使用 Wireshark，并学习使用它进行网络包分析。

Wireshark 是网络包分析工具；网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。Wireshark 常见的应用如下：

这里，我们通过 Wireshark 来学习常见的网络协议。

包含了从安装 Wireshark 开始到使用 Wireshark 观察一些现象的过程：

Wireshark 的官方网站是：https://www.wireshark.org/，下载地址是 https://2.na.dl.wireshark.org/win64/Wireshark-win64-3.4.6.exe

再 Powershell 中输入 ipconfig 查询本机的 IP 信息：

在同局域网下打开另一台设备，启动一个服务器：

查看局域网内的这台设备的 IP 地址：

可以得到的信息汇总如下：

因为只需要这些信息，所以直接在 Powershell 中获取；需要更详细的信息也可以通过网络适配器选项中来获得。接下来使用 Wireshark 捕获两者之间的通讯数据包，并且进行分析。

首先需要先选择监听的网络设备：

然后，就可以开始捕获以太网的通信数据包：

接下来，可以进行捕获通过它的特定报文，并且分析内容。

浏览器访问上面查询到的服务器的地址 http://192.168.3.71，并且在 Wireshark 中设定限制条件（过滤器） ip.src == 192.168.3.71 or ip.dst == 192.168.3.71 来只捕获来自这两个 IP 地址之间的通信。

高亮的部分就是 TCP 的三次握手。

这是上述三次握手过程中的第二次握手的报文的详细信息：

在 TCP 握手完成之后，服务器将使用 HTTP 协议传输数据到浏览器；我们在紧接着握手完成后面的位置找到了使用 HTTP 协议传输的数据包；可以打开查看其详细信息：

HTTP 头能塞的东西还挺多的，这里就不全部说明了；当然，这里所包含的项目也未必完整。

网络工程师能通过 Wireshark 做哪些工作？

通过学习 NpCap SDK，编写一个网络抓包程序

本实验主要基于 NpCap 完成，所以这里主要是关于 NpCap 的介绍：

WinPcap 是一个基于 Win32 平台的，用于捕获网络数据包并进行分析的开源库；在 Linux 上也有对应的 LibPcap；目前 WinPcap 已经处于无人维护的状态，对于 Windows 10 有更新的且目前有人维护的开源项目 NpCap。

大多数网络应用程序通过被广泛使用的操作系统元件来访问网络，比如 sockets——这是一种简单的实现方式，因为操作系统已经妥善处理了底层具体实现细节（比如协议处理，封装数据包等等工作），并且提供了一个与读写文件类似的，令人熟悉的接口；但是有些时候，这种“简单的实现方式”并不能满足需求，因为有些应用程序需要直接访问网络中的数据包：也就是说原始数据包——即没有被操作系统利用网络协议处理过的数据包。而 WinPcap/NpCap 则为 Win32 应用程序提供了这样的接口：

SDK 提供的这些功能需要借助运行在 Win32 内核中的网络设备驱动程序来实现；在安装完成驱动之后，SDK 将这些功能作为一个接口表现出来以供使用。

以下介绍了实现后文提到的 demo 所需要使用的 NpCap API 的简单介绍：

NpCap 提供了 pcap_findalldevs_ex 和 pcap_findalldevs 函数来获取计算机上的网络接口设备的列表；此函数会为传入的 pcap_if_t 赋值——该类型是一个表示了设备列表的链表头；每一个这样的节点都包含了 name 和 description 域来描述设备。

除此之外，pcap_if_t 结构体还包含了一个 pcap_addr 结构体；后者包含了一个地址列表、一个掩码列表、一个广播地址列表和一个目的地址的列表；此外，pcap_findalldevs_ex 还能返回远程适配器信息和一个位于所给的本地文件夹的 pcap 文件列表。

用来打开一个适配器，实际调用的是 pcap_open_live；它接受五个参数：

该函数返回一个 pcap_t 类型的 handle。

API 函数 pcap_loop 和 pcap_dispatch 都用来在打开的适配器中捕获数据包；但是前者会已知捕获直到捕获到的数据包数量达到要求数量，而后者在到达了前面 API 设定的超时时间之后就会返回（尽管这得不到保证）；前者会在一小段时间内阻塞网络的应用，故一般项目都会使用后者作为读取数据包的函数；虽然在本次实验中，使用前者就够了。

这两个函数都有一个回调函数；这个回调函数会在这两个函数捕获到数据包的时候被调用，用来处理捕获到的数据包；这个回调函数需要遵顼特定的格式。但是需要注意的是我们无法发现 CRC 冗余校验码——因为帧到达适配器之后，会经过校验确认的过程；这个过程成功，则适配器会删除 CRC；否则，大多数适配器会删除整个包，因此无法被 NpCap 确认到。

用于对 MAC 层进行了检测，以确保在处理一个以太网络，确保 MAC 首部是 14 位的。IP 数据包的首部就位于 MAC 首部的后面，将从 IP 数据包的首部解析到源 IP 地址和目的 IP 地址。

用来设置过滤器，以避免处理一些无用的包，提高包处理的效率。在本次实验中我们需要将过滤器字符串设置成 ip and udp，使得我们传入的回调只处理基于 IPv4 的 UDP 数据包；大大简化了解析过程和回调函数的调用次数。

