网络抓包与协议分析软件的设计与开发毕业设计论文Word格式文档下载.docx

网络抓包与协议分析软件的设计与开发毕业设计论文Word格式文档下载.docx

《网络抓包与协议分析软件的设计与开发毕业设计论文Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《网络抓包与协议分析软件的设计与开发毕业设计论文Word格式文档下载.docx（32页珍藏版）》请在冰豆网上搜索。

日期：

毕业论文（设计）授权使用说明

本论文（设计）作者完全了解**学院有关保留、使用毕业论文（设计）的规定，学校有权保留论文（设计）并向相关部门送交论文（设计）的电子版和纸质版。

有权将论文（设计）用于非赢利目的的少量复制并允许论文（设计）进入学校图书馆被查阅。

学校可以公布论文（设计）的全部或部分内容。

保密的论文（设计）在解密后适用本规定。

指导教师签名：

日期：

日期：

注意事项

1.设计（论文）的内容包括：

1）封面（按教务处制定的标准封面格式制作）

2）原创性声明

3）中文摘要（300字左右）、关键词

4）外文摘要、关键词

5）目次页（附件不统一编入）

6）论文主体部分：

引言（或绪论）、正文、结论

7）参考文献

8）致谢

9）附录（对论文支持必要时）

2.论文字数要求：

理工类设计（论文）正文字数不少于1万字（不包括图纸、程序清单等），文科类论文正文字数不少于1.2万字。

3.附件包括：

任务书、开题报告、外文译文、译文原文（复印件）。

4.文字、图表要求：

1）文字通顺，语言流畅，书写字迹工整，打印字体及大小符合要求，无错别字，不准请他人代写

2）工程设计类题目的图纸，要求部分用尺规绘制，部分用计算机绘制，所有图纸应符合国家技术标准规范。

图表整洁，布局合理，文字注释必须使用工程字书写，不准用徒手画

3）毕业论文须用A4单面打印，论文50页以上的双面打印

4）图表应绘制于无格子的页面上

5）软件工程类课题应有程序清单，并提供电子文档

5.装订顺序

1）设计（论文）

2）附件：

按照任务书、开题报告、外文译文、译文原文（复印件）次序装订

网络抓包与协议分析软件的设计与开发

摘要：

网络数据包捕获是进行网络分析的基础，通过对Windows操作系统平台下网络数据包捕获模型的论述，重点对基于NDIS的优秀包捕获开发包WinPcap的结构和功能的进行了详细的介绍和分析，实现了如何在VC++6.0环境下借助WinPcap提供的各个接口函数对网卡进行编程进而对网络数据包进行捕获和分析的方法，突出叙述了数据包捕获在网络分析中的应用。

关键字：

数据包捕获，数据包，WinPcap

Designanddevelopmentapacketcapture

andprotocolanalysissoftware

Abstract：

Networkpacketcaptureisthepreconditionfornetworkanalysis，throughtheanalysisofthemodelsofnetworkdatapacketcaptureinWindows，thestructureandfunctionofWinPcapbasedonNDISisanalyzedandintroducedindetail，andhowtoprogramonthenetworkadapterandhowtocaptureandanalyzethenetworkdatapacketsthroughWinPcaparerealizedundertheenvironmentofVC6.0++，theapplicationsofnetworkdatacapturefornetworkanalysisisnarratedindetail.

Keywords：

packetcapture，datapacket，WinPcap

1绪论

1.1课题来源

随着网络技术的飞速发展和网络时代的到来，互联网的影响已经渗透到国民经济的各个领域和人民生活的各个方面，全社会对网络的依赖程度越来越大，整个世界通过网络正在迅速地融为一体，但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互联性等特征，致使网络易受黑客、恶意软件和其他不轨的攻击。

广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。

网络安全涉及的内容既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。

技术方面主要侧重于防范外部非法用户的攻击，管理方面则侧重于内部人为因素的管理。

如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。

可以这样来定义网络数据安全：

所谓网络数据安全，指的是网络系统的硬件、软件和数据信息能够受到保护，不会因为偶然或恶意的原因而遭到破坏、更改、泄露，同时系统能够连续、可靠地运行，网络服务不被中断。

但在现实中，绝对安全的网络是没有的[1]。

据IT界企业团体ITAA的调查显示，美国90％的IT企业对黑客攻击准备不足。

目前美国75％一85％的网站都抵挡不住黑客的攻击，约有75％的企业网上信息失窃，其中25％的企业损失在25万美元以上．因此了解网络面临的各种威胁，防范和消除这些威胁，实现真正的网络安全已经成了网络发展中最重要的事情。

1.2当今网络数据安全现状

计算机网络的核心是网络协议，所以研究协议与网络安全的关系就是至关重要的。

现在网络中所使用的协议都是较早前设计的，许多协议的实现都是基于一种非常友好的、通信的双方充分信任的基础。

在通常的网络环境之下，用户的信息包括口令都是以明文的方式在网上传输的，只要将网络接口设置成监听模式，便可以源源不断地将网上传输的信息截获，因此进行网络监听从而获得用户信息并不是一件困难的事情。

例如目前使用最广泛的TCP/IP协议就存在很多安全缺陷，而FTP、POP和Telnet协议在本质上也是不安全的，从而很多网络的攻击就是针对这些不安全协议进行的。

1994年一个最大的嗅探器（Sniffer，网络数据监听器）攻击被发现，这次攻击被人们普遍认为是记载中最为严重的一次，攻击者处于Rahul.Net，使许多以FTP、Telnet或远程登陆的主机系统都受到了危害。

