编译与使用WinPcap
1.1. 源代码目录结构
WinPcap的所有源代码都可从https://www.360docs.net/doc/e317084767.html,网站获取，此处
采用的源代码包为WpcapSrc_4_1_beta5.zip，源代码目录结构如图5-1所示。其中：
Common目录下为几个共用的头文件。
dox 目录下为一些说明文档。
Examples-pcap与Examples目录下为一些示例代码，两个目录的区别在于前者是采用libpcap库接口的示例程序，后者为采用wpcap库接口的示例程序。
Packet9x目录下为Windows 9x平台的驱动程序NPF的源代码与Packet.dll库的源代码，分别放置在VXD与DLL目录下。
PacketNtx目录下为Windows NTx平台的驱动程序NPF的源代码与Packet.dll库的源代码，分别放置在driver与DLL目录下。
wpcap目录下为wpcap.dll库的源代码。
图5-1 WinPcap源代码目录结构
可从https://www.360docs.net/doc/e317084767.html,网站获取开发包
WpdPack_4_1_beta5.zip，便于WinPcap的软件开发，该软件包的目录结构如图5-2所示，其中：
docs目录下为详细的用户使用手册。
Examples-pcap与Examples-remote目录下为一些示例代码，两个目录的区别在于前者是采用libpcap库接口的示例程序，后者为采用wpcap库接口的示例程序。
Include目录下为在WinPcap库上开发所需的头文件。
Lib目录下为在WinPcap库上开发所需的库文件。
图5-2 WpdPack 开发包目录结构
1.2. 构建驱动程序NPF
在开始编译之前，我们需要注意NPF是依赖于平台的。所以强烈建议编译驱动程序的操作系统与将要使用NPF的操作系统一致。此处我们以Windows XP(x86架构)平台下驱动程序NPF的构建为例，来说明构建的过程。
此处使用WDK 6001.18002[2]编译WinPcap 4.1 beta5。WinPcap 4.1 beta5的文档要求采用Microsoft Windows Driver Kit (WDK) 6000 or 6001进行编译。使用老的DDK编译WinPcap也应该可以，但是可能需
要手动修改编译脚本，为了禁止PREfast(PREfast是一个静态代码分析工具，在最近的DDK/WDK版本附带)。
接着就可按下列步骤开始NPF的构建：
1) 从Windows[开始]菜单选择[所有程序]，然后选择[Windows
Driver Kits]，接下来选择[WDK 6001.18002]，接着选择[Build
Environments]，选择[Windows XP]。
如果需要编译一个release版本，就选择[Windows XP x86 Free Build Environment],如果需要编译一个debug版本，就选择[Windows XP x86
Checked Build Environment]。因为我们的CPU是x86架构，所以选择
x86的构建环境。
对于构建release版本的操作总结如下：
[开始]-> [所有程序]-> [Windows Driver Kits]-> [WDK 6001.18002]->
[Build Environments]-> [Windows XP]->
[Windows XP x86 Free Build Environment]
对于构建debug版本的操作总结如下：
[开始]-> [所有程序]-> [Windows Driver Kits]-> [WDK 6001.18002]->
[Build Environments]-> [Windows XP]->
[Windows XP x86 Checked Build Environment]
2) 构建环境接着出现如图5-3所示的命令提示窗口。切换路径到
WinPcap源代码的PacketNTx目录，执行CompileDriver脚本命令，如图5-4所示。
图5-5 CompileDriver脚本执行过程
1.3. 构建packet.dll
构建库packet.dll的源代码在PacketNTx\dll\目录下，要求在Microsoft Visual Studio 2005 SP1版本的环境中构建，理论上可以在Visual Studio 6环境下编译x86版本的，但是工程文件不再进行维护支持。
我们采用Microsoft Visual Studio 2005构建，同时不需要AirPcap适配器的支持。在Microsoft Visual Studio 2005中打开
F:\winpcap\packetNtx\Dll\Project\ Packet.sln工程，选择Release配置构建PACKET.DLL库，如果为了调试也可以选择Debug配置。
选择Release配置，开始构建，在Microsoft Visual Studio 2005中选择菜单[Build]执行菜单项[Rebuild Packet]，执行结果如下：
1>------ Rebuild All started: Project: Packet, Configuration: Release Win32 ------
1>Deleting intermediate and output files for project 'Packet', configuration 'Release|Win32' 1>Compiling...
1>win_bpf_filter.c
1>Packet32.c
1>f:\winpcap\Common\packet32.h(53) : fatal error C1083: Cannot open include file: 'airpcap.h': No such file or directory
1>NpfImExt.c
1>AdInfo.c
1>f:\winpcap\Common\packet32.h(53) : fatal error C1083: Cannot open include file: 'airpcap.h': No such file or directory
1>Build log was saved at "file://f:\winpcap\packetNtx\Dll\Project\Release\x86\BuildLog.htm" 1>Packet - 2 error(s), 0 warning(s)
========== Rebuild All: 0 succeeded, 1 failed, 0 skipped ==========
编译出错，无法打开airpcap.h文件，此处不需要支持AirPcap适配器，所以在文件Packet32-Int.h的第50行添加#undef HAVE_AIRPCAP_API，再重新构建，执行结果如下：
1>------ Rebuild All started: Project: Packet, Configuration: Release Win32 ------
1>Deleting intermediate and output files for project 'Packet', configuration 'Release|Win32' 1>Compiling...
1>win_bpf_filter.c
1>Packet32.c
1>Compiling Packet.dll with support for WanPacket (aka Dialup thru NetMon)
1>Compiling Packet.dll with support from IP helper API for API addresses
1>NpfImExt.c
1>AdInfo.c
1>Compiling...
1>WanPacket.cpp
1>Compiling resources...
1>Linking...
1>Creating library f:\winpcap\packetNtx\Dll\Project\\Release\x86\Packet.lib and object
f:\winpcap\packetNtx\Dll\Project\\Release\x86\Packet.exp
1>Generating code
1>Finished generating code
1>Embedding manifest...
