packet capture demand,to analysis the existing problems of the traditional network packet capture,and put forward on this foundation improvement measures.,It lays the foundation for later research of high-speed network and high performance packet capture technology. Keywords:high speed network;packet capture;Libpcap 1、引言 目前，对网络信息监控与检测的软件都是基于数据包捕获技术，如：入侵检测程序Snort、嗅探器Tcpdump等。数据包捕获技术是一种对网络上的数据包进行监听并截取的技术，可以将数据包原封不动的拷贝到捕包端的系统中。数据包捕获是入侵检测系统、网络协议
网络数据包的捕获与分析 【摘要】网络数据包的捕获对于网络安全有着巨大的作用，为我们更好的分析网络中的数据流提供了帮助。本论文是基于Windows下开发一个网络监听工具，侧重点在于实现网络数据包的捕获，然后分析并显示捕获到的数据包信息这部分功能的实现，如分析：IP首部协议类型、源IP、目的IP和端口号等。采用的是Winpcap（Windows Packet Capture）来实现的抓包功能。通过VC++6.0中MFC编程实现通过一个完整界面来控制调用Winpcap中的函数来实现对网卡信息的捕获和循环捕获数据包，然后通过预先对于IP、TCP、UDP等数据包的定义和TCP/IP等协议来解析其中包含的内容并返回显示捕获到数据包的信息，当然也可以保存捕获到的数据包到指定地点以便进一步分析。 【关键词】Winpcap；数据包；捕获；分析
The Capture and Analysis of Network Data Packets Wang Hang (Grade 11,Class 1, Major Network Engineering, Scho ol of Mathematics and Computer Science Dept, Shaanxi University of Technology, Hanzhong 723003, Shaanxi) Tutor: Jia Wei Abstract: The capture of network data packets plays an important part in network security, which is helpful for our better analysis of network data flow.This paper is about a network monitoring tool based on Windows system, which emphasizes particularly on realizing the capture and analysis of network data packets and then displays them. Take analysis as an example, it will check the type of the IP protocol, the source address of IP, the destination address of IP and the port https://www.doczj.com/doc/675773564.html,e the Winpcap（Windows Packet Capture）to capture of data packets. In MFC programming of VC++6.0, the capture of network data packets can be realized via the invoking and control of the functions through a full control panel, and then the analysis of IP ,TCP,UDP and TCP/IP will be done before they are displayed. Certainly the information captured can be saved to the appointed destination in order to go through an advanced analysis. Key words:Winpcap；Data Packets；Capture；Analysis
实验四-- S n i f f e r P r o数据包捕获与协议分析
