基于WinPcap包捕获算法的实现.docVIP

基于WinPcap包捕获算法的实现 　　摘要:网络已经成为人类生活中不可或缺的重要组成部分,网络信息的安全问题也越来越被人们所重视。通过基于网络数据包的协议分析,对网络上传输的数据包进行捕获,可以获取网络上传输的非法信息,对网络取证的研究非常有利。WinPcap是一种提供在Windows系统上进行访问底层网络数据的Windows API;它不是一种纯粹的C++解决方案,它依赖本地库的使用。借助WinPcap提供的网络数据包捕获函数库,利用c++编程实现了数据包捕获和过滤算法。 　　关键词:数据包;WinPcap;捕获;过滤 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)07-1588-04 　　Implementation of Packet Capture Algorithm Based on WinPcap 　　ZHAI Shuo 　　(College of Computer Science, China University of Mine and Technology, Xuzhou 221116, China) 　　Abstract: The network has become a key ingredient of our lives, and people are more and more paying attention to the security problems of the network information. Through the packet-based network protocol analysis, you can capture the data packets transmission on the network, and get the illegal information. It is conducive to the research of network forensics. WinPcap is a Windows API to provide access to the underlying network data in the Windows system; it is not a pure C++ solution, it relies on the use of local libraries. With the help of network packet capture library providing by the WinPcap, using c++ programming implements data packet capture and filtering algorithms. 　　Key words: data packet; WinPcap; capture; filter 　　在以太网上,进行数据交换的帧是用被称为带碰撞检测的载波侦听多址访问即CSMA/CD的方式发送的。这种基于CSMA/CD的广播机制,给连接在网络上的计算机捕获来自于其他主机的数据带来了可能。从广义的角度上看,一个包捕获机制包含三个主要部分。首先是最底层针对特定操作系统的包捕获机制,然后是最高层针对用户程序的接口,第三部分是包过滤机制。 　　纵观国内外使用的包捕获机制的方法,大致可归纳为两类:一类是由操作系统内核提供的捕获机制;另一类是由应用软件或系统开发包通过安装包捕获驱动程序提供的捕获机制 　　该机制主要用于Win32平台下的开发。WinPcap[1]是Win32上的第一个用来捕获数据包的开放系统软件包,它是一种新提出的强有力并且可扩展的框架结构。 　　1 相关知识 　　1.1 WinPcap驱动库 　　在微软公司的资助下,意大利人Fulvi Risso和Loris Degioanni提出并实现了基于Windows系统的WinPcap函数库,称之为NPF(Netgroup packet Fiite)。它的设计目标就是为Windows系统提供一个功能强大的开发式数据包捕获平台的。WinPcap是WINDOWS平台下一个免费、公共的网络访问系统,它为WIN32[2]应用程序提供访问网络底层的能力。 　　1.2 WinPcap功能说明 　　WinPcap主要提供了以下功能: 　　1) 捕获原始数据报,包括在共享网络上各主机发送/接收以及相互之间交换的数据报; 　　2) 在数据报发往应用程序之前,按照自定义的规则将某些特殊的数据报过滤掉; 　　3) 在网络上发送原始的数据报; 　　4) 收集网络通信过程中的统计信息。 　　1.3 WinPcap 体系结构 　　WinPcap是WINDOW