1>Build log was saved at "file://f:\winpcap\packetNtx\Dll\Project\Release\x86\BuildLog.htm" 1>Packet - 0 error(s), 0 warning(s)
========== Rebuild All: 1 succeeded, 0 failed, 0 skipped ==========
构建成功，在F:\winpcap\packetNtx\Dll\Project\Release\x86下生成Packet.dll与Packet.lib文件。
1.4. 构建wpcap.dll
wpcap.dll能够在任何Win32平台下被构建生成dll，它是独立平台的。构建库wpcap.dll的源代码在F:\winpcap\wpcap目录下，要求在Microsoft Visual Studio 2005 SP1版本的环境中构建。理论上可以在Visual Studio 6环境下编译x86版本的，但是工程文件不再进行维护支持。
为了编译wpcap.dll，把F:\winpcap\wpcap\PRJ目录下的wpcap.sln加载到Microsoft Visual Studio 2005中。这儿有几个不同的工程配置，每一个对x86 (Win32) 与x64平台都可用。
?Release: 标准release配置
?Debug: 标准debug配置
?Release No AirPcap: 不支持AirPcap 适配器的release配置
?Debug No AirPcap: 不支持AirPcap 适配器的debug配置
选择所需的配置并构建工程获得二进制文件wpcap.dll。
注意：wpcap.dll包含了libpcap的源代码，可从https://www.360docs.net/doc/e317084767.html,网站获取, 不过对远程捕获部分进行了部分修改。也能够包含与构建一个不同版本的libpcap，仅需简单的把它复制到WinPcap 源代码的winpcap\wpcap目录下，但是必须使用"Debug" 或 "Release"配置选项构建。
选择Release配置，开始构建，在Microsoft Visual Studio 2005中选择菜单[Build]执行菜单项[Rebuild wpcap]，执行结果如下：
1>------ Rebuild All started: Project: wpcap, Configuration: Release Win32 ------
1>Deleting intermediate and output files for project 'wpcap', configuration 'Release|Win32' 1>Compiling...
1>Win32-Extensions.c
1>sockutils.c
1>scanner.c
1>savefile.c
1>pcap.c
…
1>etherent.c
1>bpf_image.c
1>bpf_filter.c
1>Compiling...
1>bpf_dump.c
1>Compiling resources...
1>Linking...
1>Creating library f:\winpcap\wpcap\PRJ\\Release\x86\wpcap.lib and object
f:\winpcap\wpcap\PRJ\\Release\x86\wpcap.exp
1>Generating code
1>Finished generating code
1>Embedding manifest...
1>Build log was saved at "file://f:\winpcap\wpcap\PRJ\Release\x86\BuildLog.htm"
1>wpcap - 0 error(s), 303 warning(s)
========== Rebuild All: 1 succeeded, 0 failed, 0 skipped ==========
(注意：执行结果没显示一些警告信息。)
构建成功，在F:\winpcap\wpcap\PRJ\Release\x86下成功生成wpcap.dll与wpcap.lib文件
1.5. 安装NPF驱动程序与各个库文件
把生成的NPF驱动程序与各个库文件安装到操作系统，此处假设操作系统安装在C盘下，具体的操作步骤如下：
1)把生成的驱动程序二进制文件npf.sys从
F:\winpcap\PacketNTx\driver\bin\i386目录下复制到
C:\WINDOWS\system32\drivers目录下。
2) 把F:\winpcap\packetNtx\Dll\Project\Release\x86下生成的
Packet.dll文件复制到C:\WINDOWS\system32目录下。
3) 把F:\winpcap\packetNtx\Dll\Project\Release\x86下生成的
Packet.lib文件复制到F:\WpdPack\Lib目录下，替换原有文件。
4)把F:\winpcap\wpcap\PRJ\Release\x86下生成的wpcap.dll文件复制
到C:\WINDOWS\system32目录下。
5)把F:\winpcap\wpcap\PRJ\Release\x86下生成的wpcap.lib文件复制
到F:\WpdPack\Lib目录下，替换原有文件。
基于winpcap的嗅探器设计与实现
基于winpcap的嗅探器设计与实现
计算机与信息学院 《计算机网络系统实践》报告 设计题目：嗅探器的设计与实现 学生姓名：*** 学号：2010**** 专业班级：信息安全****
2013 年9 月25 一、设计要求 1.不限平台，可以使用Libpcap、WinPcap 或 Linux的原始套接字； 2.实现一个功能比较简单的、具有图形界面的Sniffer，主线程响应用户界 面操作，工作线程完成抓包等工作； 3.能够解析出IP层和传输层的协议头，能够过滤TCP、UDP等数据包； 4.能够输出文本方式传送的数据包的内容； 5.能够进行简单的流量统计。 二、开发环境与工具
