伴随着NPF驱动细节的Winpcap的结构

〖NPF结构基础〗 　　下图表现了伴随着NPF驱动细节的Winpcap的结构。 　　〖抓包〗 　　抓包是NPF最重要的操作。在抓包的时候，驱动使用一个网络接口监视着数据包，并将这些数据包完整无缺地投递给用户级应用程序。 　　抓包过程依赖于两个主要组件： 　　一个数据包过滤器，它决定着是否接收进来的数据包并把数据包拷贝给监听程序。数据包过滤器是一个有布尔输出的函数。如果函数值是true，抓包驱动拷贝数据包给应用程序；如果是false，数据包将被丢弃。NPF数据包过滤器更复杂一些，因为它不仅决定数据包是否应该被保存，而且还得决定要保存的字节数。被NPF驱动采用的过滤系统来源于BSD Packet Filter（BPF），一个虚拟处理器可以执行伪汇编书写的用户级过滤程序。应用程序采用用户定义的过滤器并使用wpcap.dll将它们编译进BPF程序。然后，应用程序使用BIOCSETF IOCTL写入核心态的过滤器。这样，对于每一个到来的数据包该程序都将被执行，而满足条件的数据包将被接收。与传统解决方案不同，NPF不解释（interpret）过滤器，而是执行（execute）它。由于性能的原因，在使用过滤器前，NPF提供一个JIT编译器将它转化成本地的80x86函数。当一个数据包被捕获，NPF调用这个本地函数而不是调用过滤器解释器，这使得处理过程相当快。 　　一个循环缓冲区，用来保存数据包并且避免丢失。一个保存在缓冲区中的数据包有一个头，它包含了一些主要的信息，例如时间戳和数据包的大小，但它不是协议头。此外，以队列插入的方式来保存数据包可以提高数据的存储效率。可以以组的方式将数据包从NPF缓冲区拷贝到应用程序。这样就提高了性能，因为它降低了读的次数。如果一个数据包到来的时候缓冲区已经满了，那么该数据包将被丢弃，因此就发生了丢包。

