网络协议分析 实验指导书.doc

1、网络协议分析实验指导书贾伟陕西理工学院数学与计算机科学学院2015-06网络协议分析实验说明适用网络工程专业 2012 级。实验总学时：10 学时；实验项目：6 个，其中 3 个验证，3 个综合，必须完成1、 2、4 这三个实验。通过使用 wireshark 捕获数据包进行分析和使用 C 语言编程实现对数据包的构造和分析进行实验，每个实验完成后需要将实验捕获的数据、程序代码等实验数据保存下来并上交。实验完成后，除上交纸质的实验报告外，还要上交实验有关的电子文件，要求文件命名为：“实验 X_学号_ 姓名_其它说明” ，X 取值为中文汉字“一” 、 “二” 、 ，连接符为英文输入的下划线“_ ”，

2、学号为完整长度，各项中间均不得添加空格。实验项目表序号 实验项目名称 内容 课时 性质0 网络协议分析基础（预备实验） 数据包捕获软件的使用；C 语言编程。 2 验证/可选1 网络层协议分析 捕获 ARP、IP、 ICMP 网络数据包并分析；编程构造 IP 数据包。 4 综合/必做2 传输层协议分析 捕获 TCP、UDP 网络数据包并分析；编程构造 UDP 数据包。 4 综合/必做3 HTTP 协议分析 捕获 HTTP 网络数据包并分析。 2 验证/可选4 协议分析器程序设计 编程捕获数据包并统计数据包信息。 4 综合/可选5 Winpcap 编程基础 通过 Winpcap 捕获发送数据包 2

3、 验证/可选0.网络协议分析基础(预备实验)0.A 数据包捕获软件的使用数据包捕获分析软件建议选择 Wireshark，因为它目前是全世界最广泛的网络数据包分析软件之一。参考文献：(ISBN：978-7-115-30236-6)Chris Sanders;诸葛建伟等(译).Wireshark 数据包分析实战(第 2 版).人民邮电出版社.2013,3.0.A.1 尝试软件的下载和安装0.A.2 设置软件捕获过滤器0.A.3 选取网卡，开启捕获0.A.4 停止捕获，保存捕获数据，打开捕获的数据文件0.A.5 打开捕获的数据文件，查看数据包内容0.A.6 设置显示过滤器0.A.8 Wireshar

4、k 高级数据包分析查看网络端点和网络会话；跟踪 TCP 流，图形展示 IO 流和数据流。0.B C 语言编程与网络数据包操作分析熟悉内存数据块的数据保存形式和对其使用不同指针的读取形式所获得的不同数据内容。0.B.1 C 的有关知识回顾1） 了解 ANSI C and ISO C 的 KeywordsC89 has 32 keywords (reserved words with special meaning):autobreakcasecharconstcontinuedefaultdodoubleelseenumexternfloatforgotoifintlongregisterret

5、urnshortsignedsizeofstaticstructswitchtypedefunionunsignedvoidvolatilewhile2） 掌握 C 的有关基本数据类型及其长度类型 长度(bit) 说明char： 8 typical 8-bitsshort： 16 typical 16-bitsint： 16/32 typical 16-bits or 32-bits，bits-number of int must be more than short.long： 32 typical 32-bits， also larger than int3）字符数组和结构体定义（1 ）定

6、义字符数组的语法（2 ）定义结构体的语法（3 ）数据类型的强制类型转换语法4）指针操作（1 ）定义指针变量的语法（2 ）指向字符数组的指针（3 ）指向结构体的指针5）比特位操作( 与、或和移位)0.B.2 C 语言编程练习1） 输出内存地址的 16 进制形式2） 讨论 IPv4 地址的定义和操作定义形式i）定义为 32bit 长度的无符号整数unsigned int ip；ii）定义为 4 个 8bit 长度的无符号字符串unsigned char ip4；实现1)点分十进制形式的输入输出；2)判断是否是合法的 IP 地址；3)判断属于的 IP 地址类别（A、B、C、D 类） ；4)给 IP

