簡(jiǎn)介這份實(shí)驗(yàn)源碼包面向計(jì)算機(jī)網(wǎng)絡(luò)安全課程學(xué)習(xí)者與準(zhǔn)備復(fù)現(xiàn)經(jīng)典抓包實(shí)驗(yàn)的高校學(xué)生圍繞基于Winpcap的數(shù)據(jù)分析器嗅探器實(shí)現(xiàn)涵蓋數(shù)據(jù)包捕獲、協(xié)議解析、界面展示以及ARP欺騙構(gòu)造中間人攻擊等核心環(huán)節(jié)適合在課程實(shí)驗(yàn)、專題練習(xí)和原理驗(yàn)證中使用。壓縮包共27個(gè)文件、約293KB以8個(gè)C頭文件、7個(gè)cpp源文件為主體并配有2個(gè)ui界面文件、1個(gè)qrc資源文件、1個(gè)pro工程文件及若干png/jpg界面素材工程組織較完整便于直接編譯閱讀。已有2815人學(xué)習(xí)下載說明其作為課程實(shí)驗(yàn)參考具有較高關(guān)注度。讀者可從中獲得抓包線程、發(fā)送數(shù)據(jù)包線程、ARP欺騙線程與協(xié)議定義等模塊的實(shí)現(xiàn)思路結(jié)合對(duì)話框界面和抓包分析流程理解嗅探器與中間人攻擊的基本機(jī)制并據(jù)此完成實(shí)驗(yàn)復(fù)現(xiàn)、代碼拆解與排錯(cuò)對(duì)照。1. 從一個(gè)“抓不到包”的凌晨說起這份實(shí)驗(yàn)源碼能讓你看清網(wǎng)卡里到底是什么第一次做網(wǎng)絡(luò)安全的抓包實(shí)驗(yàn)最容易碰壁的地方往往不是代碼寫錯(cuò)而是雙擊編譯好的 exe設(shè)備列表里空空如也或者點(diǎn)了開始之后一個(gè)包都收不到。這份基于 WinPcap 的數(shù)據(jù)包分析器嗅探實(shí)驗(yàn)源碼解決的正是這件事它把“枚舉網(wǎng)卡、開混雜模式、編譯 BPF 過濾規(guī)則、收包回調(diào)、逐層剝以太網(wǎng)/IP/TCP 頭、落盤成 pcap”這條鏈路完整寫成可編譯的 Win32 工程從設(shè)備枚舉到載荷還原都有對(duì)應(yīng)代碼注釋也保留著實(shí)驗(yàn)報(bào)告里的分層思路。對(duì)于剛接觸網(wǎng)絡(luò)安全實(shí)驗(yàn)、需要一份能直接跑通、能對(duì)照修改的抓包源碼的同學(xué)它比看十頁(yè)協(xié)議文檔管用對(duì)于想弄清抓包工具內(nèi)部到底發(fā)生了什么的老手它也是一份足夠干凈的最小實(shí)現(xiàn)。2. 技術(shù)棧與工程結(jié)構(gòu)WinPcap 加 Win32 這副骨架怎么搭2.1 為什么是 WinPcap而不是 SOCK_RAWWindows 上想做抓包第一反應(yīng)往往是socket(AF_INET, SOCK_RAW, IPPROTO_IP)。這條路能走但走不遠(yuǎn)。原始套接字只能收到“發(fā)給本機(jī)”的包綁定到某個(gè)本地 IP 之后別人的流量你根本看不見混雜模式在 raw socket 層面沒有穩(wěn)定的開關(guān)過濾只能自己寫在用戶態(tài)網(wǎng)卡把包全量拷進(jìn)內(nèi)核緩沖區(qū)再拷到你的進(jìn)程流量一大就開始丟包。WinPcap 的思路完全不一樣它裝了一個(gè) NPF 內(nèi)核驅(qū)動(dòng)包在驅(qū)動(dòng)層就被截獲BPF 過濾規(guī)則同樣在內(nèi)核里執(zhí)行用戶態(tài)拿到的已經(jīng)是篩過的數(shù)據(jù)。這就是為什么實(shí)驗(yàn)里那句pcap_compilepcap_setfilter那么關(guān)鍵——真正干活的不是你的 C 代碼是內(nèi)核。有一點(diǎn)必須提前說清楚WinPcap 最后一個(gè)正式版本停在 4.1.3官方早已不再更新在新版 Windows 上安裝偶爾會(huì)碰釘子?，F(xiàn)在工程里常見的做法是換 Npcap它的 API 與 WinPcap 基本一一對(duì)應(yīng)頭文件和庫(kù)名都對(duì)得上鏈接wpcap.lib就能編譯只是安裝時(shí)要勾上“兼容 WinPcap 模式”。實(shí)驗(yàn)源碼里的調(diào)用一行都不用改這一點(diǎn)很省心。