计算机网络课程设计封面

河南理工大学

计算机科学与技术学院

课程设计报告

2013— 2014学年第二学期

课程名称计算机网络

设计题目简单的网络嗅探器

姓名琚先锋

学号311209040435

专业班级网络技术1204

指导教师刘琨

2014 年 6 月29日

目录

摘要.......................................................................................................

一、引言

1.1背景.................................................................................................

1.2国内外现状.....................................................................................

二、网络嗅探器的基本原理

2.1概述.................................................................................................

2.2作用.................................................................................................

2.3分类.................................................................................................

2.4可能造成的危害.............................................................................

2.5基本工作原理.................................................................................

2.6工作环境......................................................................................... 三需求分析

3.1需求说明.........................................................................................

3.2需求分析.........................................................................................

四、概要设计

4.1编程环境.........................................................................................

4.2模块分析.........................................................................................

五、详细设计

5.1嗅探器的具体实现过程.................................................................

5.2代码及截图..................................................................................... 结束语及展望.......................................................................................

简单的网络嗅探器

摘要

计算机网络嗅探器是可以窃听计算机程序在网络上发送和接收到的数据，程序实现了对抓取到的本机在网络中的通信数据的协议类型、源地址、目的地址、端口和数据包的大小加以简单的分析，改程序应用C#语言编写，实现了一个简单的网络嗅探功能。。网络嗅探器具有两面性，攻击者可以用它来监听网络中数据，达到非法获得信息的目的，网络管理者可以通过使用嗅探器捕获网络中传输的数据包并对其进行分析，分析结果可供网络安全分析之用。

本文对网络嗅探技术进行了简要分析，研究了网络数据包的捕获机制。文中首先分析了嗅探的原理和危害并介绍了几种常见的嗅探器，然后研究了入侵检测系统中使用的包捕获技

术。利用原始套接字在windows 平台下实现了一个网络嗅探器程序，完成了对数据包进行解包、分析数据包的功能。

一、引言

1.1背景

随着网络技术的迅速发展，加速了全球信息化进程，各种重要数据在网上的传播日益普遍，使得网络安全问题越来越为人们所关注。网络嗅探器作为一种网络数据监听程序，在网络安全攻防方面扮演了很重要的角色，目前已经有不少的嗅探工具，譬如在Windows环境下，最富盛名的工具是Netxray，Sniffer pro，在UNIX 环境下是sniffer和snoop，以及同时支持Linux和windows平台的Ethereal等工具都是比较常见的。网络嗅探器实际是一把双刃剑，通过使用网络嗅探器可以把网卡设置于混杂模式，并可以实现对网络上传输的数据包的捕获与分析，此分析结果可供网络安全分析之用，也可以为黑客发动进一步的攻击提供有价值的信息。而在网络安全方面，目前使用最广泛的TCP/IP协议存在很多安全缺陷，网络嗅探器可以有效地探测在网络上传输的数据包信息，通过对这些信息的分析利用是有助于网络安全维护的。我们通过对网络嗅探器的数据包捕获与分析功能进一步了解，才能做到知己知彼，有针对性的获取所需要的信息，利用对这些休息进行网络安全协议和网络威胁应对。根据《网络安全技术发展分析》一文中的数据，2007年以来网络监听技术出现了新的重要特征，传统的Sniffer技术是被动的监听网络通信，用户名和口令，而新的Sniffer技术则主动地控制通信数据。我们通过对网络嗅探器的数据包捕获与分析功能的进一步了解，才能做到知己知彼，有针对行地获取所需要的信息，利于对这些信息进行网络安全分析和网络威胁应对。因此，对网络嗅探器的研究具有重要意义。

1.2国内外现状

Sniffer中文翻译过来就是嗅探器，在当前网络技术中使用的非常得广泛。Sniffe 既可以做为网络故障的诊断工具，已可以做为黑客嗅探和监听的工具。最近两年，网络嗅探监听（sniffer）技术出现了新的重要特征。传统的sniffer技术是被动地监听网络通信，用户名和口令。而新的sniffer技术出现了主动地控制通信数据的特点，把sniffer技术扩展到了一个新的领域，Sniffer技术除了目前在传统的网络侦测管理外，也开始被应用于在咨询保全的领域。可以这样说，sniffer技术是一把双刃剑，如何更好的利用它，了解它的一些特性，将能使用这项技术更好的为