操作系统：windows7 开发工具：visual studio 开发语言：C++ 附加库：Winpcap 三、设计原理 网络嗅探器是一种常用的监听网络的工具。所谓嗅探器( Sniffer) ，是一种利用计算机网络接口截获网络数据的软件或硬件，可用于网络管理、网络协议分析以及网络安全等众多方面。嗅探器不同于一般的键捕获工具，后者只能捕获当地终端控制台上的按键内容，而嗅探器所“嗅”到的是动态的以信息包形式( 如IP 数据包或者以太网包) 封装的信息流。其中可能携带了重要数据或敏感信息。可以将这些捕获到的信息包存档，以利用相应工具可以作进一步分析。 计算机网络的设计为嗅探器的使用创造了最基本的条件。在目前的网络环境中，所有计算机节点都是共享传输介质，任意节点发出或发往任意节点的数据帧必将经过网内每一个节点的网络接口，此时只需对嗅探节点的网络接口( 网卡) 进行适当的设置便可为实现嗅探的做好准备工作。在计算机网络系统中，网卡是用来接收网络上其他节点发来的数据帧，其内嵌的单片处理程序会检测数据帧来源的MAC 地址，并根据网卡所设置的接收方式来是否接收处理数据，如果认为应该处理，则网卡就会产生中断信号通知中央处理器，接收该数据帧并传输给操作系统处理。否则就简单丢弃，所对应节点的网卡就截断，计算机的中央处理器并不参与。 网卡是网络中节点主机的关键硬件设备。对数据的接收一般有四种设置模式: 广播模式: 接收在网络中进行广播数据信息。组播模式: 接收组播数据信息。单播模式: 只有匹配的目的网卡才能接收数据信息。混杂模式: 网卡能够可以接收一切通过它的数据信息。 四、系统功能描述及软件模块划分 系统功能设计 本系统的基本功能为实现网络数据包的捕获, 并将其数据内容解析显示。网络数据包捕获功能主要负责从网络中捕获和过滤数据,这可以通过调
gcc编译器使用简明指南
gcc编译器使用简明指南 gcc对文件的处理需要经过预处理->编译->汇编->链接的步骤，从而产生一个可执行文件，各部分对应不同的文件类型，具体如下： file.c c程序源文件 file.i c程序预处理后文件 file.cxx c++程序源文件，也可以是https://www.360docs.net/doc/e317084767.html, / file.cpp / file.c++ file.ii c++程序预处理后文件 file.h c/c++头文件 file.s 汇编程序文件 file.o 目标代码文件 gcc [选项]文件列表 -ansi 强制完全ANSI一致 -c 仅编译或汇编，生成目标代码文件，将.c、.i、.s等文件生成.o文件，其余文件被忽略 -S 仅编译，不进行汇编和链接，将.c、.i等文件生成.s文件，其余文件被忽略 -E 仅预处理，并发送预处理后的.i文件到标准输出，其余文件被忽略 -o file 创建可执行文件并保存在file中，而不是默认文件a.out -g 产生用于调试和排错的扩展符号表，用于GDB调试，切记-g和-O通常不能一起使用 -w 取消所有警告 -W 给出更详细的警告 -O [num]优化，可以指定0-3作为优化级别，级别0表示没有优化 -x language 默认为-x none，即依靠后缀名确定文件类型，加上-x lan确定后面所有文件类型，直到下一个-x出现为止 -D macro[=]类似于源程序里的#define，在-D macro中的macro可被源程序识别，例如gcc -D NUM -D FILE=\"bbs.txt\" hello.c -o hello，第一个-D选项定义宏NUM，在程序中可以使用#ifdef来检查是否被设置，第二个-D定义宏FILE，在源程序中可用 -U macro 类似于源程序开头定义#undef macro，也就是取消源程序中的某个宏定义
使用Winpcap示例程序的时候解疑
使用Winpcap示例程序的时候，会出现很多错误（转） WINPCAP编程环境设置 2008-05-19 12:41 一、WINPCAP编程环境设置 在正式WinPcap编程之前，要配置运行环境。 1、运行环境设置 Win32 平台下WinPcap应用程序需要以下四个动态链接库才能正常运行：wpcap.dll Packet.dll WanPacket.dll pthreadVC.dll 这四个动态链接库在WinPcap驱动程序里。 如果没有这个驱动程序，需要到WinPcap官方网站上下载，下载地址为：https://www.360docs.net/doc/e317084767.html, 如果应用程序出现一下提示，那就是没有安装驱动程序的原因了。 也可以不安装WinPcap驱动程序。但是需要把上面提到的四个动态链接库文件拷贝到系统分区/WINDOWS/system32目录下。（似乎有些问题） 2、配置编程环境。 1> 从https://www.360docs.net/doc/e317084767.html,上下载WINPCAP SDK -WpdPack，WinPcap SDk里面包含库文件，头文件，文档文件和一些例子。解压到一个指定的目录。解压缩后把Include目录添加到IDE的包含文件中（VC6.0 Tools->Option->Directory; VS 2003/2005 工具->选项->项目和解决方案/项目->VC++目录）; lib目录添加为新的库文件目录（VC6.0 Tools->Option->Directory; VS 2003/2005 工具->选项->项目和解决方案/项目->VC++目录）如下图所示。
2> 如果一个源文件使用了WinPcap提供的库函数，那么就需要在该文件开始的位置添加pcap.h包含文件(或者在引用的文件中)，即#include “pcap.h” 也许会出现下面的错误: fatal error C1083: 无法打开包括文件:“pcap.h”: No such file or directory 这个错误表明找不到pcap.h文件，这个头文件在驱动程序安装完成后也是没有的，它是开发包里面的一个头文件，所以，如果要运行程序还需要到官方网站上去下载WinPcap SDK,并按步骤1添加到项目中。 3> 在程序中添加wpcap.lib。如果出现下面错误 error LNK2019: 无法解析的外部符号_pcap_findalldevs_ex，该符号在函数XXX 中被引用，如果发生上面的错误就表明缺少库文件，需要添加wpcap.lib到工程中(VC6.0 Project->Settings->Link->Object/library modules; VS 2003/2005 项目->添加现有项->所有文件)如下图所示：
WinPcap开发-零基础知识入门基础
WinPcap开发（一）：零基础入门 *原创作者：追影人 0×00 前言 网络编程在网络安全方面具有举足轻重的作用，如何快捷高效的监听、分析、构造网络流量，成为很多安全从业者需要解决的重点问题。而winpcap这一免费开源项目恰好可以为win32应用程序提供访问网络底层的能力，所以其成为了相关网络编程的首选开发工具。 0×01 winpcap是什么？ winpcap(windows packet capture)是windows平台下一个免费的网络访问系统，可用于windows系统下的网络编程。著名的wireshark便是基于winpcap开发的，大家在安装wireshark中可以看到winpcap驱动程序的安装过程。 有关winpcap的介绍网络上很多，百科里面介绍的也很详细，我就不再copy了。需要注意的一点是，winpcap并不是一个简单的library，而是一个针对Win32平台上的抓包和网络分析的一个架构，它包括一个核心态的包过滤器，一个底层的动态链接库（packet.dll）和一个高层的不依赖于系统的库（wpcap.dll）。所以它只能“嗅探”到物理线路上的数据包，而不具备拦截的能力，因此不适用于个人防火墙等项目。 0×02 你需要准备些什么?
