通信网络实验-嗅探器实现

使用WinPcap来实现嗅探器

一、嗅探器简介

嗅探器程序一般包括内核部分和用户分析部分，其中内核部分负责从网络中捕获和过滤数据，用户分析部分负责界面、数据转化和处理、格式化、协议分析，如果在内核中没有过滤数据包，在这里还要对数据进行过滤。一个较为完整的基于网络监听和过滤的程序一般包含以下步骤：数据包捕获、数据包过滤和分解、数据分析。
数据包捕获常用的方法有两种：

（1）通过设置路由器的监听端口

（2）利用以太网络的广播特性。这种特性必须将网卡设置为混杂模式。监听程序工作在网络环境的底三层，可以拦截所有经过该机器的网络上传送的数据，然后将这些数据做相应处理，可以实时分析这些数据的内容，进而分析网络当前状态和整体布局。基于Windows的数据包捕获方案有以下几种：

1.使用原始套接字机制。方法简单，但功能有限，只能捕获较高层的数据包；

2.直接连接调用NDIS库函数，这种方法功能非常强大，但是比较危险，很可能导致系统崩溃和网络瘫痪；

3.使用或者自行编写中间层驱动程序，这是微软公司推荐使用的一种方法，微软提供的Win2000DDK中也提供了几个这样的驱动程序，在具体的实现方式上可以分为用户级和内核级两类。其中内核级主要是TDI捕获过滤驱动程序，NDIS中间层捕获过滤驱动程序，NDIS捕获过滤钩子驱动程序等等，它们都是利用网络驱动来实现的；而用户级的包括SPI接口，Win2000包捕获过滤接口等；

4.使用或自行编写协议驱动程序

5.使用第三方捕获组件或者库，比如WinPcap.

捕获数据包后，我们要进行的工作是对其进行包过滤和分解，就是在海量的数据里面找我们感兴趣的内容。一些基础的过滤规则如下：

站过滤：专门筛选出来自一台主机或者服务器的数据

协议过滤：根据不同的协议来筛选数据，例如选择TCP数据而非UDP数据

服务过滤：根据端口号来选择特定数据包

通用过滤：通过数据包中某一位置开始，选择某些具有共同特征的数据包；

过滤完成后，必须进行数据分析，这一部分就是对于已经捕获的数据包进行各种分析，比如网络流量分析，数据包中信息分析，敏感信息提取分析，其功能取决于系统要达到的目的。

下面，我们着重介绍一下使用WinPcap这一环境来实现一个嗅探器的过程。
WinPcap是用于网络封包抓取的一套工具，包含了核心的封包过滤，一个底层动态链接库和一个高层系统函数库。可以进行信息包捕获和网络分析。很多不同的工具软件都是使用WinPcap来进行网络分析、故障排除和网络安全监控等操作的，比如大名鼎鼎的WireShark软件。

在安装WireShark时，它是默认捆绑安装WinPcap的。如果你没有安装WireShark的话，那么你也可以前往这一网页进行下载。要注意的是，除了安装这一文件，我们还要下载开发者套件，这个套间里面包含了一些头文件、若干文档和一些范例程序，对于我们的编程有很大的帮助。
下载之后，将开发者工具解压到某一个目录下。至于这个库的使用方法，请参考我的前一篇博文。

好了，现在我们就可以开始进行正式的开发工作了。

使用WinPcap的基本流程十分规范，主要有以下几步：

这些函数的定义都可以在帮助文档里找到。在我们解压后的开发者工具包的docs文件夹里，就有所有我们需要的函数的使用方法和范例。我们可以直接在范例的基础上进行修改来完成我们的任务。

二、一个过滤UDP数据包的程序

下面是一个过滤网络中udp数据包的程序。

#include <stdio.h>
#include <stdlib.h>
#include <ctime>
#include "pcap.h"
#include "remote-ext.h"
typedef struct ip_address{
    u_char byte1;
    u_char byte2;
    u_char byte3;
    u_char byte4;
}ip_address;

//IPV4 header
typedef struct ip_header{
    u_char ver_ihl;
    u_char tos;
    u_short tlen;
    u_short identification;
    u_short flags_fo;
    u_char ttl;
    u_char proto;
    u_short crc;
    ip_address saddr;
    ip_address daddr;
    u_int op_pad;
}ip_header;
//UDP header
typedef struct udp_header{
    u_short sport;
    u_short dport;
    u_short len;
    u_short crc;
}udp_header;

void packet_handler(u_char *param, const struct pcap_pkthdr* header, const u_char *pkt_data);

int main()
{
    pcap_if_t *alldevs, *d;
    int inum, i = 0;
    pcap_t *adhandle;
    char errbuf[PCAP_ERRBUF_SIZE];
    u_int netmask;
    char packet_filter[] = "ip and udp";
    struct bpf_program fcode;


/*
pap_findalldevs_ex():this function returns a linked list of pcap_if structures, each of which contains comprehensive information about an attached adapter
*/
if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING,NULL,&alldevs,errbuf) == -1)
{
    fprintf(stderr, "Error in pcap_findalldevs :%s\n", errbuf);
    exit(1);
}

for (d =  alldevs; d ; d = d->next)
{
    printf("%d.%s", ++i, d->name);
    if (d->description)
    {
        printf("(%s)\n", d->description);
    }
    else
    {
        printf("(No description available)\n");
    }
}