在这件事故中，嗅探器只运行了18个小时。

在这段时间里，有几百台主机被泄密。

受攻击者包括268个站点，如麻省理工学院、美国海军和空军、SUN微系统公司、IBM、NASA、CERFNET和加拿大、以色列、荷兰、比利时的一些大学的机器。

协议的安全验证方式也是有弱点的，就是很容易受到“中间服务器”方式的攻击。

所谓“中间服务器”攻击方式，就是“中间服务器”冒充真正的服务器接收用户传给服务器的数据，然后再冒充用户把数据传给真正的服务器。

服务器和用户之间的数据传送被“中间服务器”转发并做了手脚之后，就会出现很严重的问题。

例如：

冒充域名服务器的攻击，也就是DNS欺骗。

它是攻击者冒充域名服务器的一种欺骗行为，它主要用于向主机提供错误DNS信息，当用户尝试浏览网页，例如IP地址为XXX.XX.XX.XX，网址为WWW.XXX.COM，而实际上登录的确实IP地址YYY.YY.YY.YY上的WWW.XXX.COM，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这个网址是攻击者用以窃取网上银行登录证书以及帐号信息的假冒网址。

据统计，目前网络攻击手段有数千种之多；

美国商业杂志《信息周刊》公布的一项调查报告称，黑客攻击和病毒等安全问题在2000年就造成了上万亿美元的经济损失，在全球范围内每数秒钟就发生一起针对网络的不同形式的攻击事件。

1.3网络数据安全的技术研究

为了保证网络的安全，防止网络攻击，除了对信息采用加密技术之外，还有就是与网络协议相关的网络安全手段，例如防火墙技术、入侵监测技术、安全扫描技术、协议分析技术和数据包生成技术等。

这些技术中，数据包的捕获和分析是最首要的手段，它是诸多网络安全技术实现的基础。

2主要技术介绍

2.1数据包的介绍

“包”（Packet）是TCP/IP协议通信传输中的数据单元，一般也称“数据包”。

有人说，局域网中传输的不是“帧”（Frame）吗？

没错，但是TCP/IP协议是工作在OSI模型第三层（网络层），第四层（传输层）上的，而帧是工作在第二层（数据链路层）。

上一层内容由下一层的内容来传输，所以在局域网中，“包”是包含在“帧”里的。

用一个形象一些的例子对数据包的概念加以说明：

我们在邮局邮寄产品时，虽然产品本身带有自己的包装盒，但是在邮寄的时候只用产品原包装盒来包装显然是不行的。

必须把内装产品的包装盒放到一个邮局指定的专用纸箱里，这样才能够邮寄。

这里，产品包装盒相当于数据包，里面放着的产品相当于可用的数据，而专用纸箱就相当于帧，且一个帧中只有一个数据包。

包”听起来非常抽象，那么是不是不可见的呢？

通过一定技术手段，是可以感知到数据包的存在的。

比如在能上网的情况下，把鼠标移动到任务栏右下角的网卡图标上单击就会弹出一个窗口，如图2-1，就可以看到“发送：

×

包，收到：

包”的提示。

图2-1网络连接状态

我们上网打开网页，这个简单的动作，就是我们先发送数据包给网站，网站接收到了之后，根据发送的数据包的IP地址，返回网页的数据包，也就是说，网页的浏览，实际上就是数据包的交换。

如果能把数据包捕获，通过分析这些数据，我们就可以知道网络中这些数据包传输的信息。

那么如何捕获这些数据包呢？

2.2网络数据包捕获原理

由于目前用的最多的网络形式是以太网[2]，在以太网上，数据是以被称为帧的数据结构为单位进行交换的，而帧（数据包）是用被称为带碰撞检测的载波侦听多址访问即CSMA/CD（carriersensemultipleaccesswimcollisiondctection）的方式发送的，在这种方法中，发送到指定地址的帧实际上是发送到所有计算机的，只是如果网卡检测到经过的数据不是发往自身的，简单忽略过去而已。

正是这种基于CSMS/CD的广播机制，这就给连接在网络上的计算机捕获来自于其他主机的数据带来了可能，即通过对网络接口的设置可以使网卡能够接收到所有经过该机器的数据，然后将这些数据做相应处理并实时分析这些数据的内容，进而分析网络当前状态和整体布局。

这里，通过设置硬路由器的监听端口来捕获数据包的方式不再本文讨论范围内。

从广义的角度上看，一个包捕获机制包含三个主要部分：

首先是最底层针对特定操作系统的包捕获机制，然后是最高层针对用户程序的接口，第三部分是包过滤机制。

不同的操作系统实现的底层包捕获机制可能是不一样的，但从形式上看大同小异。

数据包常规的传输路径依次为网卡、设备驱动层、数据链路层、IP层、传输层、最后到达应用程序。

而包捕获机制是在数据链路层增加一个旁路处理，对发送和接收到的数据包做过滤/缓冲等相关处理，最后直接传递到应用程序。

值得注意的是，包捕获机制并不影响操作系统对数据包的网络栈处理。

对用户程序而言，包捕获机制提供了一个统一的接口，使用户程序只需要简单的调用若干函数就能获得所期望的数据包。

这样一来，针对特定操作系统的捕获机制对用户透明，使用户程序有比较好的可移植性。

包过滤机制是对所捕获到的数据包根据用户的要求进行筛选，最终只把满足过滤条件的数据包传递给用户程序。

2.3网络数据包的捕获方法

2.3.1原始套接字

套接字[3]（Sock）是网络应用编程接口。

应用程序可以使用它进行网络通信而不需要知道底层发生