本系列文章主要带大家认识和了解如何利用winpcap网络编程技术进行网络的协议分析、流量统计及网络探测扫描等，这里我们并不会去深硬的解读相关源代码，而是以轻松的方式结合实验来对相关原理进行深入理解。在本系列文章中，笔者从简到难，简明介绍winpcap架构原理、相关环境搭建及快速编写核心代码。但是在开始前，读者需要有一些相关基础：了解网络协议相关基础知识，掌握一门winpc ap开发库支持的编程语言，自己能动手实践编写一些例子。Winpcap提供的开发接口原生是c语言的，不过热心肠的程序猿们已经为其他语言的使用提供了封装，比如java、.net、python，好像连易语言都有。本系列文章将使用c语言来进行各种实验，有兴趣的读者可以将其转换成自己熟悉的语言来动手实践。 0×03 你能学到什么？ 有关winpcap开发的文章在网上很容易找到，但是更多的都是对于代码的讲解，笔者在本文尽量系统性的从原理层面结合各个应用场景来介绍相关知识：
1、GCC编译器的使用
linux下gcc编译器的使用 1、文件后缀名 .c C 源程序 .C C++ 源程序 .cc C++ 源程序 .cxx C++ 源程序 .m Objective –C源程序 .i 预处理过的c源程序 .ii 预处理过的C++源程序 .s 组合语言源程序 .S 组合语言源程序 .h 头文件 .o 目标文件 .a 存档文件 2、GCC常用选项 -c 通知GCC取消链接步骤，即编译源码并在最后生成目标文件； -Dmacro定义指定的宏，使它能够通过源码中的#ifdef进行检验 #define -static 指定程序编译时采用静态编译的方法； -E 不经过编译预处理程序的输出而输送至标准输出； -g获得有关调试程序的详细信息，它不能与-o选项联合使用； -Idirectory在包含文件搜索路径的起点处添加指定目录； -llibrary提示链接程序在创建最终可执行文件时包含指定的库； -O、-O2、-O3将优化状态打开，该选项不能与-g选项联合使用； -S要求编译程序生成来自源代码的汇编程序输出； -v启动所有警报； -Wall发生警报时取消编译操作，即将警报看作是错误； -Werror在发生警报时取消编译操作，即把报警当作是错误； -w 禁止所有的报警。 目前Linux下最常用的C语言编译器是GCC（GNU Compiler Collection），它是GNU项目中符合ANSI C标准的编译系统，能够编译用C、C++和Object C等语言编写的程序。GCC不仅功能非常强大，结构也异常灵活。最值得称道的一点就是它可以通过不同的前端模块来支持各种语言，如Java、 Fortran、Pascal、Modula-3和Ada等。开放、自由和灵活是Linux的魅力所在，而这一点在GCC上的体现就是程序员通过它能够更好地控制整个编译过程。
WinPcap编程
WinPcap编程 WinPcap是一个开源的、运行于Win32平台下的体系结构，它的主要功能是进行数据包捕获和网络分析。它允许应用程序通过协议栈捕获和传输网络数据包，也包括内核级别的数据包过滤、网络静态引擎和支持远程数据包捕获等有用的功能。 WinPcap由两部分组成： 1. 驱动程序: 扩展操作系统功能提供低层次的网络访问 2. 动态链接库:运行在Win32平台上的应用程序可以非常方便地访问网络低层次的数据。Ethereal是大名鼎鼎的捕获数据包专业软件，它的运行是在WinPcap的支持之下的，如果没有安装WinPcap，Ethereal也无法正常捕获数据包。 在正式WinPcap编程之前，要配置运行环境。 Win32 平台下WinPcap应用程序需要以下四个动态链接库才能正常运行： 这四个动态链接库在WinPcap驱动程序里。 如果应用程序出现一下提示，那就是没有安装驱动程序的原因了。 被过滤广告 也可以不安装WinPcap驱动程序。但是需要把上面提到的四个动态链接库文件拷贝到系统分区/WINDOWS/system32目录下 或者 接下来配置编程环境。 如果一个源文件使用了WinPcap提供的库函数，那么就需要在该文件开始的位置添加包含文件(或者在引用的文件中)，即#include “” 也许会出现下面的错误: fatal error C1083: 无法打开包括文件:“”: No such file or directory 这个错误表明找不到文件 这个头文件在驱动程序安装完成后也是没有的，它是开发包里面的一个头文件 所以，如果要运行程序还需要到官方网站上去下载WinPcap SDK―WpdPack WinPcap SDk里面包含库文件，头文件，文档文件和一些例子。 解压缩后把Include目录添加到IDE的包含文件中（ Tools->Option->Directory; VS 2003/2005 工具->选项->项目和解决方案/项目->VC++目录） error LNK2019: 无法解析的外部符号_pcap_findalldevs_ex，该符号在函数XXX 中被引用 如果发生上面的错误就表明缺少库文件，需要添加到工程中Project->Settings->Link->Object/library modules; VS 2003/2005 项目->添加现有项->所有文件) error C2065: “PCAP_SRC_IF_STRING”: 未声明的标识符 error C3861: “pcap_findalldevs_ex”: 找不到标识符 error C2065: “PCAP_OPENFLAG_PROMISCUOUS”: 未声明的标识符 error C3861: “pcap_open”: 找不到标识符 新的版本里WinPcap支持远程数据包获取，发生上面的错误很有可能是新的版本导致不兼容的问题，所以还应当添加一个头文件，即
实验三 vi编辑器及GCC编译器的使用
实验三vi编辑器及GCC编译器的使用 【实验目的】 一、掌握文本编辑器vi的使用方法 二、了解GNU gcc编译器 三、掌握使用GCC编译C语言程序的方法 【实验内容】 一、vi的三种工作模式： 1、命令模式： 执行相关文本编辑命令 2、输入模式： 输入文本 3、末行模式： 实现查找、替换、保存、多文件操作等等功能 二、进入vi，直接在Shell提示符下键入vi [文件名称]，如果该文件在当前目录不存在，则vi创建之。 三、退出vi 1、在命令模式下输入“： wq”，保存文件并退出vi 2、若不需要保存文件，输入“： q” 3、若文件已修改，但不保存，输入“：
q！”强制退出vi 4、其它一些不常用的方法在此省略。 四、命令模式下的常用编辑命令 1、启动vi后，进入的是vi的命令模式 2、按i键，进入输入模式，可以进行文本的编辑，在输入模式下，按esc 键，可切换回命令模式 i： 光标位置不变，可在光标左侧插入正文 a： 光标位置向后退一格，可在光标左侧插入正文 o： 在光标所在行的下一行增添新行 O： 在光标所在行的上一行增添新行 I： 光标跳到当前行的开头 A： 光标跳到当前行的末尾 3、光标的移动 k、j、h、l分别等同于上、下、左、右箭头键 Ctrl+b，向上翻一页