2.2 工程目錄與文件職責(zé)實(shí)驗(yàn)源碼大體是按“抓包、解析、界面”三層切的文件不多但每一塊職責(zé)很清楚。把這張表看明白后面讀代碼就不會(huì)迷路文件職責(zé)關(guān)鍵 APISnifferDlg.cpp主界面設(shè)備下拉框、開始/停止按鈕、結(jié)果列表PostMessage收包通知SnifferThread.cpp工作線程循環(huán)收包解析后投遞到 UIpcap_next_ex/pcap_loopPacketParser.cpp協(xié)議解析以太網(wǎng)、IP、TCP/UDP 三段剝離ntohs、inet_ntoaDeviceEnum.cpp設(shè)備枚舉與過濾器下發(fā)pcap_findalldevs_ex、pcap_compileDump.cpppcap 文件寫入與離線回放pcap_dump_*、pcap_open_offlineinclude/pcap.hWinPcap SDK 頭文件—依賴上只有三個(gè)庫(kù)wpcap.libWinPcap 本體、Packet.lib部分版本需要、ws2_32.libntohs、inet_ntoa這些。Debug 和 Release、x86 和 x64 必須和 SDK 里的庫(kù)版本對(duì)齊混著鏈接是最常見的“編譯過了但跑不起來”。2.3 編譯與運(yùn)行讓第一個(gè)包落進(jìn)控制臺(tái)先把環(huán)境跑通再談改代碼。裝 WinPcap或 Npcap 兼容模式把 SDK 的Include加進(jìn)項(xiàng)目包含目錄Lib加進(jìn)庫(kù)目錄然后在項(xiàng)目屬性里添加上面那幾個(gè)附加依賴項(xiàng)。注意必須以管理員身份啟動(dòng)否則pcap_open_live會(huì)直接返回Error opening adapter。下面這個(gè)最小版本可以先單獨(dú)建個(gè)控制臺(tái)工程驗(yàn)證環(huán)境// sniffer_min.cpp —— 最小可跑版本枚舉網(wǎng)卡、打開第一個(gè)設(shè)備、抓 5 個(gè)包 #include pcap.h #include winsock2.h #pragma comment(lib, wpcap.lib) #pragma comment(lib, ws2_32.lib) static int g_count 0; void packet_handler(u_char* user, const struct pcap_pkthdr* hdr, const u_char* data) { // hdr-ts 時(shí)間戳caplen 是實(shí)際抓到的長(zhǎng)度len 是線上真實(shí)長(zhǎng)度兩者不等說明被 snaplen 截?cái)?printf([%d] caplen%u len%u\n, g_count, hdr-caplen, hdr-len); } int main() { pcap_if_t* alldevs nullptr; char errbuf[PCAP_ERRBUF_SIZE] { 0 }; // 1. 枚舉本機(jī)所有可抓包的網(wǎng)卡 if (pcap_findalldevs(alldevs, errbuf) -1) { printf(findalldevs failed: %s\n, errbuf); return -1; } if (alldevs nullptr) { printf(no interface found, run as administrator\n); return -1; } // 2. 打開第一塊網(wǎng)卡snaplen 65536、混雜模式 1、超時(shí) 1000ms pcap_t* adhandle pcap_open_live(alldevs-name, 65536, 1, 1000, errbuf); if (adhandle nullptr) { printf(open_live failed: %s\n, errbuf); pcap_freealldevs(alldevs); return -1; } // 3. 