[编辑本段]【Winpcap程序实例】

　　获得网卡接口。在普通的SOCKET编程中，对双网卡编程是不行的。当主机为双网卡时，本程序可分别获得两张网卡各自的描述结构及地址，然后可以对它们分别进行操作。返回的alldevs队列首部为逻辑网卡，一般不对它进行什么操作。 　　（一）获得网卡接口 　　＃i nclude "pcap.h" 　　void main() 　　{ 　　pcap_if_t *alldevs; 　　/*struct pcap_if_t{ 　　pcap_if_t *next; 　　char *name; 　　char *description; 　　pcap_addr *addresses; 　　U_int falgs; 　　} 　　*/ 　　pcap_if_t *d; 　　int i=0; 　　char errbuf[PCAP_ERRBUF_SIZE]; 　　/* Retrieve the device list */ 　　if (pcap_findalldevs(&alldevs, errbuf) == -1)//返回网卡列表，alldevs指向表头 　　{ 　　fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf); 　　exit(1); 　　} 　　/* Print the list */ 　　for(d=alldevs;d;d=d->next) 　　{ 　　printf("%d. %s", ++i, d->name); 　　if (d->description) 　　printf(" (%s)\n", d->description); 　　else printf(" (No description available)\n"); 　　} 　　if(i==0) 　　{ 　　printf("\nNo interfaces found! Make sure WinPcap is installed.\n"); 　　return; 　　} 　　/* We don't need any more the device list. Free it */ 　　pcap_freealldevs(alldevs); 　　} 　　-------------------------------------------------------------------------------- 　　（二）抓包 　　本程序俘获局域网内UDP报文。 　　＃i nclude "pcap.h" 　　/* 4 bytes IP address */ 　　typedef struct ip_address{ 　　u_char byte1; 　　u_char byte2; 　　u_char byte3; 　　u_char byte4; 　　}ip_address; 　　/* IPv4 header */ 　　typedef struct ip_header{ 　　u_char ver_ihl; // Version (4 bits) + Internet header length (4 bits) 　　u_char tos; // Type of service 　　u_short tlen; // Total length 　　u_short identification; // Identification 　　u_short flags_fo; // Flags (3 bits) + Fragment offset (13 bits) 　　u_char ttl; // Time to live 　　u_char proto; // Protocol 　　u_short crc; // Header checksum 　　ip_address saddr; // Source address 　　ip_address daddr; // Destination address 　　u_int op_pad; // Option + Padding 　　}ip_header; 　　/* UDP header*/ 　　typedef struct udp_header{ 　　u_short sport; // Source port 　　u_short dport; // Destination port 　　u_short len; // Datagram length 　　u_short crc; // Checksum 　　}udp_header; 　　/* prototype of the packet handler */ 　　void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data); 　　main() 　　{ 　　pcap_if_t *alldevs; 　　pcap_if_t *d; 　　int inum; 　　int i=0; 　　pcap_t *adhandle; 　　char errbuf[PCAP_ERRBUF_SIZE]; 　　u_int netmask; 　　char packet_filter[] = "ip and udp"; 　　struct bpf_program fcode; 　　/* Retrieve the device list */ 　　if (pcap_findalldevs(&alldevs, errbuf) == -1) 　　{ 　　fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf); 　　exit(1); 　　} 　　/* Print the list */ 　　for(d=alldevs; d; d=d->next) 　　{ 　　printf("%d. %s", ++i, d->name); 　　if (d->description) 　　printf(" (%s)\n", d->description); 　　else 　　printf(" (No description available)\n"); 　　} 　　if(i==0) 　　{ 　　printf("\nNo interfaces found! Make sure WinPcap is installed.\n"); 　　return -1; 　　} 　　printf("Enter the interface number (1-%d):",i); 　　scanf("%d", &inum); 　　if(inum < 1 || inum > i) 　　{ 　　printf("\nInterface number out of range.\n"); 　　/* Free the device list */ 　　pcap_freealldevs(alldevs); 　　return -1; 　　} 　　/* Jump to the selected adapter */ 　　for(d=alldevs, i=0; i< inum-1 ;d=d->next, i++); 　　/* Open the adapter */ 　　if ( (adhandle= pcap_open_live(d->name, // name of the device 　　65536, // portion of the packet to capture. 　　// 65536 grants that the whole packet will be captured on all the MACs. 　　1, // promiscuous mode 　　1000, // read timeout 　　errbuf // error buffer 　　) ) == NULL) 　　{ 　　fprintf(stderr,"\nUnable to open the adapter. %s is not supported by WinPcap\n"); 　　/* Free the device list */ 　　pcap_freealldevs(alldevs); 　　return -1; 　　} 　　/* Check the link layer. We support only Ethernet for simplicity. */ 　　if(pcap_datalink(adhandle) != DLT_EN10MB) 　　{ 　　fprintf(stderr,"\nThis program works only on Ethernet networks.