Ctrl+f，向下翻一页 nH，将光标移到屏幕的第n行 nL，将光标移到屏幕的倒数第n行 4、删除文本 nX，删除光标所指向的后n个字符 D，删除光标右侧的所有字符（包括光标所指向的字符）db，删除光标左侧的全部字符 ndd，删除当前行和当前行以后的n行内容 5、粘贴和复制 p，将缓冲区的内容粘贴到当前字符的右侧 P，将缓冲区的内容粘贴到当前字符的左侧 yy，复制当前行到内存缓冲区 nyy，复制n行内容到内存缓冲区 6、搜索字符串 /str1，正向搜索字符串str1 n，继续搜索 ？str2，反向搜索字符串str2 7、撤销和重复 u，撤销前一条命令的执行结果 .，重复最后一条命令
WinpCap 编写抓包程序
利用WinpCap 编写抓包程序 网友：yeahilly 发布于：2008.05.20 11:12(共有条评论) 查看评论| 我要评论 WinpCap是一个公开的免费的抓包驱动加开发包，利用它，可以大大缩短我们的开发周期。 首先，先枚举系统中的所有网卡： /* 获取设备列表*/ if (pcap_findalldevs(&alldevs, errbuf) == -1) { fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf); exit(1); } /* 数据列表*/ for(d=alldevs; d; d=d->next) { printf("%d. %s", ++i, d->name); if (d->description) printf(" (%s)\n", d->description); else printf(" (No description available)\n"); } 然后选择网卡，然后设备。 if ( (adhandle= pcap_open_live(d->name, //设备名 65536, // 捕捉完整的数据包 1 , // 混在模式 1, // 读入超时
errbuf // 错误缓冲 ) ) == NULL) { printf("Unable to open the adapter"); pcap_freealldevs(alldevs); return; } 打开设备之后，我们就可以利用adhandle句柄来正式抓包了，先新建一个回调函数，形如 void packet_handler(u_char* packets,const struct pcap_pkthdr *header,const u_char *data) { } 然 后调用pcap_loop(adhandle, 0, packet_handler, NULL);pcap_loop的最后一个参数和packet_handler的packets参数是对应的，用于在函数间传递数据。WinpCap每收 到一个包就自动调用packet_handler函数，将包的内容作为data参数，我们对data作强制类型转化就可以得到数据包各部分的内容。 事实上，WinpCap开发包除了可以用回调函数抓包外，还可以用非回调的方法。在得到adhandle后不调用pcap_loop，而用下面的方法：while(1) { res = pcap_next_ex(adhandle,&header,&data); if(res==0) { Sleep(100); continue; } } 用pcap_next_ex读取数据包内容，至于if(res==0)这一段是为了防止没数据包到达时重复循环。
winpcap环境部署(VC6.0出现找不到“pcap.h_'”文件解决方法)
Winpcap 环境部署 （VC6.0出现“pcap.h': No such file or directory”问题解决方法）Winpcap简介及Winpcap安装包和开发包下载地址： Winpcap是一个强大的网络开发库，可以实现许多功能：获取可用的网络适配器；获取指定适配器信息（比如名称和描述信息）；捕获指定网卡的数据封包；发送数据封包；过滤捕获的包以获取特定包等。 首先到https://www.360docs.net/doc/e317084767.html,/install/default.htm下载安装winpcap 驱动和DLL组件。 注意下图被红线圈起来的地方，即使下载地址，点击进入 然后到https://www.360docs.net/doc/e317084767.html,/devel.htm.下载winpcap开发包，解压到指定目录，这里我解压到C:\WpdPack_4_0_2\WpdPack，可以看到里面包含了：Lib,Include,文档
和示例程序。 把安装包和开发包下载下来后，执行安装包，这样你的机子就能运行winpcap程序了，解压开发包里面有 具体解决方法： 这里的include和lib文件夹里的东西因为vc6.0里没有，所以编译一些程序时我们要手动添加。如果出现fatal error C1083: Cannot open include file: 'pcap.h': No such file or directory这个问题，就需要添加了。 下面是具体添加步骤： 第一步：
点菜单栏上的“工具”，再点击下拉菜单中的“选项”弹出“选项”对话框 点“目录”在“目录【S】”的下面选择include files然后按底下的添加符号，把你写的winpcap 开发包解压到的具体路径添加进去，如上图我的路径是
linux系统下C编译器GCC入门
linux系统下C编译器— gcc 入门 <一>gcc简介 Linux系统下的gcc（GNU C Compiler）是GNU推出的功能强大、性能优越的多平台编译器，是GNU的代表作品之一。gcc是可以在多种硬体平台上编译出可执行程序的超级编译器，其执行效率与一般的编译器相比平均效率要高20%~30%。gcc编译器能将C、C++语言源程序、汇程式化序和目标程序编译、连接成可执行文件，如果没有给出可执行文件的名字，gcc将生成一个名为 a.out的文件。在Linux系统中，可执行文件没有统一的后缀，系统从文件的属性来区分可执行文件和不可执行文件。而gcc则通过后缀来区别输入文件的类别，下面我们来介绍gcc所遵循的部分约定规则。 .c为后缀的文件，C语言源代码文件； .a为后缀的文件，是由目标文件构成的档案库文件； .C，.cc或.cxx 为后缀的文件，是C++源代码文件； .h为后缀的文件，是程序所包含的头文件； .i 为后缀的文件，是已经预处理过的C源代码文件； .ii为后缀的文件，是已经预处理过的C++源代码文件； .m为后缀的文件，是Objective-C源代码文件； .o为后缀的文件，是编译后的目标文件； .s为后缀的文件，是汇编语言源代码文件； .S为后缀的文件，是经过预编译的汇编语言源代码文件。 <二>gcc的执行过程 虽然我们称gcc是C语言的编译器，但使用gcc由C语言源代码文件生成可执行文件的过程不仅仅是编译的过程，而是要经历四个相互关联的步骤∶预处理(也称预编译，Preprocessing)、编译(Compilation)、汇编(Assembly)和连接(Linking)。命令gcc首先调用cpp进行预处理，在预处理过程中，对源代码文件中的文件包含(include)、预编译语句(如宏定义define等)进行分析。接着调用cc1进行编译，这个阶段根据输入文件生成以.o为后缀的目标文件。汇编过程是针对汇编语言的步骤，调用as进行工作，一般来讲，. S为后缀的汇编语言源代码文件和汇编，.s为后缀的汇编语言文件经过预编译和汇编之后都生成以.o为后缀的目标文件。当所有的目标文件都生成之后，gcc就调用ld来完成最后的关键性工作，这个阶段就是连接。在连接阶段，所有的目标文件被安排在可执行程序中的恰当的位置，同时，该程序所调用到的库函数也从各自所在的档案库中连到合适的地方。 <三>gcc的基本用法和选项 在使用gcc编译器的时候，我们必须给出一系列必要的调用参数和文件名称。g cc编译器的调用参数大约有100多个，其中多数参数我们可能根本就用不到，这里只介绍其中最基本、最常用的参数。