收滿 5 個(gè)包后返回 pcap_loop(adhandle, 5, packet_handler, nullptr); pcap_close(adhandle); pcap_freealldevs(alldevs); // 漏掉這句就是一次內(nèi)存泄漏 return 0; }幾個(gè)參數(shù)值得掰開說。snaplen是每個(gè)包最多拷多少字節(jié)寫 65536 基本等于不截?cái)嗳绻ゴ蟀鲋亟M別再往下調(diào)promisc置 1 才看得到非本機(jī)流量這也是抓包工具和普通 socket 程序的分水嶺to_ms是內(nèi)核緩沖區(qū)超時(shí)直接影響實(shí)時(shí)性寫 1000 時(shí)你會(huì)發(fā)現(xiàn)界面上包是“一批一批”冒出來的想要流暢就調(diào)到 100 甚至更低代價(jià)是 CPU 喚醒更頻繁。pcap_loop的第三個(gè)參數(shù)是回調(diào)第四個(gè)user是透?jìng)髦羔樤谡焦こ汤锼话阒赶驅(qū)υ捒驅(qū)ο蠡蛏舷挛慕Y(jié)構(gòu)體回調(diào)里靠它把數(shù)據(jù)送回界面。3. 抓包主鏈路設(shè)備枚舉、過濾器與回調(diào)的完整時(shí)序3.1 設(shè)備枚舉與網(wǎng)卡選擇別默認(rèn)取第一塊最小版本圖省事直接拿了alldevs-name這在真機(jī)上幾乎必翻車。裝了 VMware、VirtualBox、Docker 的機(jī)器上前幾塊網(wǎng)卡很可能是虛擬網(wǎng)卡你在上面抓半天一個(gè)真實(shí)業(yè)務(wù)包都沒有。實(shí)驗(yàn)源碼里做了列表讓用戶自己選這是對(duì)的// 把設(shè)備列表攤到界面上讓用戶自己選 int fill_device_list(pcap_if_t* alldevs, CListBox listbox) { char errbuf[PCAP_ERRBUF_SIZE] { 0 }; // PCAP_SRC_IF_STRING 即 rpcap://表示本地設(shè)備 if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, nullptr, alldevs, errbuf) -1) return -1; int idx 0; for (pcap_if_t* d alldevs; d ! nullptr; d d-next, idx) { // description 可能是 NULL部分虛擬網(wǎng)卡就是這樣必須兜底 CString item; item.Format(_T(%d. %s), idx 1, d-description ? CString(d-description) : CString(d-name)); listbox.AddString(item); } return idx; // 返回可選數(shù)量0 表示沒找到設(shè)備 }d-name長(zhǎng)這樣\Device\NPF_{一串 GUID}回調(diào)里再想拿它反查設(shè)備名就得自己存映射表所以我在枚舉時(shí)就把name和description一起塞進(jìn)列表項(xiàng)的ItemData里。d-addresses是個(gè)pcap_addr鏈表能撈出網(wǎng)卡綁定的 IPv4/IPv6 地址把它顯示成“描述 IP”用戶才分得清哪塊是真實(shí)網(wǎng)卡。整張鏈表用完必須pcap_freealldevs這個(gè)函數(shù)只釋放鏈表本身別拿去釋放pcap_t。3.2 過濾器把活交給內(nèi)核去做很多同學(xué)的做法是全部抓上來再在回調(diào)里if (port 80)篩一遍。流量小的時(shí)候看不出問題一旦跑個(gè)下載用戶態(tài)每秒要處理幾萬個(gè)無用包界面直接卡死。