深度剖析WinPcap之(二)

1、工欲善其事，必先利其器。為了有利于深入了解 WinPcap的內(nèi)部機(jī)制，我們需要 對(duì)網(wǎng)絡(luò)分析與嗅探、網(wǎng)絡(luò)模型與硬件基礎(chǔ)作必要了解。1.1 什么是網(wǎng)絡(luò)分析與嗅探網(wǎng)絡(luò)分析 （Network analysis） （ 也稱為網(wǎng)絡(luò)流量分析、協(xié)議分析、嗅探、數(shù) 據(jù)包分析、竊聽(tīng)，等等 ） 就是通過(guò)捕獲網(wǎng)絡(luò)流量并深入檢查，來(lái)決定網(wǎng)絡(luò)中發(fā)生 了什么情況的過(guò)程。 一個(gè)網(wǎng)絡(luò)分析器對(duì)通用協(xié)議的數(shù)據(jù)包進(jìn)行解碼， 并以可讀的 格式顯示網(wǎng)絡(luò)流量的內(nèi)容。嗅探器（ sniffer ）是一種監(jiān)視網(wǎng)絡(luò)上所傳輸數(shù)據(jù)的 程序。未經(jīng)授權(quán)的嗅探器對(duì)網(wǎng)絡(luò)安全構(gòu)成威脅， 因?yàn)樗鼈兒茈y被發(fā)現(xiàn)并且可在任 何地方被插入，這使得它們成為黑客最喜歡使用的

2、一種工具。網(wǎng)絡(luò)分析器之間的差別， 在于諸如支持能解碼的協(xié)議數(shù)量、 用戶接口、 圖形 化與統(tǒng)計(jì)能力等主要特性的不同。 其它的差別還包括了推理能力 （比如， 專(zhuān)家分 析特性）與數(shù)據(jù)包解碼的質(zhì)量。 盡管幾個(gè)不同的網(wǎng)絡(luò)分析器針對(duì)同一個(gè)協(xié)議進(jìn)行 解碼，但在實(shí)際環(huán)境中可能其中的一些會(huì)比另外一些工作得更好。圖 2-1 為 Wireshark 網(wǎng)絡(luò)分析器的顯示窗口。 一個(gè)典型的網(wǎng)絡(luò)分析器用三個(gè) 窗格顯示所捕獲的網(wǎng)絡(luò)流量：圖2-1 Wireshark網(wǎng)絡(luò)分析器的顯示窗口概要 該窗格對(duì)所捕獲的內(nèi)容顯示一行概要。包含日期、時(shí)間、源地址、目 標(biāo)地址、與最高層協(xié)議的名字與信息字段。詳情該窗格提供所捕獲數(shù)據(jù)包所包含的每層

3、細(xì)節(jié)信息（采用樹(shù)形結(jié)構(gòu)）。數(shù)據(jù)該窗格用十六進(jìn)制與文本格式顯示原始的被捕獲數(shù)據(jù)。一個(gè)網(wǎng)絡(luò)分析器是由硬件與軟件共同組成?？梢允且粋€(gè)帶有特定軟件的單獨(dú) 硬件設(shè)備，或者是安裝在臺(tái)式電腦或膝上電腦之上的一個(gè)軟件。 盡管每種產(chǎn)品之 間具有差別，但都是由下列五個(gè)基本部分組成。硬件多數(shù)網(wǎng)絡(luò)分析器是基于軟件的，并工作于標(biāo)準(zhǔn)的操作系統(tǒng)與網(wǎng)卡之上。 然而，一些硬件網(wǎng)絡(luò)分析器提供額外的功能，諸如分析硬件故障（比如循環(huán)冗余糾錯(cuò)（CRC錯(cuò)誤、電壓?jiǎn)栴}、網(wǎng)線問(wèn)題、抖動(dòng)、逾限（jabber ）、協(xié)商錯(cuò)誤等 等）。一些網(wǎng)絡(luò)分析器僅支持以太網(wǎng)或無(wú)線網(wǎng)適配器，而其它的可支持多重適配器，并允許用戶定制它們的配置。依據(jù)實(shí)際情況，可能也

4、需要一個(gè)集線器或一個(gè) 網(wǎng)線探針（cable tap ）連接已有的網(wǎng)線。捕獲驅(qū)動(dòng)器 這是網(wǎng)絡(luò)分析器中負(fù)責(zé)從網(wǎng)線上捕獲原始網(wǎng)絡(luò)流量的部分。它 濾出了所需保持的流量， 并把所捕的獲數(shù)據(jù)保存在一個(gè)緩沖區(qū)中。 這是網(wǎng)絡(luò)分析 器的核心沒(méi)有它就無(wú)法捕獲數(shù)據(jù)。緩沖區(qū) 該組件存儲(chǔ)所捕獲的數(shù)據(jù)。數(shù)據(jù)能夠被存入一個(gè)緩沖區(qū)中只到該緩 沖區(qū)被填滿為止， 或者采用循環(huán)緩沖的方式， 那么最新的數(shù)據(jù)將會(huì)替換最舊的數(shù) 據(jù)。采用磁盤(pán)或內(nèi)存均可實(shí)現(xiàn)緩沖區(qū)。實(shí)時(shí)分析 當(dāng)數(shù)據(jù)一離開(kāi)網(wǎng)線，該特性就可對(duì)數(shù)據(jù)執(zhí)行分析。一些網(wǎng)絡(luò)分析 器利用該特性發(fā)現(xiàn)網(wǎng)絡(luò)性能問(wèn)題、同時(shí)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)利用它尋找入侵活動(dòng)。解碼（ 器） 該組件顯示網(wǎng)絡(luò)流量的內(nèi)容（帶有描述），所