我们需求带来便利。Sniffer的编程方法比较通用的有以下几种：1) .winpcap这是一个比较通用的库，相信做过抓包的工具大多人都不会陌生。 2) .raw socket 在2000以后的版本都比较支持此项功能，2000server有个网络监视器就是基于raw socket。3) .tdi,ndis,spi,hook socket技术，这种技术比较大的不同是，可以将包截取而不仅仅是获得包的一份拷贝。实际应用中的Sniffer还分软，硬两种。软件Sniffer的优点在于比较便宜，易于学习使用，同时也易于交流，缺点是往往无法抓取网络上所有的传输（不如碎片），某些情况下也就可能无法真正了解网络的故障和运行情况；硬件的Sniffer通常称为协议分析仪，一把都比较昂贵，它的优点恰恰是软件Sniffer所欠缺的，但是昂贵是它的致命的缺点。因此目前流行的Sniffer工具都是软件的。

二、网络嗅探器的基本原理

2.1概述

网络嗅探器又称为网络监听器，简称为Sniffer子系统，放置于网络节点处，对网络中的数据帧进行捕获的一种被动监听手段，是一种常用的收集有用数据的方法，这些数据可以是用户的账号和密码，可以是一些商用机密数据等等。他广泛地应用于流量分析、安全监控、网管分析、防火墙等的实现中。Sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。Sniffer的正当用处主要是分析网络的流量以便找出所关心的网络中潜在的问题。例如假设网络的某一段运行得不是很好报文的发送比较慢而我们又不知道问题出在什么地方此时就可以用嗅探器截获网络中的数据包，分析问题的所在。而嗅探器也可作为攻击工具被黑客所利用为其发动进一步的攻击提供有价值的信息。

2.2作用

嗅探器是网络的抓包工具，可以对网络中大量数据抓取，从而方便使用者对网络中用户的一些信息进行分析，所以，通常被黑客运用于网络攻击。我们如果也能掌握网络嗅探器的原理和设计，可以将它运用与网络故障检测、网络状况的监视，还可以加强企业信息安全防护。

2.3分类

Sniffer分为软件和硬件两种，软件的Sniffer有NetXray、Packetboy、Netmonitor 等，其优点是物美价廉，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，一般都是商业性的，价格也比较贵。实际上本文中所讲的Sniffer指的是软件。它把包抓取下来，然后打开并查看其中的内容，可以得到密码等。Sniffer只能抓取一个物理网段内的包，就是

说，你和监听的目标中间不能有路由或其他屏蔽广播包的设备，这一点很重要。所以，对一般拨号上网的用户来说，是不可能利用Sniffer来窃听到其他人的通信内容的。

2.4可能造成的危害

sniffing是作用在网络基础结构的底层。通常情况下，用户并不直接和该层打交道，有些甚至不知道有这一层存在。所以，应该说snffer的危害是相当之大的，通常，使用sniffer是在网络中进行欺骗的开始。它可能造成的危害：嗅探器能够捕获口令。这大概是绝大多数非法使用sniffer的理由，sniffer可以记录到明文传送的userid和passwd。能够捕获专用的或者机密的信息。比如金融帐号，许多用户很放心在网上使用自己的信用卡或现金帐号，然而

sniffer可以很轻松截获在网上传送的用户姓名、口令、信用卡号码、截止日期、帐号和

pin。比如偷窥机密或敏感的信息数据，通过拦截数据包，入侵者可以很方便记录别人之间敏感的信息传送，或者干脆拦截整个的email会话过程。可以用来危害网络邻居的安全，

或者用来获取更高级别的访问权限。窥探低级的协议信息。这是很可怕的事，通过对底层的信息协议记录，比如记录两台主机之间的网络接口地址、远程网络接口IP地址、IP路由信息和TCP连接的字节顺序号码等。这些信息由非法入侵的人掌握后将对网络安全构成极大的危害，通常有人用sniffer

收集这些信息只有一个原因：他正要进行一次欺骗（通常的IP地址欺骗就要求你准确插入

TCP连接的字节顺序号）。事实上，如果你在网络上存在非授权的嗅探器就意味着你的系统已经暴露在别人面前了。简单的放置一个嗅探器并将其放到随便什么地方将不会起到什么作用。将嗅探器放置于被攻击机器或网络附近，这样将捕获到很多口令，还有一个比较好的