精品文档 实验四 SnifferPro数据包捕获与协议分析 一. 实验目的 1.了解Sniffer的工作原理。 2.掌握SnifferPro工具软件的基本使用方法。 3.掌握在交换以太网环境下侦测、记录、分析数据包的方法。 二、实验原理 数据在网络上是以很小的被称为“帧”或“包”的协议数据单元（PDU）方式传输的。以数据链路层的“帧”为例，“帧”由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网帧的前12个字节存放的是源MAC地址和目的MAC地址，这些数据告诉网络该帧的来源和去处，其余部分存放实际用户数据、高层协议的报头如TCP／IP的报头或IPX报头等等。帧的类型与格式根据通信双方的数据链路层所使用的协议来确定，由网络驱动程序按照一定规则生成，然后通过网络接口卡发送到网络中，通过网络传送到它们的目的主机。目的主机按照同样的通信协议执行相应的接收过程。接收端机器的网络接口卡一旦捕获到这些帧，会告诉操作系统有新的帧到达，然后对其进行校验及存储等处理。 在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的MAC地址和自己的物理地址一致或者是广播地址，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。 如果网络中某个网络接口卡被设置成“混杂”状态，网络中的数据帧无论是广播数据帧还是发向某一指定地址的数据帧，该网络接口卡将接收所有在网络中传输的帧，这就形成了监听。如果某一台主机被设置成这种监听（Snfffing）模式，它就成了一个Sniffer。一般来说，以太网和无线网被监听的可能性比较高，因为它们是一个广播型的网络，当然无线网弥散在空中的无线电信号能更轻易地截获。 三、实验内容及要求 要求：本实验在虚拟机中安装SnifferPro4.7版本，要求虚拟机开启FTP、Web、Telnet等服务，即虚拟机充当服务器，物理机充当工作站。物理机通过Ping命令、FTP访问及网页访问等操作实验网络数据帧的传递。 内容： 1.监测网络中计算机的连接状况 2.监测网络中数据的协议分布 3.监测分析网络中传输的ICMP数据 4.监测分析网络中传输的HTTP数据 5.监测分析网络中传输的FTP数据 四、实验步骤 介绍最基本的网络数据帧的捕获和解码，详细功能。 1.Sniffer Pro 4.7的安装与启动 收集于网络，如有侵权请联系管理员删除
基于Wireshark的网络数据包内容解析 摘要本课程设计是利用抓包软件Wireshark，对网络服务器与客户端进行网络数据收发过程中产生的包进行抓取，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的。设计过程中对各种包进行抓取分析，各种包之间比较，了解每种包的传输过程与结构，通过本次课程设计，能很好的运用Wireshark对数据包分析和Wireshark各种运用，达到课程设计的目的。 关键词IP协议；TCP协议；UDP协议；ARP协议；Wireshark；计算机网络； 1 引言 本课程设计主要是设计一个基于Wireshark的网络数据包内容解析，抓取数据包，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的 1.1 课程设计目的 Wireshark是一个网络封包分析软件。可以对网络中各种网络数据包进行抓取，并尽可能显示出最为详细的网络封包资料，计算机网络课程设计是在学习了计算机网络相关理论后，进行综合训练课程，其目的是： 1.了解并会初步使用Wireshark，能在所用电脑上进行抓包； 2.了解IP数据包格式，能应用该软件分析数据包格式。 1.2 课程设计要求 （1）按要求编写课程设计报告书，能正确阐述设计结果。 （2）通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。 （3）学会文献检索的基本方法和综合运用文献的能力。
（4）在老师的指导下，要求每个学生独立完成课程设计的全部内容。 1.3 课程设计背景 一、Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。 网络封包分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Wireshark是目前全世界最广泛的网络封包分析软件之一。 二、网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。网络嗅探是网络监控系统的实现基础。 网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。嗅探器也是很多程序人员在编写网络程序时抓包测试的工具，因为我们知道网络程序都是以数据包的形式在网络中进行传输的，因此难免有协议头定义不对的。 网络嗅探的基础是数据捕获，网络嗅探系统是并接在网络中来实现对于数据的捕获的，这种方式和入侵检测系统相同，因此被称为网络嗅探。网络嗅探是网络监控系统的实现基础，首先就来详细地介绍一下网络嗅探技术，接下来就其在网络监控系统的运用进行阐述。 2 网络协议基础知识 2.1 IP协议 （1） IP协议介绍