7、地址和掩码，给出网络前缀；5)给 2 个 IP 地址和掩码，判断两个 IP 是否属于同一个网络。3）字节序（BYTE ORDER）讨论了解字节序（大端序和小端序）的含义.参考网上资料:http:/zh.wikipedia.org/wiki/字节序。1）如何判断本机的字节序。int main(int argc, char *argv)/怎样判断机器的*字节顺序*是高字节在前还是低字节在前？/1.A.有个使用指针的方法： 2.另外一个可能是用联合。int x = 0x87654321;unsigned char * p;p = (unsigned char *)printf(“%Xn“, x);/

8、87654321for (int i = 0; i 8) ) | ( (0xff memcpy(eth-h_source, saddr, 6);eth-h_proto = htons(type);*eth_frame = frame;*ethframeLen=14+len;return *ethframeLen;1.网络层协议分析1.A 数据包捕获分析部分1.A.1、实验目的1)、了解 ICMP 协议报文类型及作用。2） 、理解 IP 协议报文类型和格式。3） 、分析 ARP 协议的报文格式，理解 ARP 协议的解析过程。1.A.2、实验内容介绍1)、ICMP 协议分析实验执行 ping 和

9、tracert 命令，分别截获报文，分析截获的 ICMP 报文类型和 ICMP 报文格式，理解 ICMP 协议的作用。2)、IP 协议分析实验使用 Ping 命令在两台计算机之间发送数据报，用 Wireshark 截获数据报，分析 IP 数据报的格式，理解 IP V4 地址的编址方法，加深对 IP 协议的理解。3)、IP 数据报分片实验我们已经从前边的实验中看到，IP 报文要交给数据链路层封装后才能发送。理想情况下，每个 IP 报文正好能放在同一个物理帧中发送。但在实际应用中，每种网络技术所支持的最大帧长各不相同。例如：以太网的帧中最多可容纳 1500 字节的数据，这个上限被称为物理网络的最大

10、传输单元（MTU，MaxiumTransfer Unit） 。TCP/IP 协议在发送 IP 数据报文时，一般选择一个合适的初始长度。当这个报文要从一个 MTU 大的子网发送到一个 MTU 小的网络时，IP 协议就把这个报文的数据部分分割成能被目的子网所容纳的较小数据分片，组成较小的报文发送。每个较小的报文被称为一个分片（Fragment ） 。每个分片都有一个 IP 报文头，分片后的数据报的 IP 报头和原始 IP 报头除分片偏移、MF 标志位和校验字段不同外，其他都一样。重组是分片的逆过程，分片只有到达目的主机时才进行重组。当目的主机收到 IP 报文时，根据其片偏移和标志 MF 位判断其是

11、否一个分片。若 MF 为 0，片偏移为 0，则表明它是一个完整的报文；否则，则表明它是一个分片。当一个报文的全部分片都到达目的主机时，IP 就根据报头中的标识符和片偏移将它们重新组成一个完整的报文交给上层协议处理。4)、ARP 协议分析实验本次实验使用的 Windows 自带的 Arp 命令，提供了显示和修改地址解析协议所使用的地址映射表的功能。Arp 命令的格式要求如下：ARP -s inet_addr eth_addr if_addrARP -d inet_addr if_addrARP -a inet_addr -N if_addr其中：-s：在 ARP 缓存中添加表项：将 IP 地址

12、inet_addr 和物理地址 ether_addr 关联，物理地址由以连字符分隔的 6 个十六进制数给定，使用点分十进制标记指定 IP 地址，添加项是永久性的；-d：删除由 inet_addr 指定的表项；-a：显示当前 ARP 表，如果指定了 inet_addr 则只显示指定计算机的 IP 和物理地址；inet_addr：以点分十进制标记指定 IP 地址；-N：显示由 if_addr 指定的 ARP 表项；if_addr：指定需要选择或修改其地址映射表接口的 IP 地址；ether_addr：指定物理地址；1.A.3、实验步骤1)、ICMP 协议分析步骤 1：分别在 PC1 和 PC2 上

13、运行 Wireshark，开始截获报文，为了只截获和实验内容有关的报文，将 Wireshark 的 Captrue Filter 设置为 “No Broadcast and no Multicast”；步骤 2：在 PC1 以 PC2 为目标主机，在命令行窗口执行 Ping 命令；请写出执行的命令：【 】步骤 3：停止截获报文，将截获的结果保存为“ICMP-1- 学号 ”，分析截获的结果，回答下列问题：1）您截获几个 ICMP 报文？分别属于那种类型？答： 2）分析截获的 ICMP 报文，查看表 1.A.1 中要求的字段值，填入表中。表 1.A.1 ICMP 报文分析报文格式报文号 源 IP