方法就是放在网关上。sniffer通常运行在路由器，或有路由器功能的主机上。这样就能对大量的数据进行监控。sniffer属第二层次的攻击。通常是攻击者已经进入了目标系统，然后使用sniffer这种攻击手段，以便得到更多的信息。如果这样的话就能捕获网络和其他网络进行身份鉴别的过程

2.5基本工作原理

网络嗅探器利用的是共享式的网络传输介质。共享即意味着网络中的一台机器可以嗅探到传递给本网段(冲突域)中的所有机器的报文。网络嗅探器通过将网卡设置为混杂模式来实现对网络的嗅探。一个实际的主机系统中，数据的收发是由网卡来完成的，当网卡接收到传输来的数据包时，网卡内的单片程序首先解析数据包的目的网卡物理地址，然后根据网卡驱动程序设置的接收模式判断该不该接收，认为该接收就产生中断信号通知CPU，认为不该接收就丢掉数据包，所以不该接收的数据包就被网卡截断了，上层应用根本就不知道这个过程。

CPU如果得到网卡的中断信号，则根据网卡的驱动程序设置的网卡中断程序地址调用驱动程序接收数据，并将接收的数据交给上层协议软件处理。

2.6工作环境

snifffer就是能够捕获网络报文的设备。嗅探器的正当用处在于分析网络的流量,以便找出所关心的网络中潜在的问题。例如,假设网络的某一段运行得不是很好,报文的发送比较慢,而我们又不知道问题出在什么地方,此时就可以用嗅探器来作出精确的问题判断。嗅探器在功能和设计方面有很多不同。有些只能分析一种协议，而另一些可能能够分析几百种协议。一般情况下，大多数的嗅探器至少能够分析下面的协议：

1.标准以太网

2.TCP/IP

3.IPX

4.DECNet

三需求分析

3.1需求说明

实现Sniffer的基本功能。Sniffer是一种用于监测网络性能、使用情况的工具。

能够侦听所有进出本主机的数据包，完整显示数据包网络层和传输层（ICMP、IP、TCP和UDP）的头信息。比如，对IP头而言，需要显示版本、头长度、服务类型、数据包长度、标识、DF/MF标志、段内偏移、生存期、协议类型、源目的IP地址、选项内容。要求显示数据的实际含义；侦听来源于指定IP地址的数据，显示接收到的TCP数据包的全部实际内容。需要考虑一个TCP包划分为多个IP包传输的情况及功能验证手段：在运行Sniffer的同时，执行标准的Ping、Telnet和浏览网页等作，检查Sniffier能否返回预期的结果。

3.2需求分析

有于水平有限，不可能实现像Sniffer或者影音神探那样复杂的设置和分析，所以我们只对抓取到的本机在网络中的通信数据(如协议类型，源、目的地址和端口、数据包的大小等)加以分析，实现一个简单的网络嗅探器。一个窗体显示主页面，另一个页面显示详细的包信息。详细信息页面，我们显示一下信息：开始时间：嗅探器抓取数据包的时间；源端口：源目的IP地址+端口号；目的端口：简单的网络嗅探器GPG,ICMP,IDP,IGMP,IP,ND,PUP,TCP,UDP,其他的不再分析；

四、概要设计

4.1编程环境

本软件是在VC++环境下编写，使用WinPcap中定义的头文件和lib文件为支持，运用WinPcap提供的数据包捕获程序执行核心操作。

4.2模块分析

本软件使用的主要模块及其功能如下：

（1）．线程控制模块

（2）．抓包模块

（3）．数据包分析模块

五、详细设计

5.1嗅探器的具体实现过程

程序在执行过程中有两个核心的工作，一是调用Winpcap函数库实现下层抓包。二是对抓到的包文进行分析。下面分别列出两个核心过程的基本算法与相关的实现代码。抓包算法：

第一：初始化Winpcap开发库

第二：获得当前的网卡列表，同时要求用户指定要操作的网卡

第三：获得当前的过滤规则，可为空

第四：调用库函数，pcap_loop（），同时并指定其回调函数，其中其回调函数为数据包分析过程。分析算法：第一：得到数据包，先将其转存到内存里，以备以后再用。第二：分析当前的数据包，分析过程如下：