正確姿勢(shì)是把規(guī)則編譯成 BPF 下發(fā)到內(nèi)核// 編譯并下發(fā) BPF 規(guī)則過濾發(fā)生在內(nèi)核態(tài)用戶態(tài)收不到無關(guān)包 bool apply_filter(pcap_t* adhandle, const char* rule) { struct bpf_program fcode; bpf_u_int32 net 0, mask 0; char errbuf[PCAP_ERRBUF_SIZE] { 0 }; // netmask 只影響 broadcast / multicast 這類關(guān)鍵字的等價(jià)編譯取不到時(shí)傳 0 也能跑 if (pcap_lookupnet(pcap_getdevice_name(adhandle), net, mask, errbuf) -1) mask 0; if (pcap_compile(adhandle, fcode, rule, 1, mask) 0) { printf(compile %s failed: %s\n, rule, pcap_geterr(adhandle)); return false; } if (pcap_setfilter(adhandle, fcode) 0) { pcap_freecode(fcode); return false; } pcap_freecode(fcode); // 規(guī)則已復(fù)制進(jìn)內(nèi)核用戶態(tài)的 bpf_program 立刻釋放 return true; }pcap_compile第三個(gè)參數(shù)是優(yōu)化開關(guān)傳 1 會(huì)做指令優(yōu)化規(guī)則復(fù)雜時(shí)差別明顯第四個(gè)是 netmask只對(duì)少數(shù)關(guān)鍵字有意義別為了它專門寫一堆代碼。規(guī)則本身是標(biāo)準(zhǔn) BPF 語法tcp port 80、host 192.168.1.10 and not arp、udp portrange 5000-6000都能用。界面上的輸入框我一般會(huì)做一層白名單校驗(yàn)只允許字母、數(shù)字、點(diǎn)、空格和幾個(gè)運(yùn)算符防止用戶亂敲導(dǎo)致compile報(bào) syntax error 之后整個(gè)流程卡住。pcap_setfilter必須在pcap_compile之后調(diào)用順序反了直接返回 -1。3.3 回調(diào)函數(shù)與線程模型pcap_loop不能待在 UI 線程里這是實(shí)驗(yàn)里最容易被忽略、也最影響體驗(yàn)的一處。把pcap_loop(adhandle, 0, ...)直接寫在按鈕響應(yīng)函數(shù)里界面立刻假死——回調(diào)不停消息泵就沒機(jī)會(huì)跑窗口一片白。血淚經(jīng)驗(yàn)是抓包必須放工作線程解析完了用PostMessage回主線程刷界面。// 工作線程收包 → 解析 → 把結(jié)果 PostMessage 回 UI 線程 UINT SnifferThread(LPVOID param) { CSnifferDlg* dlg (CSnifferDlg*)param; while (!dlg-m_bStop) { struct pcap_pkthdr* hdr nullptr; const u_char* data nullptr; int ret pcap_next_ex(dlg-m_adhandle, hdr, data); if (ret 0) continue; // 超時(shí)沒包回去繼續(xù)等 if (ret -2) break; // 被 pcap_breakloop 打斷 if (ret -1) { dlg-PostMessage(WM_SNIFFER_ERR); break; } PacketInfo* info parse_packet(hdr, data); // 解析成界面能直接用的結(jié)構(gòu) if (info) dlg-PostMessage(WM_SNIFFER_PKT, (WPARAM)info, 0); // 堆對(duì)象UI 線程負(fù)責(zé) delete } return 0; }pcap_next_ex的返回值有三種語義必須分清楚1 表示拿到包0 表示超時(shí)正?，F(xiàn)象別當(dāng)錯(cuò)誤處理-1 是出錯(cuò)-2 是被pcap_breakloop打斷。這里選pcap_next_ex而不是pcap_loop是為了能在循環(huán)里檢查m_bStop停止按鈕才能立刻生效?？