14、目的 IP 类型 代码 标识 序列号1617XX+16162【x 为学号后两位】实验捕获的报文数据截图：报文 16报文 17报文 x报文 x+1分析在上表中哪个字段保证了回送请求报文和回送应答报文的一一对应，仔细体会 Ping 命令的作用。如何保证请求报文和应答报文时一一对应的？答： 步骤 4：在 PC1 上运行 Wireshark 开始截获报文；步骤 5：在 PC1 上执行 Tracert 命令，向一个本网络中不存在的主机发送数据报，如：Tracert ；步骤 6：停止截获报文，将截获的结果保存为“ICMP-2- 学号 ”，分析截获的报文，回答下列问题：截获了报文中哪几种 ICMP 报文？其

15、类型码和代码各为多少？答： 在截获的报文中，超时报告报文的源地址是多少？这个源地址指定设备和 PC1 有何关系？答： 通过对两次截获的 ICMP 报文进行综合分析，仔细体会 ICMP 协议在网络中的作用。答：2)、IP 协议分析步骤 1：截获 PC1 上 ping PC2 的报文，结果保存为“IP-学号” ；步骤 4：取序号为学号的数据报，分析 IP 协议的报文格式，完成下列各题：-1）分析 IP 数据报头的格式，完成表 5.2；表 5.2 IP 协议字段 报文信息 说明版本头长服务类型总长度标识标志片偏移生存周期协议校验和源地址目的地址实验捕获的报文数据截图(突出显示分析的报文) ：1） 查

16、看该数据报的源 IP 地址和目的 IP 地址，他们分别是哪类地址？体会 IP 地址的编址方法。答： 3)、IP 数据报分片实验步骤 1：在 PC1、PC2 两台计算机上运行 Wireshark，为了只截获和实验有关的数据报，设置 Wireshark 的截获条件为对方主机的 IP 地址，开始截获报文；步骤 2：在 PC1 上执行如下 Ping 命令，向主机 PC2 发送 4500B 的数据报文：Ping l 4500 n 6 PC2 的 IP 地址步骤 3：停止截获报文，分析截获的报文，回答下列问题：1）以太网的 MTU 是多少？答： 2）对截获的报文分析，将属于同一 ICMP 请求报文的分片找

17、出来，主机 PC1 向主机 PC2 发送的 ICMP 请求报文分成了几个分片？答： 3）若要让主机 PC1 向主机 PC2 发送的数据分为 3 个分片，则 Ping 命令中的报文长度应为多大？为什么？答： 4）将第二个 ICMP 请求报文的分片信息填入表 5.3：表 5.3 ICMP 请求报文分片信息分片序号 标识(Identification) 标志(Flag) 片偏移(Fragment 数据长度4)、ARP 协议分析实验步骤 1：在 PC1、PC2 两台计算机上执行如下命令，清除 ARP 缓存：答： 步骤 2：在 PC1、PC2 两台计算机上执行如下命令，查看高速缓存中的 ARP 地址映射

18、表的内容：答： 步骤 3：在 PC1 和 PC2 上运行 Wireshark 截获报文，为了截获和实验内容有关的报文，Wireshark 的 Captrue Filter 设置为默认方式；步骤 4：在主机 PC1 上执行 Ping 命令向 PC2 发送数据报；步骤 5：执行完毕，保存截获的报文并命名为 “ARP-1-学号” ；步骤 6：在 PC1、PC2 两台计算机上再次执行 ARP a 命令，查看高速缓存中的 ARP 地址映射表的内容：1）这次看到的内容和步骤 2 的内容相同吗？结合两次看到的结果，理解 ARP 高速缓存的作用。答： 把这次看到到的高速缓存中的 ARP 地址映射表写出来或给出