数据包捕获与解析课程设计报告 学生姓名：董耀杰 学号：1030430330 指导教师：江珊珊
数据包捕获与分析 摘要本课程设计通过Ethereal捕捉实时网络数据包，并根据网络协议分析流程对数据包在TCP/IP各层协议中进行实际解包分析，让网络研究人员对数据包的认识上升到一个感性的层面，为网络协议分析提供技术手段。最后根据Ethereal的工作原理，用Visual C＋＋编写一个简单的数据包捕获与分析软件。 关键词协议分析；Ethereal；数据包；Visual C＋＋ 1引言 本课程设计通过技术手段捕获数据包并加以分析，追踪数据包在TCP/IP各层的封装过程，对于网络协议的研究具有重要的意义。Ethereal是当前较为流行的图形用户接口的抓包软件,是一个可以用来监视所有在网络上被传送的包,并分析其内容的程序。它通常被用来检查网络工作情况,或是用来发现网络程序的bugs。通过ethereal对TCP、UDP、SMTP、telnet和FTP等常用协议进行分析,非常有助于网络故障修复、分析以及软件和协议开发。，它以开源、免费、操作界面友好等优点广为世界各地网络研究人员使用为网络协议分析搭建了一个良好的研究平台。 1.1课程设计的内容 (1)掌握数据包捕获和数据包分析的相关知识； (2)掌握Ethreal软件的安装、启动，并熟悉用它进行局域网数据捕获和分析的功能； (3)设计一个简单的数据包捕获与分析软件。 1.2课程设计的要求 (1)按要求编写课程设计报告书，能正确阐述设计结果。 (2)通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。 (3)学会文献检索的基本方法和综合运用文献的能力。 (4)在老师的指导下，要求每个学生独立完成课程设计的全部内容。
实训报告 一、sniffer的功能认知； 1. 实时网络流量监控分析 Sniffer Portable LAN能够对局域网网络流量进行实时监控和统计分析，对每个链路上的网络流量根据用户习惯，可以提供以表格或图形（条形图、饼状图和矩阵图等）方式显示的统计分析结果,内容包括： ·网络总体流量实时监控统计：如当前和平均网络利用率、总的和当前的帧数、字节数、总网络节点数和激活的网络节点数、当前和总的平均帧长等。 ·协议使用和分布统计：如协议类型、协议数量、协议的网络利用率、协议的字节数以及每种协议中各种不同类型的帧的数量等。Sniffer包含通用的TCP和UDP网络应用协议如HTTP, Telnet, SNMP, FTP等。同时，Sniffer 也具有特有的灵活性允许增加自定义的应用。一旦应用协议加入Sniffer，针对应用的所有的监控、报警和报告便自动生效；
·包尺寸分布统计：如某一帧长的帧所占百分比，某一帧长的帧数等。 ·错误信息统计：如错误的CRC校验数、发生的碰撞数、错误帧数等； ·主机流量实时监控统计：如进出每个网络节点的总字节数和数据包数、前x个最忙的网络 节点等；
话节点对等；
·Sniffer还提供历史统计分析功能，可以使用户看到网络中一段时间内的流量运行状况，帮助用户更好的进行流量分析和监控。
2.应用响应时间监控和分析 Sniffer 在监控网络流量和性能的同时，更加关注在网络应用的运行状况和性能管理，应用响应时间(ART)功能是Sniffer中重要的组成部分，不仅提供了对应用响应时间的实时监控，也提供对于应用响应时间的长期监控和分析能力。 首先ART监控功能提供了整体的应用性能响应时间，让用户以多种方式把握当前网络通讯中的各类应用响应时间的对比情况，如客户机/服务器响应时间、服务器响应时间，最 快响应时间、最慢响应时间、平均响应时间和90%的请求的响应时间等。
网络层数据包抓包分析 一.实验内容 （1）使用Wireshark软件抓取指定IP包。 （2）对抓取的数据包按协议格式进行各字段含义的分析。 二.实验步骤 （1）打开Wireshark软件，关闭已有的联网程序（防止抓取过多的包），开始抓包； （2）打开浏览器，输入https://www.doczj.com/doc/675773564.html,/网页打开后停止抓包。 （3）如果抓到的数据包还是比较多，可以在Wireshark的过滤器（filter）中输入http，按“Apply”进行过滤。过滤的结果就是和刚才打开的网页相关的数据包。 （4）在过滤的结果中选择第一个包括http get请求的帧，该帧用