arm-linux-gcc 常用参数讲解 gcc编译器使用方法
arm-linux-gcc常用参数讲解gcc编译器使用方法 我们需要编译出运行在ARM平台上的代码，所使用的交叉编译器为arm-linux-gcc。下面将arm-linux-gcc编译工具的一些常用命令参数介绍给大家。 在此之前首先介绍下编译器的工作过程，在使用GCC编译程序时，编译过程分为四个阶段： 1. 预处理（Pre-Processing） 2. 编译（Compiling） 3. 汇编（Assembling） 4. 链接（Linking） Linux程序员可以根据自己的需要让GCC在编译的任何阶段结束，以便检查或使用编译器在该阶段的输出信息，或者对最后生成的二进制文件进行控制，以便通过加入不同数量和种类的调试代码来为今后的调试做好准备。和其它常用的编译器一样，GCC也提供了灵活而强大的代码优化功能，利用它可以生成执行效率更高的代码。 以文件example.c为例说明它的用法 0. arm-linux-gcc -o example example.c 不加-c、-S、-E参数，编译器将执行预处理、编译、汇编、连接操作直接生成可执行代码。 -o参数用于指定输出的文件，输出文件名为example,如果不指定输出文件，则默认输出 a.out 1. arm-linux-gcc -c -o example.oexample.c -c参数将对源程序example.c进行预处理、编译、汇编操作，生成example.0文件 去掉指定输出选项"-o example.o"自动输出为example.o,所以说在这里-o加不加都可以 2.arm-linux-gcc -S -o example.sexample.c -S参数将对源程序example.c进行预处理、编译，生成example.s文件 -o选项同上 3.arm-linux-gcc -E -o example.iexample.c -E参数将对源程序example.c进行预处理，生成example.i文件（不同版本不一样，有的将预处理后的内容打印到屏幕上） 就是将#include，#define等进行文件插入及宏扩展等操作。 4.arm-linux-gcc -v -o example example.c 加上-v参数，显示编译时的详细信息，编译器的版本，编译过程等。 5.arm-linux-gcc -g -o example example.c -g选项，加入GDB能够使用的调试信息,使用GDB调试时比较方便。 6.arm-linux-gcc -Wall -o example example.c -Wall选项打开了所有需要注意的警告信息，像在声明之前就使用的函数，声明后却没有使用的变量等。 7.arm-linux-gcc -Ox -o example example.c -Ox使用优化选项，X的值为空、0、1、2、3 0为不优化，优化的目的是减少代码空间和提高执行效率等，但相应的编译过程时间将较长并占用较大的内存空间。 8.arm-linux-gcc -I /home/include -o example example.c -Idirname: 将dirname所指出的目录加入到程序头文件目录列表中。如果在预设系统及当前目录中没有找到需要的文件，就到指定的dirname目录中去寻找。 9.arm-linux-gcc -L /home/lib -o example example.c
基于WinPcap的网络数据包捕获与分析
基于WinPcap的网络数据包捕获与分析 一、WinPcap介绍 1.WinPcap简介 WinPcap是一个在Windows操作系统下的免费、公开的用于直接访问网络的开发工具包（编程API）。大多数Windows网络应用程序都是通过Winsock API（Windows套接口）这类高级编程接口访问网络的。这种方法允许在网络上进行简单的数据传送，因为操作系统的TCP/IP协议栈实现软件会处理底层细节（协议操作、流程重组等等），并提供一个类似于读写文件的函数接口。 然而，有时候“简便方法”并不能满足实际需要。有些程序希望绕过TCP/IP协议栈，直接处理底层网络中的通信数据，它们需要对网络进行底层进行直接访问，即在没有类似协议栈（TCP/IP协议栈）的实体介入条件下对网络进行原始访问。 基于Winsock API编程，应用程序是通过调用操作系统提供的编程接口访问TCP/IP协议栈实现网络通信的。基于WinPcap编程，网络程序实际上是绕开操作系统的TCP/IP协议栈直接通过底层网络发送数据，因此，网络程序可以实现一些更低级、更灵活的功能。 2.WinPcap的组成与结构 如图 1.1，WinPcap由一个数据包监听设备驱动程序（NPF）、一个底层的动态连接库（packet.dll）和一个高层的不依赖于操作系统的静态库（wpcap.dll）共三个部分构成。这里，NPF在操作系统的内核级，packet.dll、wpcap.dll在用户级。 1）数据包监听设备驱动程序Array技术实现上，为了实现抓包，系统必须绕过操作系统 的协议栈来访问在网络上传输的原始数据包（raw packet）。这就要求WinPcap的一部分运行在操作系统核心 内部，直接与网络接口驱动交互。由于这个部分是系统依 赖（system dependent）的，在Winpcap的解决方案中它被 视为是一个设备驱动，称作NPF（Netgroup Packet Filter）。 图1.1 WinPcap的组成和结构
基于WinPcap的网络分析研究与实现
