(1)捕获原始数据包,包括在共享网络上,各主机发送或接收的以及相互之间交换的数据包;
(2)在数据包发往应用程序之前,按照自定义规则将某些特殊的数据包过滤掉;
(3)在网络上发送原始的数据包;
(4) 收集网络通信过程中的统计信息。
2.3.3 基于WinPcap数据包捕获的基本过程
WinPcap从网络上捕获一个数据包,然后递送给应用程序,所调用的组件如图4、图5所示。
图4 伴随着NPF驱动细节的WinPcap的结构
(1)网卡与NIC设备驱动
现代NIC板载内存的数量通常限制为几千字节。在不依赖主机工作站的能力下,这些内存在全连接速度(full link speed)下需要满足数据包的接收与发送。此外,NIC在数据包被存储在板载内存中时,就执行一些初步的的检查,诸如CRC错误、短以太网帧,因此无效帧可以立即被丢弃。
在一个有效数据包被NIC接收后,将对总线控制器产生一个总线数据传输请求。此时,NIC控制了总线,传输数据包到工作站主内存中的NIC缓冲区中(参见图5),释放总线,产生一个硬件中断给高级可编程中断控制器芯片。该芯片叫醒操作系统的中断处理例程,其触发NIC设备驱动程序的中断服务程序(ISR)。
一个写的好的设备驱动程序的ISR只做很少的事情。最基本的事情,它要检查该中断是否是它自己要处理的的,并做出应答。接着,ISR调度一个较低优先级的函数,该函数稍后处理硬件请求与告知上层驱动程序一个数据包被接收了。当没有中断被挂起时CPU将处理DPC例程。当NIC设备驱动程序正在执行处理时,来自NIC的中断被禁用,因为在处理下一个服务前一个数据包的处理必须完成。此外,既然中断的产生是一个耗费很大的操作,现代NIC允许多个数据包被送入一个中断的上下文中,因此上层驱动程序每次激活是要能够处理多个数据包的。
图5 从NIC到应用程序的路径
(2)数据包捕获驱动
数据包捕获组件通常对其它的软件模块是透明的,并不对标准的系统行为带来影响。它们仅仅在系统中插入一个钩子——通常使用一个回调函数tap()——只要一个新的数据包从网络上到来,它们就能够被告知。tap()函数所作的第一步就是对数据包执行过滤。在Win32平台下数据包捕获组件通常作为一个网络协议驱动程序被实现。 利用WinPcap技术实现数据包的捕获和分析(5):http://www.youerw.com/jisuanji/lunwen_6750.html