于向https://www.doczj.com/doc/675773564.html,/网站服务器发出http get请求 （5）选中该帧后，点开该帧首部封装明细区中Internet Protocol 前的”+”号，显示该帧所在的IP包的头部信息和数据区： （6）数据区目前以16进制表示，可以在数据区右键菜单中选择“Bits View”以2进制表示：
（注意:数据区蓝色选中的数据是IP包的数据，其余数据是封装该IP包的其他层的数据） 回答以下问题： 1、该IP包的“版本”字段值为_0100_(2进制表示)，该值代表该IP包的协议版本为： √IPv4 □IPv6 2、该IP包的“报头长度”字段值为__01000101__(2进制表示)，该值代表该IP包的报头长度为__20bytes__字节。 3、该IP包的“总长度”字段值为___00000000 11101110___ (2进制表示)，该值代表该IP包的总长度为__238__字节，可以推断出该IP包的数据区长度为__218__字节。 4、该IP包的“生存周期”字段值为__01000000__ (2进制表示)，该值代表该IP包最多还可以经过___64__个路由器 5、该IP包的“协议”字段值为__00000110__ (2进制表示) ，该值代表该IP包的上层封装协议为__TCP__。 6、该IP包的“源IP地址”字段值为__11000000 10101000
IP及IPSEC协议数据包的捕获与分析 为了掌握掌握IP和IPSEC协议的工作原理及数据传输格式，熟悉网络层的协议。我进行了以下实验：首先用两台PC互ping并查看其IP报文，之后在两台PC上设置IPSEC互ping并查看其报文。最终分析两者的报文了解协议及工作原理。 一、用两台PC组建对等网： 将PC1与PC2连接并分别配置10.176.5.119和10.176.5.120的地址。如图1-1所示。 图1-1 二、两PC互ping： IP数据报结构如图1-2所示。 图1-2 我所抓获的报文如图1-3，图1-4所示：
图1-3 请求包 图1-4 回应包 分析抓获的IP报文： (1)版本：IPV4 (2)首部长度：20字节 (3)服务：当前无不同服务代码，传输忽略CE位，当前网络不拥塞
(4)报文总长度：60字节 (5)标识该字段标记当前分片为第1367分片 (6)三段标志分别指明该报文无保留、可以分段，当前报文为最后一段 (7)片偏移：指当前分片在原数据报（分片前的数据报）中相对于用户数据字段 的偏移量，即在原数据报中的相对位置。 (8)生存时间：表明当前报文还能生存64 (9)上层协议：1代表ICMP (10)首部校验和：用于检验IP报文头部在传播的过程中是否出错 (11)报文发送方IP：10.176.5.120 (12)报文接收方IP：10.176.5.119 (13)之后为所携带的ICMP协议的信息：类型0指本报文为回复应答，数据部分 则指出该报文携带了32字节的数据信息，通过抓获可看到内容为：abcdefghijklmnopqrstuvwabcdefghi 三、IPSec协议配置： 1、新建一个本地安全策略。如图1-5。 图1-5 2、添加IP安全规则。如图1-6.
：利用Wireshark软件进行数据包抓取 1.3.2 抓取一次完整的网络通信过程的数据包实验 一，实验目的： 通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。 二，实验环境： 操作系统为Windows 7,抓包工具为Wireshark. 三，实验原理： ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。 四，验步骤： 1.确定目标地址：选择https://www.doczj.com/doc/675773564.html,作为目标地址。 2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1
图 1-1 3.启动抓包：点击【start】开始抓包，在命令提示符下键入ping https://www.doczj.com/doc/675773564.html,, 如图 1-2
图 1-2 停止抓包后，截取的数据如图 1-3 图 1-3 4，分析数据包：选取一个数据包进行分析，如图1- 4
图1-4 每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。DLC协议的目的和源地址是MAC地址，IP协议的目的和源地址是IP地址，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下： （1）诊断报文（类型：8，代码0；类型：0代码：0）； (2）目的不可达报文（类型：3，代码0-15）； （3）重定向报文（类型：5，代码：0--4）； （4）超时报文（类型：11，代码：0--1）； （5）信息报文（类型：12--18）。
