如何才能截获以太网帧的以太网首部数据

[tuqvb]

要软件方式实现哦...

[孙亖]

up

[oldworm]

最简单的方式是用winpcap

首部是这样定义的(等等，去找我的老程序）

/******************************************
该文件中的结构都是从linux操作系统原代码
中拷贝出来并整理的，一些定义可能作了一
些修改。

袁斌/oldworm/[e-mail]
******************************************/

typedef struct eth_address
{
uchar ether_addr[6];
}eth_address;


typedef struct ethhdr
{
uchar ether_dhost[6]; //目标MAC地址
uchar ether_shost[6]; //原始MAC地址
ushort ether_type; //以太帧类型
}ethhdr;


/* Ethernet protocol ID's */
#define ETHERTYPE_PUP 0x0002 /* Xerox PUP */
#define ETHERTYPE_IP 0x0008 /* IP */
#define ETHERTYPE_ARP 0x0608 /* Address resolution */
#define ETHERTYPE_REVARP 0x3580 /* Reverse ARP */


typedef struct iphdr
{
unsigned char version:4; //version
unsigned char ihl:4; //ip header length
uchar tos; //type of service
ushort tot_len; //total length
ushort id; //identification
ushort frag_off; //fragment offset
uchar ttl; //time to live
uchar protocol; //protocol type
ushort check; //check sum
uint saddr; //source address
uint daddr; //destination address
}iphdr;


//fragment flag define.
#define IP_RF 0x8000 /* reserved fragment flag */
#define IP_DF 0x4000 /* dont fragment flag */
#define IP_MF 0x2000 /* more fragments flag */
#define IP_OFFMASK 0x1fff /* mask for fragmenting bits */

#define IPVERSION 4 /* IP version number */
#define IP_MAXPACKET 65535 /* maximum packet size */


//---tcp---------------------------------------------------------
typedef uint tcp_seq;
/*
* TCP header.
* Per RFC 793, September, 1981.
*/
typedef struct tcphdr
{
ushort th_sport; /* source port */
ushort th_dport; /* destination port */
tcp_seq th_seq; /* sequence number */
tcp_seq th_ack; /* acknowledgement number */
uchar th_off:4; /* data offset */
uchar th_x2:4; /* (unused) */
uchar th_flags;
ushort th_win; /* window */
ushort th_sum; /* checksum */
ushort th_urp; /* urgent pointer */
}tcphdr;


//th_flags define.
# define TH_FIN 0x01
# define TH_SYN 0x02
# define TH_RST 0x04
# define TH_PUSH 0x08
# define TH_ACK 0x10
# define TH_URG 0x20


typedef struct PACKETHEAD
{
ethhdr eth;
iphdr ip;
tcphdr tcp;
}PACKETHEAD;


typedef struct TCPPACKET
{
PACKETHEAD *h;
char *pdata;
int datalen;
}TCPPACKET;

[zhaoweidf]

WinPcap 2.3

可以

[zhaoweidf]

...发完了呵呵

[2ndboy]

WinPcap应该也可以，但是它能发包吗？我想知道

[tuqvb]

呜呼,我不知道WinpCap是什么东西.
哪位高手能说一下么?

[oldworm]

WinPcap is an architecture for packet capture and network analysis for the Win32 platforms. It includes a kernel-level packet filter, a low-level dynamic link library (packet.dll), and a high-level and system-independent library (wpcap.dll, based on libpcap version 0.6.2).

winpcap主页：
winpcap.polito.it

[kingzai]

you can use winpcap or raw socket.there is an example in codeguru.
http://codeguru.earthweb.com/network/ipmon.html

[紫郢剑侠]

GZ

UP

[tuqvb]

http://codeguru.earthweb.com/network/ipmon.html连不上,能不能发给我呢?
[e-mail]

[bigbigtree]

winpcap只是个截包程序，如果想要发包，可以使用ndis的IMD层开发接口，用DDK进行开发，或者用driverstudio，在链路层，sniffer就是用这个实现的!不过这个接口的安装不太好办，要到MS去做认证，不然会pop一大堆的数学签名窗口，很烦!
还有一种技术叫ndis hook，是hook出ndis的一些函数，然后做成服务的形式，这是一种MS不recommonded的方式!

你可以到driverdevelop.com上看看，ndis开发接口!

[azlza]

少来，我用winpcap做过PPPoE server。怎么只能截包呢。winpcap收发包都可以。我想性能应该在NDIS之上，NDIS应该是驱动之上的东西吧？所以不用搞什么网卡驱动

[cai3995]

NDIS不是网卡驱动，它工作在NIC之上，只能算是非常底层的技术。

nids hook技术很不错，你可以到www.pcausa.com看看
这个公司做的非常好

[2ndboy]

to azlza(微笑)

这么说 Winpcap 可以发包了！那它发的包只是 IP 包还是带有 MAC 头？

[tuqvb]

哪里能弄到Winpcap的SDK啊,拜托大家乐

[XDT]

好象Winpcap也是只能工作在NDIS下吧。。。。。

[2ndboy]

去官方网站下载啊，上面不是有人贴了吗？

[2ndboy]

有谁知道 Winpcap 发的包只是 IP 包还是带有 MAC 头？

[tuqvb]

我这里对国外是封锁了的

[tuqvb]

太不幸了