19、截图。接口 IP 地址IP 地址 Internet Address 物理地址 Physical Address 类型 Type 备注步骤 7：重复步骤 45，将此结果保存为 “ARP-2-学号”；步骤 8：打开 arp-1-学号，完成以下各题：1） ）在截获的报文中由几个 ARP 报文？在以太帧中，ARP 协议类型的代码值是什么？答： a） 分析 arp-1 中 ARP 报文的结构，完成表 5.4。表 5.4 ARP 报文分析ARP 请求报文 ARP 应答报文字段 报文信息及参数 字段 报文信息及参数硬件类型 硬件类型协议类型 协议类型硬件地址长度 硬件地址长度协议地址长度 协议地址长度操作

20、操作源站物理地址 源站物理地址源站 IP 地址 源站 IP 地址目的站物理地址 目的站物理地址目的站 IP 地址 目的站 IP 地址1.B 编程构造 IP 数据包部分使用 C 语言构造 IP 数据包程序。1) IPv4 基本定长首部结构体定义struct iphdr ;2)构造 IP 报文unsigned char * Build_IP_Packet(unsigned int d_ip, unsigned int s_ip,unsigned char proto_type, const unsigned char *buf, int len,unsigned char * ippacket,

21、int *iplen)return ippacket;3） IP 校验和计算/TCPIP 协议中的校验和计算unsigned short checksum(unsigned short *ptr, int nbytes)2. 传输层协议分析2.A 数据包捕获分析部分2.1 实验目的理解 TCP 报文首部格式和字段的作用，TCP 连接的建立和释放过程，TCP 数据传输中编号与确认的作用。2.2 实验内容应用 TCP 应用程序传输文件，截取 TCP 报文，分析 TCP 报文首部信息， TCP 连接的建立过程，TCP 数据的编号和确认机制。2.3 实验原理TCP 协议是传输控制协议的简称，工作在网络

22、层协议之上，是面向连接的，可靠的，端到端的传输层协议。1) TCP 的报文格式TCP 报文段分为头部和数据两部分，如图 1：图 1 TCP 报文段的总体结构TCP 首部TCP 数据部分TCP 报文段首部又分为固定部分和选项部分，固定部分为 20B，如图 2 所示，这些字段的组合实现了 TCP 的所有功能。图 2 TCP 报文段的首部0 15 31源端口 目的端口序号确认号头部长度（4bit）保留URGACKPSHRSTSYNFIN窗口校验和 紧急指针选项（长度可变） 填充TCP 采用传输输连接的方式传送 TCP 报文，传输连接包括连接建立、数据传输和连接释放三个阶段。2) TCP 连接的建立T

23、CP 连接建立采用“3 次握手”方式。首先，主机 A 的 TCP 向主机 B 的 TCP 发出连接请求报文段，其首部中的同步位 SYN 应置 1，同时选择一个序号 X，表明在后面传送数据时的第一个数据字节的序号是 X+1，如图3 所示：图 3 TCP 连接建立的 3 次握手过程然后，主机 B 的 TCP 收到连接请求报文段后，若同意，则发回确认。在确认报文段中应将 SYN 和 ACK 都置 1，确认号应为 X+1，同时也为自己选择一个序号 Y。最后，主机 A 的 TCP 收到 B 的确认后，要向 B 发回确认，其 ACK 置 1,确认号为 Y+1，而自己的序号为 X+1。TCP 的标准规定，

24、SYN 置 1 的报文段都要消耗掉一个序号。同时，运行客户进程的主机 A 的 TCP 通知上层应用进程，连接已经建立。当主机 A 向 B 发送第一个数据报文段时，其序号仍为 X+1，因为前一个确认报文段并不消耗序号。当运行服务器进程的主机 B 的 TCP 收到主机 A 的确认后，也通知其上层应用进程，连接已经建立。另外，在 TCP 连接建立的过程中，还利用 TCP 报文段首部的选项字段进行双方最大报文段长度 MSS 协商，确定报文段的数据字段的最大长度。双方都将自己能够支持的 MSS 写入选项字段，比较之后，取较小的值赋给 MSS，并应用于数据传送阶段。3) TCP 数据的传送为了保证 TCP

25、 传输的可靠性，TCP 采用面向字节的方式，将报文段的数据部分进行编号，每个字节对应一个序号。并在连接建立时，双方商定初始序号。在报文段首部中，序号字段和数据部分长度可以确定发送方传送数据的每一个字节的序号，确认号字段则表示接收方希望下次收到的数据的第一个字节的序号，即表示这个序号之前的数据字节均已收到。这样既做到了可靠传输，又做到了全双工通信。当然，数据传送阶段有许多复杂的问题和情况，如流量控制、拥塞控制、重传机制等，被动打开主动打开确认确 认 连接请求主 机 A 主 机 BSYN=1,ACK=0,SEQ=120SYN=1,ACK=1,SEQ=480,AN=120SYN,ACK=1,SEQ=