实验报告 （ 2014 / 2015 学年第二学期） 题目：网络数据包的捕获与协议分析 专业 学生姓名 班级学号 指导教师胡素君 指导单位计算机系统与网络教学中心 日期2015.5.10
实验一：网络数据包的捕获与协议分析 一、实验目的 1、掌握网络协议分析工具Wireshark的使用方法，并用它来分析一些协议； 2、截获数据包并对它们观察和分析，了解协议的运行机制。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线、局域网 四、实验步骤 1.用Wireshark观察ARP协议以及ping命令的工作过程： （1）打开windows命令行，键入“ipconfig -all”命令获得本机的MAC地址和缺省路由器的IP地址；结果如下： （2）用“arp -d”命令清空本机的缓存；结果如下 （3）开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包。（4）执行命令：ping https://www.doczj.com/doc/675773564.html,,观察执行后的结果并记录。
此时，Wireshark所观察到的现象是:(截图表示) 2.设计一个用Wireshark捕获HTTP实现的完整过程，并对捕获的结果进行分析和统计。（截 图加分析） 3.设计一个用Wireshark捕获ICMP实现的完整过程，并对捕获的结果进行分析和统计。要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析该ICMP 报文。（截图加分析） 4. 设计一个用Wireshark捕获IP数据包的过程，并对捕获的结果进行分析和统计（截图加分析） 要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析在该数据包中的内容：版本首部长度、服务类型、总长度、标识、片偏移、寿命、协议、源Ip地址、目的地址 五、实验总结
本文来自中国协议分析网技术论坛，转载请注明 sniffer tcp http ospf rtp dhcp Sniffer EtherealWinpcap 其它技术返回首页当前位置: 网站首页>>协议分析>>Winpcap>> 利用WinPcap技术捕获数据包时间:2006-11-14 来源: 作者: 点击:849次收藏到： 前言随着网络入侵的不断发展，网络安全变得越来越重要，于是网络入侵取证系统的研究也变得日益重要。在网络入侵取证系统中，对网络上传送的数据包进行有效的监听即捕获包是目前取证的关键技术，只有进行高效的数据包捕获，网络管理员才能对所捕获的数据进行一系列 前言 随着网络入侵的不断发展，网络安全变得越来越重要，于是网络入侵取证系统的研究也变得日益重要。在网络入侵取证系统中，对网络上传送的数据包进行有效的监听即捕获包是目前取证的关键技术，只有进行高效的数据包捕获，网络管理员才能对所捕获的数据进行一系列的分析，从而进行可靠的网络安全管理。 1winpcap简介 WinPcap 是由伯克利分组捕获库派生而来的分组捕获库，它是在Windows 操作平台上来实现对底层包的截取过滤。WinPcap 为用户级的数据包提供了Windows 下的一个平台。WinPcap 是BPF 模型和Libpcap 函数库在Windows 平台下网络数据包捕获和网络状态分析的一种体系结构，这个体系结构是由一个核心的包过滤驱动程序，一个底层的动态连接库Packet.dll 和一个高层的独立于系统的函数库Libpcap 组成。底层的包捕获驱动程序实际为一个协议网络驱动程序，通过对NDIS 中函数的调用为Win95、Win98、WinNT、和Win2000 提供一类似于UNIX 系统下Berkeley Packet Filter 的捕获和发送原始数据包的能力。Packet.dll 是对这个BPF 驱动程序进行访问的API 接口，同时它有一套符合Libpcap 接口（UNIX 下的捕获函数库）的函数库。WinPcap的结构图如图1。 WinPcap 包括三个部分：第一个模块NPF(Netgroup Packet Filter)，是一个虚拟设备驱动程序文件。它的功能是过滤数据包，并把这些数据包原封不动地传给用户态模块，这个过程中包括了一些操作系统特有的代码。第二个模块packet.dll为win32平台提供了一个公共的接口。不同版本的Windows系统都有自己的内核模块和用户层模块。Packet.dll用于解决这些不同。调用Packet.dll的程序可以运行在不同版本的Windows平台上，而无需重新编译。第三个模块Wpcap.dll是不依赖于操作系统的。它提供了更加高层、抽象的函数。 packet.dll和Wpcap.dll：packet.dll直接映射了内核的调用。