WinPcap 中文技术手册

4.1.2

Authors:

The WinPcap Team

Home page:

http://www.winpcap.org

---

模块

• WinPcap 用户手册
  • 定义
  • 输出函数
  • 过滤串表达式的语法
  • 在你的程序中使用 WinPcap
  • WinPcap 教程： 循序渐进教您使用WinPcap
    • 获取设备列表
    • 获取已安装设备的高级信息
    • 打开适配器并捕获数据包
    • 不用回调方法捕获数据包k
    • 过滤数据包
    • 分析数据包
    • 处理脱机堆文件
    • 发送数据包
    • 收集并统计网络流量
• WinPcap 核心资料
  • NPF 核心驱动手册
    • NPF 结构与定义
    • NPF 函数
  • Packet.dll -- 数据包驱动 API
  • 如何编译 WinPcap
• 远程捕获
  • 输出结构与定义
  • 外部函数. 对于提供远程捕获的函数引用, 请参阅WinPcap 输出函数 章节的 "Windows-specific Extensions" .
  • 内核数据结构与定义

---

介绍

本手册提供了WinPcap编程接口的描述及其源代码。它与详尽的WinPcap核心资料一起，为编程人员提供了详细的函数与结构的描述，同时也提供了若干教程和程序范例。

您可以点击页面顶部的导航链接，来跳转到您感兴趣的内容。

什么是WinPcap

WinPcap是一个基于Win32平台的，用于捕获网络数据包并进行分析的开源库.

大多数网络应用程序通过被广泛使用的操作系统元件来访问网络，比如sockets。 这是一种简单的实现方式，因为操作系统已经妥善处理了底层具体实现细节（比如协议处理，封装数据包等等），并且提供了一个与读写文件类似的，令人熟悉的接口。

然而，有些时候，这种“简单的方式”并不能满足任务的需求，因为有些应用程序需要直接访问网络中的数据包。也就是说，那些应用程序需要访问原始数据包，即没有被操作系统利用网络协议处理过的数据包。

WinPcap产生的目的，就是为Win32应用程序提供这种访问方式； WinPcap提供了以下功能:

• 捕获原始数据包，无论它是发往某台机器的，还是在其他设备（共享媒介）上进行交换的
• 在数据包发送给某应用程序前，根据用户指定的规则过滤数据包
• 将原始数据包通过网络发送出去
• 收集并统计网络流量信息

以上这些功能需要借助安装在Win32内核中的网络设备驱动程序才能实现，再加上几个动态链接库DLL

所有这些功能都能通过一个强大的编程接口来表现出来,易于开发，并能在不同的操作系统上使用。这本手册的主要目标是在一些程序范例的帮助下，叙述这些编程接口的使用。 如果您现在就想开始摸索这些功能，您可以直接进入 WinPcap 用户手册.

哪些程序在使用WinPcap

WinPcap可以被用来制作许多类型的网络工具，比如具有分析，解决纷争，安全和监视功能的工具。特别地，一些基于WinPcap的典型应用有:

• 网络与协议分析器 (network and protocol analyzers)
• 网络监视器 (network monitors)
• 网络流量记录器 (traffic loggers)
• 网络流量发生器 (traffic generators)
• 用户级网桥及路由 (user-level bridges and routers)
• 网络入侵检测系统 (network intrusion detection systems (NIDS))
• 网络扫描器 (network scanners)
• 安全工具 (security tools)

什么是WinPcap做不到的

WinPcap能 独立地 通过主机协议发送和接受数据，如同TCP-IP。这就意味着WinPcap不能阻止、过滤或操纵同一机器上的其他应用程序的通讯：它仅仅能简单地"监视"在网络上传输的数据包。所以，它不能提供类似网络流量控制、服务质量调度和个人防火墙之类的支持

本手册的目标

本手册的目的是提供一个全面而简单的方法来让您浏览WinPcap的设计文档。你会找到两个主要部分: WinPcap 用户手册 and WinPcap 核心资料.

第一部分内容主要适合那些需要利用WinPcap开发应用程序的编程人员： 它包含了WinPcap API的所有函数和数据结构的信息， 说明部分解释了如何编写一个数据包过滤器，而另一个页面则解释了如何将它包含到应用程序中。一个教程也提供了若干个程序范例，您可以使用它来循序渐进地学习WinPcap API的基本使用方法，不过有时候，它也会提供一些高级应用的代码片断。

第二部分内容主要为WinPcap的开发、维护人员，以及那些希望了解系统工作原理的人士而准备。它描述了WinPcap的主要设计方法，并解释了它是如何工作的。另外，它阐述了完整的设备驱动的数据结构及源代码，packet.dll的接口以及底层的WinPcap的API。如果您想了解WinPcap内部发生了什么，或者您想去扩展它，那么请您阅读此部分内容。

附加文档

最新最及时的文档，请访问 http://www.winpcap.org/docs/

特别地，如果您对WinPcap的系统结构和核心内容感兴趣，我们建议您阅读下列内容:

• Fulvio Risso, Loris Degioanni, An Architecture for High Performance Network Analysis, Proceedings of the 6^th IEEE Symposium on Computers and Communications (ISCC 2001), Hammamet, Tunisia, July 2001
• Loris Degioanni, Mario Baldi, Fulvio Risso and Gianluca Varenni, Profiling and Optimization of Software-Based Network-Analysis Applications, Proceedings of the 15^th IEEE Symposium on Computer Architecture and High Performance Computing (SBAC-PAD 2003), Sao Paulo, Brasil, November 2003
• Loris Degioanni, Development of an Architecture for Packet Capture and Network Traffic Analysis, Graduation Thesis, Politecnico Di Torino (Turin, Italy, Mar. 2000)

术语

• 了文献的一致性, 我们会使用术语 数据包 packet 尽管用术语 帧 frame 会更加准确，因为捕获过程是在数据链路层完成的，并且数据链路首部也包含在被捕获的数据中。
• 本文档中使用的术语 Win9x 表示与Windows95同一体系的微软操作系统，如Windows 98和Windows ME。 术语 WinNTx 表示基于NT内核的操作系统，从Windows NT 4开始，包含了Windows 2000,Windows XP,Windows Server 2003等

附注

我们主要会致力于开发基于Windows NT/2000/XP/2003版本的WinPcap及其相关文档。这一选择是基于这样一个事实，大多数WinPcap用户都工作在NTx系统上，而且9x技术已经被微软放弃。此外，我们假定，使用PC机来完成类似网络分析这样高级任务的用户，都会安装高级的操作系统。鉴于这个原因，本文档将参考WinNTx的驱动和API。Win9x版本在概念上很类似，不过有时在执行上有些不同。在有些场合，Win9x版本的API缺少一些高级功能。这本手册会给出一个完整的API描述，并会指出那些只有WinNTx才得到支持的函数。