1.数据包的前14个字节（Byte）代表数据链路层的报文头，其报文格式是前6Byte 为目的MAC地址，随后的6个Byte为源Mac地址，最后的2Byte

代表上层协议类型这个数据很重要，是我们分析上层协议的依据

2.根据1所分析到的协议类型进行类似1的迭代分析。这样就可以得到各层中的报文头信息和数据信息。第三：结束本次分析！

5.2代码及截图

#include /*windows socket的头文件，系统定义的*/

#include

#include

#include

#include

#pragma comment(lib,"ws2_32.lib") /*链接API相关连的Ws2_32.lib静态库*/

#define MAX_HOSTNAME_LAN 255

#define SIO_RCV ALL _WSAIOW(IOC_VENDOR,1)

#define MAX_ADDR_LEN 16

struct ipheader

{ unsigned char ip_hl:4; /*header length(报头长度）*/ unsigned char ip_v:4; /*version(版本)*/

unsigned char ip_tos; /*type os service服务类型*/

unsigned short int ip_len; /*total length (总长度)*/

unsigned short int ip_id; /*identification (标识符)*/

unsigned short int ip_off; /*fragment offset field(段移位域)*/

unsigned char ip_ttl; /*time to live (生存时间)*/

unsigned char ip_p; /*protocol(协议)*/

unsigned short int ip_sum; /*checksum(校验和)*/

unsigned int ip_src; /*source address(源地址)*/

unsigned int ip_dst; /*destination address(目的地址)*/

}; /* total ip header length: 20 bytes (=160 bits) */

typedef struct tcpheader

{ unsigned short int sport; /*source port (源端口号)*/

unsigned short int dport; /*destination port(目的端口号)*/

unsigned int th_seq; /*sequence number(包的序列号)*/

unsigned int th_ack; /*acknowledgement number(确认应答号)*/ unsigned char th_x:4; /*unused(未使用)*/

unsigned char th_off:4; /*data offset(数据偏移量)*/

unsigned char Flags; /*标志全*/

unsigned short int th_win; /*windows(窗口)*/

unsigned short int th_sum; /*checksum(校验和)*/

unsigned short int th_urp; /*urgent pointer(紧急指针)*/

}TCP_HDR;

typedef struct udphdr

{ unsigned short sport; /*source port(源端口号)*/

unsigned short dport; /*destination port(目的端口号)*/

unsigned short len; /*udp length(udp长度)*/

unsigned short cksum; /*udp checksum(udp校验和)*/

}UDP_HDR;

void main()

{ SOCKET sock;

WSADATA wsd;

DWORD dwBytesRet;

unsigned int optval = 1;

unsigned char *dataudp,*datatcp;

int i,pCount=0,lentcp, lenudp; SOCKADDR_IN sa,saSource, saDest;

struct hostent FAR * pHostent;

char FAR name[MAX_HOSTNAME_LAN];

char szSourceIP[MAX_ADDR_LEN], szDestIP[MAX_ADDR_LEN],RecvBuf[65535] = {0};

struct udphdr *pUdpheader;

struct ipheader *pIpheader;

struct tcpheader *pTcpheader;

WSAStartup(MAKEWORD(2,1),&wsd);

if ((sock = socket(AF_INET, SOCK_RAW, IPPROTO_IP))==SOCKET_ERROR) exit(1);

gethostname(name, MAX_HOSTNAME_LAN);

pHostent = gethostbyname(name); sa.sin_family = AF_INET;

sa.sin_port = htons(6000);

memcpy(&sa.sin_addr.S_un.S_addr, pHostent->h_addr_list[0], pHostent->h_length);

bind(sock, (SOCKADDR *)&sa, sizeof(sa)); /*bind()设定自己主机的IP地址和端口号*/

if ((WSAGetLastError())==10013) exit(1);

WSAIoctl(sock, SIO_RCV ALL, &optval, sizeof(optval), NULL, 0, &dwBytesRet, NULL, NULL);

pIpheader = (struct ipheader *)RecvBuf;

pTcpheader = (struct tcpheader *)(RecvBuf+ sizeof(struct ipheader )); pUdpheader = (struct udphdr *) (RecvBuf+ sizeof(struct ipheader ));

while (1){ memset(RecvBuf, 0, sizeof(RecvBuf));

recv(sock, RecvBuf, sizeof(RecvBuf), 0);

saSource.sin_addr.s_addr = pIpheader->ip_src;

strncpy(szSourceIP, inet_ntoa(saSource.sin_addr), MAX_ADDR_LEN);

saDest.sin_addr.s_addr = pIpheader->ip_dst;