Wpcap.dll提供了更加友好、功能更加强大的函数调用。WinPcap的优势提供了一套标准的抓包接口，与libpcap兼容，可使得原来许多UNIX平台下的网络分析工具快速移植过来便于开发各种网络分析工具，充分考虑了各种性能和效率的优化，包括对于NPF内核层次上的过滤器支持，支持内核态的统计模式，提供了发送数据包的能力。 2网络数据包捕获的原理 以太网（Ethernet）具有共享介质的特征，信息是以明文的形式在网络上传输，当网络适配器设置为监听模式（混杂模式，Promiscuous）时，由于采用以太网广播信道争用的方式，使得监听系统与正常通信的网络能够并联连接，并可以捕获任何一个在同一冲突域上传输的数据包。IEEE802.3 标准的以太网采用的是持续CSMA 的方式，正是由于以太网采用
惠州学院《计算机网络》实验报告 实验08 Sniffer Pro数据包捕获与协议分析 1. 实验目的 （1）了解Sniffer的工作原理。 （2）掌握SnifferPro工具软件的基本使用方法。 （3）掌握在非交换以太网环境下侦测、记录、分析数据包的方法。 2. 实验原理 数据在网络上是以很小的被称为“帧”或“包”的协议数据单元（PDU）方式传输的。以数据链路层的“帧”为例，“帧”由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网帧的前12个字节存放的是源MAC地址和目的MAC地址，这些数据告诉网络该帧的来源和去处，其余部分存放实际用户数据、高层协议的报头如TCP／IP 的报头或IPX报头等等。帧的类型与格式根据通信双方的数据链路层所使用的协议来确定，由网络驱动程序按照一定规则生成，然后通过网络接口卡发送到网络中，通过网络传送到它们的目的主机。目的主机按照同样的通信协议执行相应的接收过程。接收端机器的网络接口卡一旦捕获到这些帧，会告诉操作系统有新的帧到达，然后对其进行校验及存储等处理。 在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的MAC地址和自己的物理地址一致或者是广播地址，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。 如果网络中某个网络接口卡被设置成“混杂”状态，网络中的数据帧无论是广播数据帧还是发向某一指定地址的数据帧，该网络接口卡将接收所有在网络中传输的帧，这就形成了监听。如果某一台主机被设置成这种监听（Snfffing）模式，它就成了一个Sniffer。 一般来说，以太网和无线网被监听的可能性比较高，因为它们是一个广播型的网络，当然无线网弥散在空中的无线电信号能更轻易地截获。 3. 实验环境与器材 本实验在虚拟机中安装SnifferPro4.7版本，要求虚拟机开启FTP、HTTP等服务，即虚拟机充当服务器，物理机充当工作站。 物理机通过Ping命令、FTP访问及网页访问等操作实验网络数据帧的传递。 4. 实验内容 介绍最基本的网络数据帧的捕获和解码，详细功能请参阅本教材辅助材料。 （1）Sniffer Pro 4.7的安装与启动 1）启动Sniffer Pro 4.7。在获取Sniffer Pro 4.7软件的安装包后，运行安装程序，按要求输入相关信息并输入注册码，若有汉化包请在重启计算机前进行汉化。完成后重启计算机，点击“开始”→“程序”→“Sniffer Pro”→“Sniffer”，启动“Sniffer Pro 4.7”程序。 2）选择用于Sniffer的网络接口。如果计算机有多个网络接口设备，则可通过菜单“File”→“Select Settings”，选择其中的一个来进行监测。若只有一块网卡，则不必进行此步骤。
// PackCaptureDlg.h:header file #define IPV4_WERSION 4 #define IPV6_WERSION 6 #define ICMP_PACKET 1 #define IGMP_PACKET 2 #define TCP_PACKET 6 #define EGP_PACKET 8 #define UDP_packet 17 #define OSPF_PACKET 89 class CPackCaptureDlg:public CDialog { public: //{{AFX_DATA(CFindHostDlg) enum {IDO=IDO_PACKCAPTURE_DIALOG}; int m_Count; CString m_Packet; //}}AFX_DATA protected: //{{AFX_MSG(CFindHostDlg) afx_msg void OnCapture(); //}}AFX_MSG private: typedef struct IP_HEAD //IP头部结构 { union { unsigned char Version; //版本（字节前四位） unsigned char HeadLen; //头部长度（字节后四位） }; unsigned char ServiceType; //服务类型 unsigned short TotalLen; //总长度 unsigned short Identifier; //标识符 union { unsigned short Flags; //标志位（字前三位） unsigned short FragOffset;