26、120,AN=4801客 户进 程 服 务 器 进程本次实验不探究。4)TCP 连接的释放在数据传输结束后，通信的双方都可以发出释放连接的请求。TCP 连接的释放采用“4次握手” 。如图应 用 进 程 释放 连 接 通 知 主 机应 用 进 程A不 再发 送 报 文 确 认 应 用 进 程 释放 连 接 确 认 B不 再发 送 报 文FIN,SEQ-XACK,SEQ=Y,ACK=X+1FINACK,SEQ=X+1,ACK=Y+1A B图 4 TCP 连接释放的 4 次握手过程首先，设图 4 中主机 A 的应用进程先向其 TCP 发出释放连接的请求，并且不再发送数据。TCP 通知对方要释放从 A

27、 到 B 这个方向的连接，将发往主机 B 的 TCP 报文段首部的中止位置 1，其序号 X 等于前面已传送过的数据的最后一个字节的序号加 1。主机 B 的 TCP 收到释放连接通知后即发出确认，其序号为 Y，确认号为 X+1，同时通知高层应用进程，如图中的箭头。这样从 A 到 B 的连接就被释放了，连接处于半关闭状态，相当于主机 A 对主机 B 说 “我已经没有数据发送了。但是如果你还有数据要发送，我仍然接收。 ”此后，主机 B 不再接收 A 发来的数据。但若主机 B 还有一些数据要发给 A，则可以继续发送（这种情况很少） 。主机 A 只要正确收到数据，仍然向 B 发送确认。若主机 B 不再向

28、主机 A 发送数据，其应用进程就通知 TCP 释放连接，如图中的箭头。主机 B 发出的连接释放报文段必须将中止位 FIN 和确认位 ACK 置 1，并使其序号仍为Y（因为签名发送的确认报文段不消耗序号） ，但是还必须重复上次已经发送过的ACKX+1 。主机 A 必须对此发出确认，将 ACK 置 1，ACK=Y+1,而自己的序号仍然是 X+1，因为根据 TCP 标准，前面发送过的 FIN 报文段要消耗掉一个序号。这样就把 B 到 A 的反方向的连接释放掉。主机 A 的 TCP 再向其应用进程报告，整个连接已经全部释放。2.4 实验步骤步骤 1 在 Wireshark 中设置过滤条件，协议为 TC

29、P HTTP，地址为本机any，并开始截获报文;步骤 2 打开 .，完成后，保存截获的报文并命名为“TCP 学号” ，分析捕获的报文。这里，TCP 的连接和建立采用的是： 方式，本机是 ，远端主机是 。步骤 3 分析 TCP 连接建立过程的前 3 个报文，填写下表 1：表 1 TCP 建立过程的三个报文信息字段名称 第一条报文 第二条报文 第三条报文报文序号Sequence NunberACK NumberACKSYN步骤 4 分析截获报文中数据发送部分的第一条 TCP 报文及其确认报文，将报文中的字段值填写在表格 2 中。表 2 TCP 报文首部信息字段值字段名 长度发送报文 确认报文字段意

30、义步骤 5 TCP 连接建立时，其报文首部与其它 TCP 报文不同，有一个 option 字段，它的作用是什么？结合 IEEE802.3 协议规定的以太网最大帧长分析此数据是怎么得出来的？步骤 6 分析 TCP 数据传送阶段的前 8 个报文，将报文信息填入表 3：表 3 TCP 数据传送部分的前 8 个报文报文序号报文种类 序号字段 确认号字段数据长度 被确认报文序号 窗口2.5 实验总结在实验中，通过分析截获的 TCP 报文首部信息，可以看到首部中的序号、确认号等字段是 TCP 可靠连接的基础。分析 TCP 头部信息，分析“3 次握手”过程。通过对数据传送阶段报文的初步分析，了解数据的编码和