缇€程傳的PacketInfo*是在工作線程new出來的所有權(quán)跟著消息一起交給 UI 線程WM_SNIFFER_PKT的響應(yīng)函數(shù)里用完就delete這條約定寫不清楚就是一次穩(wěn)定復(fù)現(xiàn)的內(nèi)存泄漏。也別圖省事在工作線程里直接操作CListCtrlMFC 控件不是線程安全的偶發(fā)的界面錯(cuò)亂和崩潰大多來源于此。3.4 落盤與回放pcap_dump系列和離線分析調(diào)試協(xié)議解析邏輯時(shí)反復(fù)抓包非常痛苦——每次結(jié)果都不一樣bug 復(fù)現(xiàn)不了。實(shí)驗(yàn)源碼里的落盤功能就是解決這個(gè)的抓一次存成 pcap之后拿文件反復(fù)跑解析。// 一邊抓一邊寫產(chǎn)出物 Wireshark 可以直接打開 pcap_dumper_t* dumper pcap_dump_open(adhandle, capture.pcap); void dump_handler(u_char* user, const struct pcap_pkthdr* hdr, const u_char* data) { pcap_dump(user, hdr, data); // user 就是上面那個(gè) dumper } // 停止抓包時(shí) pcap_dump_flush(dumper); // 不 flush 可能丟掉最后幾個(gè)包 pcap_dump_close(dumper); // 離線回放完全不碰網(wǎng)卡純讀文件適合反復(fù)調(diào)解析器 pcap_t* offline pcap_open_offline(capture.pcap, errbuf);pcap_dump_open會(huì)把 pcap 文件頭寫好之后每個(gè)包由pcap_dump追加一條記錄所以u(píng)ser參數(shù)必須原樣傳 dumper 指針傳錯(cuò)了寫出來的文件 Wireshark 打不開。pcap_dump_flush那行看著多余實(shí)測(cè)中程序被強(qiáng)殺時(shí)最后幾秒的包就是這么丟的?；胤胚@條路徑還有一個(gè)隱性好處pcap_open_offline打開的是文件而不是網(wǎng)卡不需要管理員權(quán)限你可以拿它寫單元測(cè)試把一批構(gòu)造好的 pcap 丟進(jìn)去斷言解析出來的源目 IP、端口對(duì)不對(duì)。4. 協(xié)議解析層以太網(wǎng)、IP、TCP 與 UDP 三段式剝離4.1 以太網(wǎng)幀頭14 字節(jié)起步先看類型字段抓到的data指針是一段裸字節(jié)第一層永遠(yuǎn)是 14 字節(jié)的以太網(wǎng)頭。這里有個(gè)必須提前處理的細(xì)節(jié)——結(jié)構(gòu)體對(duì)齊#pragma pack(push, 1) // 必須 1 字節(jié)對(duì)齊否則 sizeof 出來是 16后面全錯(cuò)位 struct eth_hdr { u_char dst[6]; u_char src[6]; u_short type; // 大端需要 ntohs }; #pragma pack(pop) const u_char* parse_eth(const u_char* pkt, u_short out_type, u_int l2_len) { const eth_hdr* eth (const eth_hdr*)pkt; out_type ntohs(eth-type); l2_len 14; return pkt 14; // 上層協(xié)議的起點(diǎn) }不加#pragma pack(1)編譯器會(huì)在type前補(bǔ) 2 字節(jié)填充sizeof(eth_hdr)變成 16你按 14 偏移去取 IP 頭就整整錯(cuò)開兩位癥狀是源目 IP 全是亂碼。type字段決定往哪走0x0800是 IPv40x0806是 ARP0x86DD是 IPv60x8100是 VLAN 標(biāo)簽——碰上 VLAN 包真正的類型字段在 14 字節(jié)之后還要再偏移 4 字節(jié)實(shí)驗(yàn)里如果不處理 VLAN內(nèi)網(wǎng)環(huán)境下的包會(huì)集體解析失敗這也是常見的“為什么實(shí)驗(yàn)室能跑、回宿舍就不行”的原因。MAC 地址格式化時(shí)記得%02X:%02X:...