处理 UDP 数据包的首部时存在一些困难：因为 IP 数据包的首部的长度并不是固定的，但是可以通过 IP 数据包的 length 域来得到它的长度；一旦知道了 UDP 首部的位置，就能解析到源端口和目的端口。

从安装 NpCap 到运行 NpCap 示例程序的全部过程；

NpCap 是 WinPcap for Windows 10；它的官方下载页面是 Npcap: Windows Packet Capture Library & Driver (nmap.org)；在这里我们需要下载：

安装完成驱动后，再在 IDE 中为项目配置导入 NpCap SDK 文件。NpCap SDK 文件包中包括了使用 NpCap 实现的基本功能的 demo。

项目的文件结构如下：

这些使用 NpCap 功能的 demo 的实现代码都位于：https://github.com/ma-hunter/cn_exp

上述代码包括的，使用 NpCap 实现的几项基本功能的运行结果（非截图）。

使用 CMake，构建并运行上述项目中的目标 if_list：

运行结果如下：

于此同时可以看到控制面板下的网络适配器页面；可以看到基本的适配器信息是一致的：

我们的 demo 输出的更多是因为包含了一些被操作系统用户级别隐藏的接口。

使用 CMake，构建并运行上述项目中的目标 basic_dump_ex：

运行结果如下：

程序将会运行到被外部中断阻止后才会停止运行。

使用 CMake，构建并运行上述项目中的目标 basic_dump_ex：

运行结果如下：

程序将会运行到被外部中断阻止后才会停止运行。

WINPCAP 是否能实现服务质量的控制？

不能。WinPcap 可以独立地通过主机协议发送和接受数据，如同 TCP/IP；这就意味着 WinPcap 不能阻止、过滤或操纵同一机器上的其他应用程序的通讯：它仅仅能简单地“监视”在网络上传输的数据包。所以，它不能提供类似网络流量控制、服务质量调度和个人防火墙之类的支持，因而不能实现服务质量的控制。

利用 NpCap 编写协议分析工具；输出抓取的包和协议分析结构，并统计 IP 的流量（即包的数量）。

功能要求：

运行程序后将捕获的信息输出到标准输出流中。

实验的设计依据的原理，包括协议的概念和 NpCap 的接口使用逻辑。

下面的内容包含了本次实验所涉及到的协议类型的说明。

因为 TCP/IP 协议采用分层的结构，所以网络通信时，要传输的数据在发送端是一个逐层封装的过程；而相应地在接收端则是一个逐层分解的过程；如下图所示：

在接收端的逐层分解，就是上述封装的逆过程；

以太网 II 格式时一种帧格式，应用最为广泛，几乎成为了当前以太网的现行标准；它由 RFC894 定义，如下图所示：

IP 协议是 Internet 的核心协议，它工作在网络层，提供了不可靠无连接的数据传送服务；协议格式如图所示：

ICMP 的全称是 Internet 控制信息协议 (Internet Control Message Protocol)。它提供了很多 Internet 的信息描述服务：例如能够检测网络的运行状况，通知协议有用的网络状态信息；ICMP 是基于 IP 协议的，ICMP 协议格式如图所示：

TCP 协议是基于连接的可靠的协议：它负责发收端的协定，然后保持正确可靠的数据传输服务；它在 IP 协议上运行，而 IP 无连接的协议，所以 TCP 丰富了 IP 协议的功能，使它具有可靠的传输服务；TCP 协议格式如图所示：

可以看到 TCP 报文段结构由以下的部分组成：

TCP 连接的建立和释放采用了三步握手法，如下图所示：

其过程可以描述如下步骤：

至此，整个连接建立过程正常结束，数据传输已经正式开始。

用户数据报协议 UDP 是在 IP 协议上的传输层协议，它提供了无连接的协议服务；它在 IP 协议基础上提供了端口的功能，因此既可让应用程序之间进行通信了。UDP 协议格式如图 3.7 所示：

NpCap 按照一定的规则提供了 API，和本次实验相关的逻辑如下：

NpCap 的工作周期可以被描述为如下序列：

简单地说，使用 NpCap 获得网络接口列表后，我们打开一个设备，并设定循环次数，传入指定类型的回调函数来处理被捕获的数据包，并在程序退出之前关闭设备。

因为上述协议栈分析中提到了，接收端分析包的内容就是一个逆封装的过程，所以我们可以采用逐层递归的方法来设计我们的回调函数；基本设计如下：

根据设计需求，在判断上一层的协议类型后，将待处理的报文递归给下一层的处理函数即可。

关于代码实现方面的设计：

项目可以分为 handlers、helpers 和 utils 三个部分组成；

这三个部分分别使用独立的头文件和源文件组成，被 main 模块引用。

项目所需要的类型定义都包含在 definitions.h 中；包含了根据协议的组成而设计的报文和报头的类型定义；因为最后捕获的数据包是指向一片连续内存块的指针，这里的定义必须保证指定的内存块可以完全转化为对应的包类型才行；因此，需要保证顺序和使用的基本数据类型完全和定义符合。

最后，整个项目的文件结构如下：

使用 CMake 加载项目，并构建运行 cn_exp 即可生成目标。

GitHub 链接：https://github.com/ma-hunter/cn_exp

完成实现上文所述的程序后，运行程序，可以得到下面的结果：

因为上传截图非常的麻烦，这里仅粘贴标准输出的文本。

应用 WINPCAP 能实现哪些网络应用?