31、确认机制。总之，TCP 协议中的各项设置都是为了在数据传输时提供可靠的面向连接的服务。2.B 编程构造 UDP 数据包部分使用 C 语言构造 UDP 数据包程序。1) UDP 首部和伪首部结构体定义/* UDP 首部*/struct udphdr;/UDP 中校验使用的伪首部struct pseudo_header;2）构建 UDP 报文数据int build_udp_Package(struct socket_pair * sp,const unsigned char *buf,int len,unsigned char *udpPacket,int *udpPacketLen)3.HTTP

32、 协议分析实验目的在 PC 机上访问 Web 页面，截获报文，分析 HTTP 协议的报文格式和 HTTP 协议的工作过程。实验设备和连接请通过访问可以连接的 WWW 站点来进行实验。实验步骤步骤 1：在 PC 机上运行 Wireshark，开始截获报文，为了只截获和我们要访问的网站相关的数据报，将截获条件设置为 “not broadcast and not multicast”；步骤 2：从浏览器上访问 Web 界面，如 http:/202.202.43.125。打开网页，待浏览器的状态栏出现 “完毕”信息后关闭网页。步骤 3：停止截获报文，将截获的报文命名为“HTTP- 学号”保存。分析截获

33、的报文，回答以下几个问题：1）综合分析截获的报文，查看有几种 HTTP 报文？答： 2）在截获的 HTTP 报文中，任选一个 HTTP 请求报文和对应的 HTTP 应答报文，仔细分析它们的格式，填写表 20 和表 21。表 20 HTTP 请求报文格式方 法 版 本URL首部字段名 字段值 字段所表达的信息AcceptAccept-LanguageUser-AgentHostConnection表 21 HTTP 应答报文格式 版 本 状态码短 语首部字段名 字段值 字段所表达的信息DateServerEtageAccept-RangesLast-Modified3）分析在截获的报文中，客户机

34、与服务器建立了几个连接？服务器和客户机分别使用 了哪几个端口号？答： _4 ）综合分析截获的报文，理解 HTTP 协议的工作过程，将结果填入表 22 中。表 22 HTTP 协议工作过程HTTP 客户机端口号 HTTP 服务器端口号 所包括的报文号 步骤说明实验小结本次实验的主要目的是 在 PC 机上访问 RCMS 的 Web 页面，截获报文，分析 HTTP 协议的报文格式和 HTTP 协议的工作过程。 HTTP 是一个面向事务的客户服务器协议。尽管 HTTP 使用 TCP 作为底层传输协议，但 每个事务都是独立地进行处理。当一个事务开始时，就在万维网客户和服务器之间建立一个 TCP 连接，而

35、当事务结束时就释放这个连接。4.协议分析器程序设计4.1 定义报文头部数据结构4.1.1 UDP 首部和伪首部结构体定义/* UDP 首部*/struct udphdr;/UDP 中校验使用的伪首部struct pseudo_header;4.1.2 IPv4 基本定长首部结构体定义struct iphdr ;4.1.3 以太网帧首部结构体定义struct ethhdr unsigned char h_dest6; /* destination eth addr */unsigned char h_source6; /* source ether addr */unsigned short h

36、_proto; /* packet type ID field */;4.1.4 网络通信 5 元组封装为结构体数据struct socket_pairunsigned char proto_type; /*取值同 IP 头部字段的协议取值*/unsigned short d_port; /*目的端口*/unsigned short s_port; /*源端口*/unsigned char d_ip4; /*目的 IP 地址*/ unsigned char s_ip4; /*源 IP 地址*/ ;4.2 分析显示报文头部信息函数设计4.2.1 以太网帧首部信息显示int print_eth_f

37、rame(const unsigned char *frame_data, int len)struct ethhdr * frame;frame = (struct ethhdr *) frame _data;printf(“n 该帧报类型 ID 为%H ，“, ntohs(frame-h_proto);if(ntohs(frame-h_proto)=0x0800)printf(“上层协议为 IP.n“); return 0;4.2.2 IPv4 基本定长首部信息显示int print_ip_pkt(const unsigned char *pkt_data,int len)4.2.3 UD