補(bǔ)零否則0A會(huì)打成A。4.2 IP 頭字節(jié)序、IHL 和分片是最容易出錯(cuò)的三處#pragma pack(push, 1) struct ip_hdr { u_char ver_ihl; // 高 4 位版本號(hào)低 4 位首部長(zhǎng)度單位 4 字節(jié) u_char tos; u_short total_len; // 大端 u_short id; u_short frag_off; // 高 3 位標(biāo)志 13 位片偏移大端 u_char ttl; u_char proto; // 6TCP 17UDP 1ICMP u_short checksum; u_int saddr, daddr; }; #pragma pack(pop) const u_char* parse_ip(const u_char* p, u_int caplen, ProtoInfo out) { if (caplen sizeof(ip_hdr)) return nullptr; const ip_hdr* ip (const ip_hdr*)p; int ihl (ip-ver_ihl 0x0F) * 4; // 寫死 20 會(huì)讓帶選項(xiàng)的包全部錯(cuò)位 if (ihl 20 || caplen (u_int)ihl) return nullptr; u_short frag ntohs(ip-frag_off); if (frag 0x1FFF) return nullptr; // 非首片沒有完整的 TCP/UDP 頭 out.proto ip-proto; out.src_ip ip-saddr; // 保持網(wǎng)絡(luò)序打印時(shí)再 inet_ntoa out.dst_ip ip-daddr; out.payload p ihl; // 線上長(zhǎng)度可能大于實(shí)際抓到的 caplen被 snaplen 截?cái)嗳⌒〉哪莻€(gè) out.payload_len min((u_int)ntohs(ip-total_len) - ihl, caplen - ihl); return out.payload; }ver_ihl這個(gè)字段一個(gè)字節(jié)塞了兩樣?xùn)|西直接把 IP 頭寫死成 20 字節(jié)是新手最常犯的錯(cuò)一旦碰上帶選項(xiàng)的包比如某些 ICMP 差錯(cuò)報(bào)文端口信息立刻變成垃圾數(shù)據(jù)。分片判斷用frag_off 0x1FFF非零說明這是后續(xù)分片里面根本沒有 TCP/UDP 頭老老實(shí)實(shí)跳過或者標(biāo)記成“分片包”別硬解。還有inet_ntoa它返回的是靜態(tài)緩沖區(qū)多線程里連著調(diào)兩次第一次的結(jié)果會(huì)被覆蓋工程里我會(huì)自己封裝一個(gè)ip_to_string(u_int addr, char* buf)內(nèi)部用inet_ntop寫進(jìn)調(diào)用方的緩沖區(qū)。4.3 TCP/UDP端口、標(biāo)志位與載荷偏移#pragma pack(push, 1) struct tcp_hdr { u_short sport, dport; u_int seq, ack; u_char off_res; // 高 4 位數(shù)據(jù)偏移單位 4 字節(jié) u_char flags; // 低 6 位URG ACK PSH RST SYN FIN u_short win, csum, urg; }; struct udp_hdr { u_short sport, dport, len, csum; }; #pragma pack(pop) void parse_l4(const u_char* p, u_int len, const ProtoInfo in, PacketInfo out) { if (in.proto 6 len sizeof(tcp_hdr)) { const tcp_hdr* tcp (const tcp_hdr*)p; out.sport ntohs(tcp-sport); out.dport ntohs(tcp-dport); int thl (tcp-off_res 