if (i == 0)
{
    printf("\nNo interfaces found!Make sure WinPcap is installed.\n");
    return -1;
}
printf("Enter the interface number (1-%d):", i);
scanf_s("%d", &inum);
if (inum <1 || inum > i)
{
    printf("\nInterface number out of range.\n");
    pcap_freealldevs(alldevs);
    return -1;
}
for (d = alldevs, i = 0; i < inum - 1; d = d->next, i++);
if ((adhandle = pcap_open_live(d->name,65536,1,1000,errbuf)) == NULL)
{
    fprintf(stderr, "\nUnable to open the adapter.%s is not supported by WinPcap\n");
    pcap_freealldevs(alldevs);
    return -1;
}
if (d->addresses != NULL)
{
    netmask = ((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr;
}
else
{
    netmask = 0xffffff;
}
if (pcap_compile(adhandle, &fcode, packet_filter, 1, netmask) < 0)
{
    fprintf(stderr, "\nUnable to compile the packet filter.Check the syntax.\n");
    pcap_freealldevs(alldevs);
    return -1;
}

if (pcap_setfilter(adhandle,&fcode) < 0)
{
    fprintf(stderr, "\nError setting the filter.\n");
    pcap_freealldevs(alldevs);
    return -1;
}
printf("\nListening on %s...\n", d->description);
pcap_freealldevs(alldevs);
pcap_loop(adhandle, 0, packet_handler, NULL);
return 0;
}

//Callback function invoked by libpcap for every incoming packet
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
{
    struct tm ltime;
    char timestr[16];
    ip_header *ih;
    udp_header *uh;
    u_short sport, dport;
    time_t local_tv_sec;
    u_int ip_len;
    local_tv_sec = header->ts.tv_sec;
    localtime_s(&ltime,&local_tv_sec);
    strftime(timestr, sizeof(timestr), "%H:%M:%S", &ltime);
    printf("%s,%.6d len:%d", timestr, header->ts.tv_usec, header->len);
    ih = (ip_header*)(pkt_data + 14);
    ip_len = (ih->ver_ihl & 0xf) * 4;
    uh = (udp_header*)((u_char *)ih + ip_len);
    sport = ntohs(uh->sport);
    dport = ntohs(uh->dport);
    printf("%d. %d. %d. %d. %d    ->     %d. %d. %d. %d. %d.\n", 
        ih->saddr.byte1, 
        ih->saddr.byte2, 
        ih->saddr.byte3, 
        ih->saddr.byte4, 
        sport, 
        ih->daddr.byte1,
        ih->daddr.byte2, 
        ih->daddr.byte3, 
        ih->daddr.byte4, 
        dport);
}

整个代码的逻辑结构完全遵循我们之前提到的流程，理解起来并不困难，这里就不对代码做具体分析了。
嗅探器的运行效果如下：

可以看到，这个程序已经将适配器里的udp包信息给打印了出来。这就说明我们的嗅探器已经可以正常工作了。

三、捕获FTP数据包中的用户名和密码

要使这个程序具有捕获FTP中的用户名和密码，我们只需要将我们的过滤机制设置成ftp数据，并且改写packet_handler函数即可。

首先，我们将packet_filter改写如下：
char packet_filter[] = "tcp dst port ftp";
然后，在程序中加入tcp_header的定义：

typedef struct tcp_header{
    u_short sport;
    u_short dport;
    u_int seq;
    u_int ack_num;
    u_char ihl;
    u_char frame;
    u_short wsize;
    u_short crc;
    u_short urg;
}tcp_header;

然后，改写packet_handler函数：

void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
{
    struct tm ltime;
    char timestr[16];
    ip_header *ih;
    tcp_header *th;
    u_short sport, dport;
    time_t local_tv_sec;
    u_char *pdata;
    u_int tcp_len;
    u_int ip_len;
    u_int data_len;
    u_int i;
    local_tv_sec = header->ts.tv_sec;
    localtime_s(&ltime,&local_tv_sec);
    strftime(timestr, sizeof(timestr), "%H:%M:%S", &ltime);
    printf("%s,%.6d len:%d ", timestr, header->ts.tv_usec, header->len);
    ih = (ip_header*)(pkt_data + 14);
    ip_len = (ih->ver_ihl & 0xf) * 4;
    th = (tcp_header*)((u_char *)ih + ip_len);
    sport = ntohs(th->sport);
    dport = ntohs(th->dport);
    printf("%d.%d.%d.%d:%d    ->     %d.%d.%d.%d:%d\n", 
        ih->saddr.byte1, 
        ih->saddr.byte2, 
        ih->saddr.byte3, 
        ih->saddr.byte4, 
        sport, 
        ih->daddr.byte1,
        ih->daddr.byte2, 
        ih->daddr.byte3, 
        ih->daddr.byte4, 
        dport);
    tcp_len = ((th->ihl & 0xf0) >> 4) * 4;
    pdata = (u_char*)th + tcp_len;
    data_len = header->len - ip_len - tcp_len - 16;
    if (*pdata == 'U' && *(pdata + 1) == 'S' && *(pdata + 2) == 'E' && *(pdata + 3) == 'R')
    {
        memset(user, 0, sizeof(user));
        pdata += 5;
        for (i = 0; i < data_len-5; i++)
        {
            user[i] = *pdata;
            pdata++;
        }
    }

    if (*pdata == 'P' && *(pdata + 1) == 'A' && *(pdata + 2) == 'S' && *(pdata + 3) == 'S')
    {
        memset(pass, 0, sizeof(pass));
        pdata += 5;
        for (i = 0; i<data_len - 5; i++)
        {
            pass[i] = *pdata;
            pdata++;
        }
    }

    printf("User:%s\n", user);
    printf("Password:%s\n", pass);
}

然后怎么测试我们的程序能否正常工作呢？我们编译并执行这个程序，然后点击开始->运行->输入cmd->输入ftp ftp.mcafee.com->输入用户名:anonymous->输入密码（这个密码可以任意填写），这时候在我们的程序里应该就能看到你刚刚输入的用户名和密码了：