实验三 网络数据包的捕获与分析 一、实验目的和要求 通过本次实验，了解sniffer 的基本作用，并能通过sniffer 对指定的网络行为所产生的数据包进行抓取，并分析所抓取的数据包。 二、实验内容 A ：1、首先打开sniffer 软件，对所要监听的网卡进行选择 2、选择网卡按确定后，进入sniffer 工作主界面，对主界面上的操作按钮加以熟悉。 B ：设置捕获条件进行抓包 基本的捕获条件有两种： 1、链路层捕获，按源MAC 和目的MAC 地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。 2、IP 层捕获，按源IP 和目的IP 进行捕获。输入方式为点间隔方式，如：10.107.1.1。如果选择IP 层捕获条件则ARP 等报文将被过滤掉。 任意捕协议捕缓冲区基本捕获条件数据流链路层捕获获条件编辑 获编辑 编辑 链路层捕获IP 层捕获 方向 地址条件 高级捕获条件
在“Advance ”页面下，你可以编辑你的协议捕获条件，如图： 选择要捕捕获帧长错误帧是保存过滤获的协议 度条件 否捕获 规则条件 高级捕获条件编辑图 在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。 在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。 在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。 在保存过滤规则条件按钮“Profiles ”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。 C ：捕获报文的察看： Sniffer 软件提供了强大的分析能力和解码功能。如下图所示，对于捕获的报文提供了一个Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。 专家分析专家分析捕获报文的捕获报文的其他 系统 系统图形分析 统计信息 专家分析 专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的
数据链路层数据包抓包分析 实验内容 （1）安装Wireshark软件。 （2）掌握抓包软件的使用 （3）掌握通过抓包软件抓取帧并进行分析的办法 实验步骤 （1）常用的抓包软件包括Sniffer、NetXRay、Wireshark (又名EtheReal)。 我们采用免费的Wireshark，可以从https://www.doczj.com/doc/675773564.html,或其他网站下载。安装完成后，Wireshark的主界面和各模块功能如下： 命令菜单（command menus）：最常用菜单命令有两个：File、Capture。File菜单允许你保存捕获的分组数据或打开一个已被保存的捕获分组数据文件。Capture菜单允许你开始捕获分组。 显示筛选规则（display filter specification）：在该字段中，可以填写协议的名称或其他信息，根据此内容可以对分组列表窗口中的分组进行过滤。 捕获分组列表（listing of captured packets）：按行显示已被捕获的分组内容，其中包括：Wireshark赋予的分组序号、捕获时间、分组的源地址和目的地址、协议类型、分组中所包含的协议说明信息。在该列表中，所显示的协议类型是发送或接收分组的最高层协议的类型。分组首部明细（details of selected packet header）：显示捕获分组列表窗口中被选中分组的头部详细信息。包括：与以太网帧有关的信息，与包含在该分组中的IP数据报有关的信息。如果利用TCP或UDP承载分组， Wireshark也会显示TCP或UDP协议头部信息。最后，分组最高层协议的头部字段也会被显示。 分组内容窗口（packet content）：以ASCII码和十六进制两种格式显示被捕获帧的完整内容。（2）下面我们进行抓包练习。 在capture菜单中选中options,可以设置抓包选项，如下图所示，这里我们需要选
任务三计算机网络实验I P数据报捕获与 分析