4) * 4; // 一般 20帶選項(xiàng)時(shí) 24/32 out.flags tcp-flags 0x3F; out.payload p thl; out.payload_len len - thl; } else if (in.proto 17 len sizeof(udp_hdr)) { const udp_hdr* udp (const udp_hdr*)p; out.sport ntohs(udp-sport); out.dport ntohs(udp-dport); out.payload p 8; out.payload_len ntohs(udp-len) - 8; } }TCP 的數(shù)據(jù)偏移藏在off_res的高 4 位和 IP 的 IHL 一個(gè)套路寫死 20 字節(jié)同樣會(huì)錯(cuò)位。flags低 6 位轉(zhuǎn)成SYN、SYN,ACK、PSH,ACK這種字符串顯示一眼就能看出三次握手比顯示一個(gè)十六進(jìn)制數(shù)字友好太多。UDP 更簡(jiǎn)單固定 8 字節(jié)頭len字段包含頭部自身算載荷時(shí)記得減掉。載荷這一層通常只做“如果是 80 端口就按文本顯示、能打印的字符留、其他轉(zhuǎn)成點(diǎn)”真要做重組或者 TLS 解密那就是另一個(gè)量級(jí)的工程了。5. 避坑與常見問題排查五個(gè)讓我返工的坑5.1 設(shè)備列表里有網(wǎng)卡點(diǎn)開始卻一個(gè)包都收不到現(xiàn)象界面正常、按鈕能點(diǎn)、日志無報(bào)錯(cuò)列表一直是空的。原因基本跑不出四個(gè)選中的是虛擬網(wǎng)卡或者已經(jīng)斷開的無線網(wǎng)卡promisc傳了 0 導(dǎo)致只收到本機(jī)流量而你當(dāng)時(shí)并沒有在發(fā)請(qǐng)求防火墻或安全軟件攔了 NPF 驅(qū)動(dòng)的加載進(jìn)程沒跑在管理員權(quán)限下。解決順序我一般是先用最小版本的pcap_loop打到控制臺(tái)確認(rèn)有沒有包有包說明是界面線程的問題沒包就換網(wǎng)卡再試換了三塊都沒有去看設(shè)備管理器里 NPF 驅(qū)動(dòng)是不是帶感嘆號(hào)卸載重裝一遍 SDK 自帶的驅(qū)動(dòng)。5.2sizeof(結(jié)構(gòu)體)比協(xié)議規(guī)定的多了兩字節(jié)現(xiàn)象IP 頭怎么都對(duì)不上端口讀到 0源地址顯示成0.0.0.0。原因就是漏了#pragma pack(1)編譯器為了對(duì)齊在u_char和u_short之間插了填充字節(jié)sizeof(ip_hdr)變成 24 而不是 20所有偏移集體后移。解決所有映射協(xié)議頭的結(jié)構(gòu)體都套在#pragma pack(push, 1)里pop一定別漏不然會(huì)影響后面包含的頭文件。養(yǎng)成習(xí)慣結(jié)構(gòu)體定義完立刻static_assert(sizeof(ip_hdr) 20, ip_hdr must be 20 bytes)編譯期就把它釘死。5.3 端口顯示成 20480 這種反直覺的數(shù)字現(xiàn)象80 端口顯示成 20480443 顯示成 47873。原因很簡(jiǎn)單字節(jié)序沒轉(zhuǎn)——網(wǎng)絡(luò)上是大端x86 是小端一個(gè)0x0050讀出來就成了0x5000。解決所有u_short、u_int類型的協(xié)議字段取值一律先包一層ntohs/ntohl。這條規(guī)律要背下來結(jié)構(gòu)體里存的是原樣字節(jié)凡是拿去顯示或者做判斷的轉(zhuǎn)凡是原樣再寫回文件的不轉(zhuǎn)?；熘鴣砭褪菬o窮無盡的玄學(xué) bug。5.4 抓一會(huì)兒界面就卡死或者內(nèi)存一路漲現(xiàn)象一點(diǎn)開始抓到幾百個(gè)包之后窗口白屏、點(diǎn)不動(dòng)。原因pcap_loop或者pcap_next_ex的死循環(huán)跑在 UI 線程消息泵被堵死。解決扔進(jìn)AfxBeginThread起的 worker 線程主線程只負(fù)責(zé)收PostMessage?