38、P 首部信息显示int print_ udp_pkt(const unsigned char *pkt_data,int len)4.3 Winpcap 中打开网络接口捕获数据（参考资料(中文)：http:/ 编程基础当应用程序需要访问原始数据包，即没有被操作系统利用网络协议处理过的数据包时，socket 无法满足需要，WinPcap 为 Win32 应用程序提供这种访问方式。WinPcap(Windows Packet Capture)是 Windows 平台下的链路层网络访问工具，其目的在于为 Windows 应用程序提供访问网络底层的能力。WinPcap 允许应用程序直接利用网络驱动程序

39、发送和接收报文，避免了原来的协议栈处理过程。Winpcap 是基于 Win32 平台的网络包截获和分析的系统，它是 Libpcap 的Windows 版本。5.1 Winpcap 开发环境的安装配置1）C 语言编程（编译）环境集成开发环境：Visual C+ 6.0（淘汰） ；VS Express 2010+（推荐 Visual Studio Express 2013 for Windows Desktop） ； CodeLite；Code:Blocks；Dev-C+。2）下载安装 WinPcap 驱动WinPcap 驱动程序、Dll 文件（如果系统已经安装了 Wireshark，则应该默认已

40、经安装了 WinPcap 驱动）WinPcap V4.1.2： http:/www.winpcap.org/install/bin/WinPcap_4_1_2.exe。下载并安装。3）下载 WinPcap Developers Pack库文件、头文件、简单的示例程序代码和帮助文件。WinPcap V4.1.2 Developers Pack：http:/www.winpcap.org/install/bin/WpdPack_4_1_2.zip。下载到本地并解压缩到某个目录，如”d:/”，并找到其中的 LIB 和 Include 目录，5.2 中配置环境需要使用。4）帮助参考网址 WinPcap

41、 技术手册 V4.1.2 (an offline version can be found in the developers pack) ：http:/www.winpcap.org/docs/docs_412/index.html WinPcap 中文技术手册 V4.01（翻译版）：http:/ 配置环境5.2.1 VC+6.0 环境下的配置1）到 http:/www.winpcap.org/devel.htm 下载安装包 和 Developers Pack.2）安装 winpcap 驱动，解压 Developers Pack，分别找到 LIB 和 Include 目录。3） VC+6.0

42、 中配置添加 WinPcap Developers Pack 的 lib 和 Include 目录打开 VC+，首先在 Tools=Options=Directories,分别配置 lib 和 Include 目录。当中Show Directories for 可以指定相应的文件目录。4） VC+6.0 中工程项目的设置（打开 VC+，创建工程）在 Project=Settings=Link=Object/Library Modules 里面添加需要的 LIB. (Packet.lib wpcap.lib ws2_32.lib)；在 Project=Setting=C/C+=Preproces

43、sor，增加预处理定义： WPCAP 和HAVE_REMOTE；在使用 WinPcap 函数的所有源文件中包含 pcap.h（#include “pcap.h”）头文件。5.2.2 Visual Studio Express 2013 环境下的配置1） .到 http:/www.winpcap.org/devel.htm 下载“Winpcap 驱动安装包”和“Developers Pack 开发包” 。2） .安装驱动，解压开发包(解压 Developers Pack 时, 分别找到 LIB 和 Include 目录） ；3） .启动 VSE2013，创建工程，设置环境在菜单：项目*属性选项(

44、Alt+F7)，弹出的属性页对话框中： VC+目录“包含目录” ，添加开发包 Include 目录； VC+目录“库目录” ， 添加开发包的 lib 目录； C/C+预处理器预处理器定义，添加“WPCAP”； 链接器输入附加依赖项，添加 wpcap.lib 和 ws2_32.lib。 在使用 WinPcap 函数的源文件中包含 pcap.h（#include “pcap.h”）头文件。5.3 Winpcap 捕获数据包程序的创建5.3.1 新建“win32 控制台应用程序”类别的空项目5.3.2 设置项目开发环境5.3.3 创建头文件和 C 语言源代码文件参考下列连接中的代码：http:/ 编译运行调试程序5.4 Winpcap 发送数据包程序的创建5.4.1 新建“win32 控制台应用程序”类别的空项目5.4.2 设置项目开发环境5.4.3 创建头文件和 C 语言源代码文件参考下列连接中的代码：http:/ (打开适配器并捕获数据包)http:/ 编译运行调试程序（使用 wireshark 捕获到你发送的数据包。 ）