strncpy(szDestIP, inet_ntoa(saDest.sin_addr), MAX_ADDR_LEN);

lentcp =(ntohs(pIpheader->ip_len)-(sizeof(struct ipheader)+sizeof(struct tcpheader)));

lenudp =(ntohs(pIpheader->ip_len)-(sizeof(struct ipheader)+sizeof(struct udphdr)));

if((pIpheader->ip_p)==IPPROTO_TCP&&lentcp!=0){

printf("*******************************************\n");

pCount++;

datatcp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct

tcpheader);

printf("-TCP-\n");

printf("\n目的IP地址：%s\n",szDestIP);

printf("\n目的端口：%i\n",ntohs(pTcpheader->dport));

printf("datatcp address->%x\n",datatcp);

printf("size of ipheader->%i\n",sizeof(struct ipheader));

printf("size of tcpheader->%i\n",sizeof(struct tcpheader));

printf("size of the hole packet->%i\n",ntohs(pIpheader->ip_len));

printf("\nchar Packet%i [%i]=\"",pCount,lentcp-1);

for (i=0;i

printf("\\x%.2x",*(datatcp+i));

if (i%10==0)

printf("\"\n\"");

}

printf("\";\n\n\n");

for (i=0;i

if( *(datatcp+i)<=127&&*(datatcp+i)>=20)

printf("%c",*(datatcp+i));

else

printf("."); }

printf("\n\n*******************************************\n");

}

if((pIpheader->ip_p)==IPPROTO_UDP&&lentcp!=0){ pCount++;

dataudp=(unsigned char *) RecvBuf+sizeof(struct ipheader)+sizeof(struct udphdr);

printf("-UDP-\n"); printf("\n目的IP地址：%s\n",szDestIP);

printf("\n目的端口：%d\n",ntohs(pTcpheader->dport));

printf("UDP数据地址：%x\n",dataudp);

printf("IP头部长度：%i\n",sizeof(struct ipheader));

printf("UDP头部长度：%i\n",sizeof(struct udphdr));

printf("包的大小：%i\n",ntohs(pIpheader->ip_len));

printf("\nchar Packet%i [%i]=\"",pCount,lenudp-1);

for (i=0;i

printf("\\x%.2x",*(dataudp+i));

if (i%10==0)

printf("\"\n\"");

}

printf("\";\n\n\n");

for (i=0;i

if( *(dataudp+i)<=127&&*(dataudp+i)>=20)

printf("%c",*(dataudp+i));

else printf(".");

}

printf("\n\n*******************************************\n"); }

}

}

六、结束语与展望

从课程设计选题，到查阅资料，思考课题的解决的方案，再到课题的实现，是一个集中学习的过程，是一个灵活运用知识的过程，是一个由量变到质变的过程。真的感觉到我们都进步了，感觉到我们学到一些东西了，那是课堂上学不到的知识！不仅提高了我的动手能力，而且还丰富了我的视野，让我受益良多，感觉到我们求知的态度了。

随着网络技术的迅猛发展，网络安全将被人们越来越重视，嗅探技术作为网络安全攻防中最基础的技术，嗅探工具的发展将向着集成化和易用型发展这两个

方向发展，我们相信这也是绝大部分软件的发展趋势。（1）集成化，是指将其它非嗅探功能集成在一个软件上，例如将网络管理功能添加进来，当管理员发现某台主机有问题时，也希望能马上对其进行管理，这种软件集网络故障分析和健康管理于一体，是具有很强的竞争力和生命力的。（2）易用性，包括易理解性、易学习性、易操作性，这对提高产品使用效率和竞争力有重要作用，例如在本次设计的程序中，过滤条件的设置对于普通用户来说还是需要一定时间来学习的，尽管我们配置了帮助文档帮助用户使用，但是对于没有一定基础的人来说，WinPcap过滤串表达式语法的理解还是有难度的。我们的设想是设置一个窗口，把过滤条件图形化，例如有接收、发送、不限三种数据包捕获摸索，每种模式下面有能详细设置协议类型、IP地址、端口号等。需求是创新的动力，内在的驱动更是创新的源泉，没有任何事物是至善的，此程序还有一些可增强的地方，除了上面提到的两点外，还可以将界面美化一下，程序的功能菜单按钮也可以通过添加鼠标响应事件更加个性化，此外还可以增加自动搜索局域网内的主机功能，通过直接点击特定主机的图标达到设置过滤条件的目的，简化操作。