任务三网络编程 一、实验目的 捕获本机网卡的IP包，对捕获的IP包进行解析。要求必须输出以下字段：版本号、总长度、标志位、片偏移、协议、源地址和目的地址。 二、实验环境 平台：Windows 编程环境：VC 6.0 语言：C++ 三、实验原理 3.1 数据报格式 以太帧由一个包含三个字段的帧头开始，前两个字段包含了物理地址，各六个字节，头部的第三个字段包含了 16 位的以太帧类型，帧头后面是数据区。根据帧类型可以判断是哪种数据包，一般常用的有 0X0080(IP 数据包)、0X0806(ARP 请求／应答)和 0X8035(RARP 请求／应答)三种类型。TCP／IP 协议簇中位于网络层的协议，也是最为核心的协议。所有的 TCP， UDP， ICMP 及 IGMP 数据都以 IP 数据报格式传输。IP 协议提供了无连接的、不可靠的数据传输服务。同时IP 协议的一个重要功能是为网络上的包传递提供路由支持。TCP／IP 协议使用 IP 数据报这个名字来指代一个互联网数据包。IP 数据报由两部分组成，前面的头部和后面的数据区，头部含有描述该数据报的信息，包括源 IP 地址和目的 IP 地址等。在 IP 数据报的报头中的众多信息可根据协议类型字段区分出该数据包的类型，常用的有TCP 包、 UDP 包、 ICMP 包等，各格式分别如下所示：
IP数据报格式 TCP数据报格式 ICMP数据报格式
UDP数据报格式 3.2 捕获数据包方法 目前常用的捕获数据包的方法有原始套接字、LibPcap、WinPcap和JPcap 等方法。本次实验选用套接字方法。套接字是网络应用编程接口。应用程序可以使用它进行网络通信而不需要知道底层发生的细节。有时需要自己生成一些定制的数据包或者功能并希望绕开Socket提供的功能,原始套接字(RawSocket)满足了这样的要求。原始套接字能够生成自己的数据报文,包括报头和数据报本身的内容。通过原始套接字,可以更加自如地控制Windows下的多种协议,而且能够对网络底层的传输机制进行控制。 网络数据包截获机制一般指通过截获整个网络的所有信息流，根据信息源主机，目标主机，服务协议端口等信息，简单过滤掉不关心的数据，再将用户感兴趣的数据发送给更高层的应用程序进行分析。一般数据包的传输路径依次为网卡、设备驱动层、数据链路层、 IP 层、传输层、最后到达应用程序。IP 数据包的捕获就是将经过数据链路层的以太网帧拷贝出一个备份，传送给 IP 数据包捕获程序进行相关的处理。 IP 数据包的捕获程序一般由数据包捕获函数库和数据包分析器组成。数据包捕获函数库是一个独立于操作系统的标准捕获函数库。主要提供一组可用于查找网络接口名称、打开选定的网络接口、初始化、设置包过滤条件、编译过滤代码、捕获数据包等功能函数。对捕获程序而言，只需要调用数据包捕获函数库的这些函数就能获得所期望的 IP 数据包。这种捕获程序与数据包捕获函数库分离的机制，使得编写的程序具有很好的可移植性。IP 数据包捕获程序的核心部分就是数据包分析器。数据包分析器应具有识别和理解各种协议格式
#include
typedef struct tcpheader{ u_short sport;// 源端口 u_short dport;// 目的端口 u_int th_seq;// 序列号 u_int th_ack;// 确认号 u_char th_lenand;// 报文长度 u_char th_flags;//标志 #define TH_FIN 0x01 #define TH_SYN 0x02 #define TH_RST 0x04 #define TH_PSH 0x08 #define TH_ACK 0x10 #define TH_URG 0x20 u_short th_win;//窗口 u_short th_sum;//校验和 u_short th_urp;//紧急 }; // UDP格式 typedef struct udpheader{ u_short sport;// Source port 源端口 u_short dport;// Destination port 目的端口 u_short uh_len;// Datagram length 用户数据包长度u_short uh_sum;// Checksum 校验和 }; typedef struct udpnode{ ipaddress saddr; ipaddress daddr; u_short sport; u_short dport; u_short length; u_int upnum; u_int downnum; struct udpnode * next; struct udpnode * pre; }; typedef struct tcpnode{ ipaddress saddr; ipaddress daddr; u_short sport; u_short dport; u_short length;