基于WinPcap的网络分析研究与实现 摘要近几年，我国经济发展迅速，各个领域的事业都趋于完善。在网络信息技术的不断发展下，通过对WinPcap的应用，真正实现了Windows下网络数据包的捕获技术，下文将详细阐述IP、Tcp等等协议的解析过程。网络数据的储存通过msspl来实现，进而建立系统硬件运行环境。对局域网，通过测试实现了全局监控。 关键词信息技术；网络分析；分析与研究；运行环境；数据包；源代码 1 应用环境 网络监控系统承载介质中，硬件与软件监控系统共同构成网络监控。网络监控系统标准功能是对局域网中的违规行为进行记录与监控。在国外一些发达国家，有两款软件Ethereal与Sniffer，后者主要任务就是给网管及时提供网络监视情况与数据包捕以及故障分析等内容，这样能方便网管对现场进行迅速的故障处理以及诊断能力。与此同时，还能使用户得到更好的网络管理以及故障分析功能。前者作为一种可以捕获数据包，并且将这个数据包的信息显示出来，这样的一款网络数据包分析软件，在通用许可证的保障范围内，其数据包分析软件用户能免费得到。除此之外，还可以得到其源代码，并且也能够根据自身的需要来将其源代码进行修改。现阶段，Wireshark是全球应用最多的一种网络数据包分析软件[1]。 2 Win Pcap研究 抓包的过程，是通过用户级的程序接口来完成的。在这些接口中，用户程序能够利用内核驱动提供的高级特性。作为WinPcap所提供的2个库，PACKET 提供一个底层api，应用这个库能够访问驱动的函数。这些函数能够实现来抓包时，网络硬件与操作系统独立。NDIS作为一种管理网络适配器的驱动程序和协议驱动之间的规范。其还是一个可以让协议驱动发生与接收数据包并且不用看特定的适配器或者特定的Win32操作系统的封装。捕获数据包是通过NPF来实现的。在进行数据包的捕获时，数据包的监控任务是一个网络接口，进而应用程序才能够完整抹除这部分数据包。Bpf是一种虚拟的处理器，其能够编写一个用户过滤程序，过滤系统的基础就是这里。 2.1 NDIS驱动器接口标准 在传输层还有网络层以及数据链路层之间，是NDIS。其规范了网卡驱动与应用层协议驱动的通信接口。这与物理层没有关联。这样一来，就使上层协议驱动程序与底层任意类型的网卡进行通信。在进行网络驱动开发时，就不用研究操作系统的内核以及其他的驱动程序接口的相关事宜。将NDIS函数调用起来就可以，如此一来使操作系统的烦琐通信分离在网络驱动程序中，变得更加容易编写起来。除此之外，通过对NDIS的应用，使其封装性能够只应用在一层驱动的设
gcc编译器 CFLAGS 标志参数说明
gcc编译器 CFLAGS 标志参数说明2012-11-14 15:10:28 分类：LINUX CFLAGS = -g -O2 -Wall -Werror -Wno-unused 编译出现警告性错误unused-but-set-variable，变量定义但没有使用，解决方法: 增加CFLAGS 或CPPFLAGS参数如下： CPPFLAGS=" -Werror -Wno-unused-but-set-variable" || exit 1 Gcc总体选项列表 后缀名所对应的语言 -S只是编译不汇编，生成汇编代码 -E只进行预编译，不做其他处理 -g在可执行程序中包含标准调试信息 -o file把输出文件输出到file里 -v打印出编译器内部编译各过程的命令行信息和编译器的版本 -I dir在头文件的搜索路径列表中添加dir目录 -L dir在库文件的搜索路径列表中添加dir目录 -static链接静态库 -llibrary连接名为library的库文件 ·“-I dir” 正如上表中所述，“-I dir”选项可以在头文件的搜索路径列表中添加dir目录。由于Linux 中头文件都默认放到了“/usr/include/”目录下，因此，当用户希望添加放置在其他位置的头文件时，就可以通过“-I dir”选项来指定，这样，Gcc就会到相应的位置查找对应的目录。 比如在“/root/workplace/Gcc”下有两个文件： #include int main() { printf(“Hello!!\n”); return 0; } #include
这样，就可在Gcc命令行中加入“-I”选项： [root@localhost Gcc] Gcc hello1.c –I /root/workplace/Gcc/ -o hello1 这样，Gcc就能够执行出正确结果。 小知识 在include语句中，“<>”表示在标准路径中搜索头文件，““”” 表示在本目录中搜索。故在上例中，可把hello1.c的“#include” 改为“#include “my.h””，就不需要加上“-I”选项了。 ·“-L dir” 选项“-L dir”的功能与“-I dir”类似，能够在库文件的搜索路径列表中添加dir目录。 例如有程序hello_sq.c需要用到目录“/root/workplace/Gcc/lib”下的一个动态库 libsunq.so，则只需键入如下命令即可： [root@localhost Gcc] Gcc hello_sq.c –L /root/workplace/Gcc/lib –lsunq –o hello_sq 需要注意的是，“-I dir”和“-L dir”都只是指定了路径，而没有指定文件，因此不能在 路径中包含文件名。 另外值得详细解释一下的是“-l”选项，它指示Gcc去连接库文件libsunq.so。由于在Linux 下的库文件命名时有一个规定：必须以lib三个字母开头。因此在用-l选项指定链接的库 文件名时可以省去lib三个字母。也就是说Gcc在对”-lsunq”进行处理时，会自动去链接 名为 libsunq.so的文件。 （2）告警和出错选项 Gcc的告警和出错选项如表3.8所示。 Gcc总体选项列表 选项含义 -ansi 支持符合ANSI标准的C程序 -pedantic 允许发出ANSI C标准所列的全部警告信息 -pedantic-error 允许发出ANSI C标准所列的全部错误信息 -w 关闭所有告警 -Wall 允许发出Gcc提供的所有有用的报警信息 -werror 把所有的告警信息转化为错误信息，并在告警发生时终止编译过程 下面结合实例对这几个告警和出错选项进行简单的讲解。 如有以下程序段： #include void main() { long long tmp = 1; printf(“This is a bad code!\n”);
深度剖析WinPcap之(二)
深度剖析WinPcap之(二)——网络分析与嗅探的基础知识 工欲善其事，必先利其器。为了有利于深入了解WinPcap的内部机制，我们需要对网络分析与嗅探、网络模型与硬件基础作必要了解。 1.1 什么是网络分析与嗅探 网络分析(Network analysis) (也称为网络流量分析、协议分析、嗅探、数据包分析、窃听，等等)就是通过捕获网络流量并深入检查，来决定网络中发生了什么情况的过程。一个网络分析器对通用协议的数据包进行解码，并以可读的格式显示网络流量的内容。嗅探器（sniffer）是一种监视网络上所传输数据的程序。未经授权的嗅探器对网络安全构成威胁，因为它们很难被发现并且可在任何地方被插入，这使得它们成为黑客最喜欢使用的一种工具。 网络分析器之间的差别，在于诸如支持能解码的协议数量、用户接口、图形化与统计能力等主要特性的不同。其它的差别还包括了推理能力（比如，专家分析特性）与数据包解码的质量。尽管几个不同的网络分析器针对同一个协议进行解码，但在实际环境中可能其中的一些会比另外一些工作得更好。 图2-1为Wireshark网络分析器的显示窗口。一个典型的网络分析器用三个窗格显示所捕获的网络流量：