，F(xiàn)象二任務(wù)管理器里內(nèi)存曲線一路向上。原因多半是PostMessage傳的堆指針沒人delete或者pcap_findalldevs之后忘了pcap_freealldevs。解決給每條自定義消息的響應(yīng)函數(shù)寫死“用完就刪”的注釋兩個(gè)線程之間只傳 POD 結(jié)構(gòu)體指針別傳 CString、std::string 這種帶析構(gòu)的玩意兒。5.5 編譯過了運(yùn)行時(shí)報(bào)找不到wpcap.dll現(xiàn)象開發(fā)機(jī)跑得好好的拷到別人電腦上直接彈窗“無法啟動(dòng)此程序因?yàn)橛?jì)算機(jī)中丟失 wpcap.dll”。原因WinPcap 是運(yùn)行時(shí)驅(qū)動(dòng) 動(dòng)態(tài)庫(kù)不是隨 exe 走的靜態(tài)依賴目標(biāo)機(jī)器上沒裝就等于沒有。解決把安裝包一起帶上或者干脆把項(xiàng)目遷到 Npcap安裝時(shí)勾選 WinPcap 兼容模式。還有個(gè)更隱蔽的版本32 位程序鏈接了 x64 的wpcap.lib編譯階段只報(bào)幾個(gè)鏈接警告運(yùn)行起來就是各種詭異返回值配置管理器里把平臺(tái)對(duì)齊是第一步。6. 二次開發(fā)把這份實(shí)驗(yàn) Demo 改成自己順手的工具實(shí)驗(yàn)交完就扔太可惜了這套代碼的解析層其實(shí)挺干凈稍微拆一拆就能變成日常能用的東西。我一般會(huì)先做一件事把parse_packet的簽名改成不依賴任何 MFC 類型輸入是pcap_pkthdr加u_char*輸出是一個(gè)純struct PacketInfo。這一步做完解析邏輯就可以脫離界面單獨(dú)測(cè)也能被命令行工具復(fù)用。// 解耦后的入口不依賴 MFC可以被單元測(cè)試、命令行工具、服務(wù)端復(fù)用 struct PacketInfo { char src_ip[16]; char dst_ip[16]; u_short sport, dport; u_char proto; // 6TCP 17UDP 1ICMP u_char tcp_flags; u_int payload_len; u_int caplen; timeval ts; }; // 返回 0 表示解析成功負(fù)數(shù)表示在第幾層被丟棄 int parse_packet(const struct pcap_pkthdr* hdr, const u_char* data, PacketInfo* out);改造方向上我按投入產(chǎn)出比排了個(gè)序供參考改造點(diǎn)改動(dòng)位置大概工作量協(xié)議統(tǒng)計(jì)面板各協(xié)議包數(shù)/字節(jié)數(shù)占比新增計(jì)數(shù)器UI 加一欄半天導(dǎo)出 CSV 供后續(xù)分析PacketInfo直接序列化一兩小時(shí)支持 IPv6 與 VLAN 標(biāo)簽parse_eth里加分支半天頭文件要補(bǔ)遷移到 Npcap、去掉 WinPcap 依賴換 SDK代碼不動(dòng)一小時(shí)解析規(guī)則可配置端口到協(xié)議名映射抽成配置文件讀取一天動(dòng)手之前有兩個(gè)提醒。第一別在解析層里直接彈 MessageBox 或者寫日志文件parse_packet每秒可能被調(diào)用上萬次一次文件 IO 就能把整個(gè)抓包線程拖垮要統(tǒng)計(jì)就攢在內(nèi)存里定期刷。第二改結(jié)構(gòu)體的時(shí)候同步改static_assert我吃過一次虧給ip_hdr加了個(gè)字段忘了恢復(fù)pack(1)編譯通過、運(yùn)行不崩只是所有端口都錯(cuò)了一位查了整整一個(gè)下午才想起來是這句。從那以后我每次動(dòng)協(xié)議結(jié)構(gòu)體都會(huì)先跑一遍那個(gè)“抓 5 個(gè)包打到控制臺(tái)”的最小版本肉眼確認(rèn) IP 和端口對(duì)得上再回到大工程里改界面。這一步花不了兩分鐘但能省掉后面幾小時(shí)的自我懷疑。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取