\n"); 　　/* Free the device list */ 　　pcap_freealldevs(alldevs); 　　return -1; 　　} 　　if(d->addresses != NULL) 　　/* Retrieve the mask of the first address of the interface */ 　　netmask=((struct sockaddr_in *)(d->addresses->netmask))->sin_addr.S_un.S_addr; 　　else 　　/* If the interface is without addresses we suppose to be in a C class network */ 　　netmask=0xffffff; 　　//compile the filter 　　if(pcap_compile(adhandle, &fcode, packet_filter, 1, netmask) <0 ){ 　　fprintf(stderr,"\nUnable to compile the packet filter. Check the syntax.\n"); 　　/* Free the device list */ 　　pcap_freealldevs(alldevs); 　　return -1; 　　} 　　//set the filter 　　if(pcap_setfilter(adhandle, &fcode)<0){ 　　fprintf(stderr,"\nError setting the filter.\n"); 　　/* Free the device list */ 　　pcap_freealldevs(alldevs); 　　return -1; 　　} 　　printf("\nlistening on %s...\n", d->description); 　　/* At this point, we don't need any more the device list. Free it */ 　　pcap_freealldevs(alldevs); 　　/* start the capture */ 　　pcap_loop(adhandle, 0, packet_handler, NULL); 　　return 0; 　　} 　　/* Callback function invoked by libpcap for every incoming packet */ 　　void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data) 　　{ 　　struct tm *ltime; 　　char timestr[16]; 　　ip_header *ih; 　　udp_header *uh; 　　u_int ip_len; 　　/* convert the timestamp to readable format */ 　　ltime=localtime(&header->ts.tv_sec); 　　strftime( timestr, sizeof timestr, "%H:%M:%S", ltime); 　　/* print timestamp and length of the packet */ 　　/* retireve the position of the ip header */ 　　ih = (ip_header *) (pkt_data + 　　14); //length of ethernet header 　　/* retireve the position of the udp header */ 　　ip_len = (ih->ver_ihl & 0xf) * 4; 　　uh = (udp_header *) ((u_char*)ih + ip_len); 　　/* convert from network byte order to host byte order */ 　　printf("%s.%.6d len:%d ", timestr, header->ts.tv_usec, header->len); 　　/* print ip addresses */ 　　printf("%d.%d.%d.%d -> %d.%d.%d.%d\n", 　　ih->saddr.byte1, 　　ih->saddr.byte2, 　　ih->saddr.byte3, 　　ih->saddr.byte4, 　　ih->daddr.byte1, 　　ih->daddr.byte2, 　　ih->daddr.byte3, 　　ih->daddr.byte4 　　); 　　} 　　-------------------------------------------------------------------------------- 　　（三）发包 　　要在命令行下运行，给与参数：网卡描述符。或者添加代码findalldevs（），那样应很方便。 　　＃i nclude <stdlib.h> 　　＃i nclude <stdio.h> 　　＃i nclude 　　void usage(); 　　void main(int argc, char **argv) { 　　pcap_t *fp; 　　char error[PCAP_ERRBUF_SIZE]; 　　u_char packet[100]; 　　int i; 　　/* Check the validity of the command line */ 　　if (argc != 2) 　　{ 　　printf("usage: %s inerface", argv[0]); 　　return; 　　} 　　/* Open the output adapter */ 　　if((fp = pcap_open_live(argv[1], 100, 1, 1000, error) ) == NULL) 　　{ 　　fprintf(stderr,"\nError opening adapter: %s\n", error); 　　return; 　　} 　　/* Supposing to be on ethernet, set mac destination to 1:1:1:1:1:1 */ 　　packet[0]=1; 　　packet[1]=1; 　　packet[2]=1; 　　packet[3]=1; 　　packet[4]=1; 　　packet[5]=1; 　　/* set mac source to 2:2:2:2:2:2 */ 　　packet[6]=2; 　　packet[7]=2; 　　packet[8]=2; 　　packet[9]=2; 　　packet[10]=2; 　　packet[11]=2; 　　/* Fill the rest of the packet */ 　　for(i=12;i<100;i++){ 　　packet=i%256; 　　} 　　/* Send down the packet */ 　　pcap_sendpacket(fp, 　　packet, 　　100); 　　return; 　　} 　　

[编辑本段]winpcap卸载不干净的解决方法

　　[1][2]winpcap卸载不干净的的时候，在windows下删除一些文件即可，删除下面的文件即可： 　　c:\windows\system32\Packet.dll 　　c:\windows\system32\drivers/npf.sys 　　c:\windows\system32\WanPacket.dll 　　c:\windows\system32\wpcap.dll 　　c:\windows\system32\pthreadVC.dll