图2-1 Wireshark网络分析器的显示窗口 概要该窗格对所捕获的内容显示一行概要。包含日期、时间、源地址、目标地址、与最高层协议的名字与信息字段。 详情该窗格提供所捕获数据包所包含的每层细节信息（采用树形结构）。 数据该窗格用十六进制与文本格式显示原始的被捕获数据。 一个网络分析器是由硬件与软件共同组成。可以是一个带有特定软件的单独硬件设备，或者是安装在台式电脑或膝上电脑之上的一个软件。尽管每种产品之间具有差别，但都是由下列五个基本部分组成。 硬件多数网络分析器是基于软件的，并工作于标准的操作系统与网卡之上。然而，一些硬件网络分析器提供额外的功能，诸如分析硬件故障（比如循环冗余纠错（CRC）错误、电压问题、网线问题、抖动、逾限（jabber）、协商错误等等）。一些网络分析器仅支持以太网或无线网适配器，而其它的可支持多重适配器，并允许用户定制它们的配置。依据实际情况，可能也需要一个集线器或一个网线探针（cable tap）连接已有的网线。
WINPCAP编程环境设置
因为项目需要，而且以前从没用过Winpcap，所以不得不从头学起。以前虽然看过winsocket，但是，Winpcap的第一个程序，我花了很长时间才编译通过。对于初学者来说，不太好做的可能是编译程序之前应该做什么事。我就大体说一下我的过程。 首先先大体介绍下Winpcap。 winpcap(windows packet capture)windows平台下一个免费，公共的网络访问系统。开发winpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。它提供了以下的各项功能： 1> 捕获原始数据包，包括在共享网络上各主机发送/接收的以及相互之间交换的数据包； 2> 在数据包发往应用程序之前，按照自定义的规则将某些特殊的数据包过滤掉； 3> 在网络上发送原始的数据包； 4> 收集网络通信过程中的统计信息。 具体介绍参见https://www.360docs.net/doc/e317084767.html,/view/696423.htm这里有Winpcap的详细介绍。 下面说一下你在编译Winpcap之前要做的事情。 1 下载Winpcap安装包，地址https://www.360docs.net/doc/e317084767.html,/install/default.htm。 2 然后到https://www.360docs.net/doc/e317084767.html,/devel.htm下载WinPcap developer's pack包，解压，里面有配置好的例子和include library。 3 在VC6.0菜单中，点Tolls->Options->Directories中的include files 和library files中添加包里面的include和library。 然后我们就来编写一个最简单的Winpcap程序——获取已连接的网络适配器列表。 首先新建一个工程，选择Win32 Console Application,工程名我们设为winpcap.然后这这个工程中新建一个C++源文件，名字winpcap。在里面填写如下代码： #include
gcc编译器使用说明
要想读懂本文，你需要对C语言有基本的了解，本文将介绍如何使用gcc编译器。首先，我们介绍如何在命令行方式下使用编译器编译简单的C源代码。然后，我们简要介绍一下编译器究竟作了那些工作，以及如何控制编译过程。我们也简要介绍了调试器的使用方法。 GCC rules 你能想象使用封闭源代码的私有编译器编译自由软件吗？你怎么知道编译器在你的可执行文件中加入了什么？可能会加入各种后门和木马。Ken Thompson是一个著名的黑客，他编写了一个编译器，当编译器编译自己时，就在'login'程序中留下后门和永久的木马。请到这里阅读他对这个杰作的描述。幸运的是，我们有了gcc。当你进行 configure; make; make install 时， gcc在幕后做了很多繁重的工作。如何才能让gcc为我们工作呢？我们将开始编写一个纸牌游戏，不过我们只是为了演示编译器的功能，所以尽可能地精简了代码。我们将从头开始一步一步地做，以便理解编译过程，了解为了制作可执行文件需要做些什么，按什么顺序做。我们将看看如何编译C程序，以及如何使用编译选项让gcc按照我们的要求工作。步骤（以及所用工具）如下：预编译 (gcc -E)，编译 (gcc)，汇编 (as)，和连接 (ld)。 开始... 首先，我们应该知道如何调用编译器。实际上，这很简单。我们将从那个著名的第一个C程序开始。（各位老前辈，请原谅我）。 #include
利用Winpcap捕获发送数据包
利用winpcap捕获数据包、发送数据包 在上一章里面，我们学会了如何获取适配器的相关配置信息，在这一章里面，我们将继续更有意义的内容，就是捕获和发送数据包。 3.1 winpcap捕获数据包流程与相关函数 计算机是通过网卡和网络中其他的主机进行通信的，网卡相当于数据包进出的大门，我们平时讲的数据包的捕获相当于大门的门卫在检查进出的行人一样。在网络基础我们学习过，数据包的发送是一个封装的过程，而数据包的接收则是解封装的过程，但是封装和解封装都是在OS内核来完成的，一般的应用程序没办法获取数据包原始的内容，而Winpcap却能提供这样的功能，在数据链路层捕获数据包，提供最原始的信息。其中Winpcap捕获数据的原理在第一章已经介绍过了，大家可以回顾下。 另外，数据捕获只能捕获通过本主机网卡的数据，没法捕获其他主机上网卡的数据。 下面先看看Winpcap捕获数据时的工作流程。 数据捕获的流程 1. 发现网络设备的函数(find_dev_ex)以前已经介绍过了。 2．打开网卡的函数 打开设备的函数是pcap_open()。下面是参数snaplen, flags 和to_ms 的解释说明 pcap_t* pcap_open ( const char * source, // 指定的网卡的名称 int snaplen, // 帧的长度 int flags, // 网卡捕获的模式 int read_timeout, // 超时 struct pcap_rmtauth * auth, // 是否要求认证 char * errbuf // 错误信息存储 ) snaplen 制定要捕获数据包中的哪些部分。在一些操作系统中(比如xBSD 和Win32)，驱动可以被配置成只捕获数据包的初始化部分：这样可以减少应用程序间复制数据的量，从而提高捕获效率。本例中，我们将值定为65535，它比我们能遇到的最大的MTU还要大。因此，我们确信我们总能收到完整的数据包。 flags: 最最重要的flag是用来指示适配器是否要被设置成混杂模式。一般情况下，适配器只接收发给它自己的数据包，而那些在其他机器之间通讯的数据包，将会被丢弃。相反，如果适配器是混杂模式，那么不管这个数据包是不是发给我的，我都会去捕获。也就是说，