请教有关截包的原理

[lbskeleton]

我不太明白有关截包的一些原理！使用pcap库，上写明的是网关级截包，说明想要截包必须通过在网关进行协议转换的时候进行，***但是本地以太局域网任何一节点能否做到截包***，我看一些windows NDIS的普通资料上写的可以截包，但并没说明需要什么条件。
此外在局域网使用嗅探器，会降低网络性能，是为什么？
请大虾们指教或给与这方面的资料

[netsys2]

sniffer的专题讨论

http://search.csdn.net/Expert/topic/2333/2333459.xml?temp=.2560083

[lbskeleton]

那什么是截包那?
是在本地系统的协议栈中进行截包,还是可以拦截网络中发往其它地址的数据包?
如果是后者,能在共享介质的局域网络中进行吗(无网关的同网段网络)?

[kingzai]

你还是先了解sniffer的原理吧,sniffer抓的是同一局域网的广播数据包,嗅探出的只是一份包的拷贝,不会降低局域网性能的.

[saoyu]

截包常用的tools有sniffer pro和ethereal
在本地也是可以截的，截获到的packet是你监听的那个网卡。

[lbskeleton]

对不起!可能是我问题没有说清楚!我知道以太网是基于载波监听的,介质共享使网络中的数据能被同介质上的所有NIC收到,
但是,我看一份资料上提到数据包拦截(不是嗅探的抓包,),而且在pcap库的资料上提到过,pcap库可以做到网关上的拦截(既在发向另一个网络接口时过滤掉),所以我想问的是这个有过滤功能的"截包"是怎么回事!
不好意思,没说清楚,谢谢再指教!

[CWYCN]

up

[lbskeleton]

继续顶一下

[huxzjqhh]

应用层截包的模型，主要的流程如下：

接收报文过程：
1. 网络接口收到报文，中间层截取，通过2送到应用层处理；
2. 应用层处理后，送回中间层处理结果；
3. 中间层根据处理结果，丢弃该报文，或者将处理后的报文通过1送到IP协议；
4. IP协议及上层应用接收到报文；

发送报文过程：
1. 上层应用发送数据，从而IP协议发送报文；
2. 报文被中间层截取，通过2送到应用层处理；
3. 应用层处理后，送回中间层处理结果；
4. 中间层根据处理结果，丢弃该报文，或者将处理后的报文发送到网络上；

[lbskeleton]

对不起!可能是我问题没有说清楚!我知道以太网是基于载波监听的,介质共享使网络中的数据能被同介质上的所有NIC收到,
但是,我看一份资料上提到数据包拦截(不是嗅探的抓包,),而且在pcap库的资料上提到过,pcap库可以做到网关上的拦截(既在发向另一个网络接口时过滤掉),所以我想问的是这个有过滤功能的"截包"是怎么回事!
不好意思,没说清楚,谢谢再指教!(继续顶)

[kingzai]

我原来做过的一个东西是通过发送rst包中断tcp连接达到"过滤"的目的.

[sevencat]

winpcap不能正当渠道截包，因为WINPCAP仅在NDIS里面注册了一个协议驱动，没有注册为IM驱动，好像仅仅是旁路了一下包而已，并不能阻断。