这一节是本系列教程的结尾了，内容也比较简单，主要是对网络协议进行分析，其实学过计算机网络的同学完全可以略过
在整个项目中需要有一个头文件存放各层协议的头部定义，我把它们放在了head.h中，这个头文件都有什么呢，首先放几个关于协议的宏定义，这样可以让整个程序显得更加清晰：
1 /* 网络层协议类型 */ 2 #define IP 0x0800 3 #define ARP 0x0806 4 #define RARP 0x8035 5 6 /* 传输层类型 */ 7 #define ICMP 0x01 8 #define IGMP 0x02 9 #define TCP 0x06 10 #define EGP 0x08 11 #define UDP 0x11 12 #define IPv6 0x29 13 #define OSPF 0x59
之后就是存放协议的头部定义了，对照着头部定义，用合适的类型定义各个字段，比如IP协议头：
1 typedef struct ip_address 2 { 3 u_char byte1; 4 u_char byte2; 5 u_char byte3; 6 u_char byte4; 7 }ip_address; 8 9 /* IPv4 首部 */ 10 typedef struct ip_header 11 { 12 u_char ver_ihl; // 版本 (4 bits) + 首部长度 (4 bits) 13 u_char tos; // 服务类型(Type of service) 14 u_short tlen; // 总长(Total length) 15 u_short identification; // 标识(Identification) 16 u_short flags_fo; // 标志位(Flags) (3 bits) + 段偏移量(Fragment offset) (13 bits) 17 u_char ttl; // 生存时间(Time to live) 18 u_char type; // 协议(Protocol) 19 u_short crc; // 首部校验和(Header checksum) 20 ip_address saddr; // 源地址(Source address) 21 ip_address daddr; // 目的地址(Destination address) 22 u_int op_pad; // 选项与填充(Option + Padding) 23 }ip_header;
当然有些位置的意义是小于一个字节大小的，比如TCP协议中的标志位字段，有URG，ACK，PSH，RST，SYN，FIN，这些在之后用&&运算可以方便求得
当数据包被pcap_next_ex()函数捕获后，我们需要其中的两个参数，pcap_next_ex()函数原型如下：
1 int pcap_next_ex(pcap_t *, struct pcap_pkthdr **, const u_char **);
第一个参数是一个已打开的捕捉实例，也就是之前我们选择的适配器，第二个参数是一个结构体，其中内容有：
1 struct pcap_pkthdr 2 { 3 struct timeval ts; ts是一个结构struct timeval，它有两个部分，第一部分是1900开始以来的秒数，第二部分是当前秒之后的毫秒数 4 bpf_u_int32 caplen; 表示抓到的数据长度 5 bpf_u_int32 len; 表示数据包的实际长度 6 }
因为在某些情况下你不能保证捕获的包是完整的，例如一个包长1480，但是你捕获到1000的时候，可能因为某些原因就中止捕获了，所以caplen是记录实际捕获的包长，也就是1000，而len就是1480。第三个参数就是数据包的内容后两个参数是对我们有用的，将其传递到显示数据包概略的函数ShowPacketList中
每当捕获以个数据包，需要进行保存，在MFC中可以用CArray，CArray是一个动态数组，它的用法是：CArray<Object,Object> Var1;前一个参数是指定存储在数组中的对象的类型，后一个参数是指定用于访问存储在数组中对象的参数类型。其实这两个参数一般是一样的类型，程序中存储每次抓包的pkt_header和pkt_data就用如下CArray表示：
CArray<const struct pcap_pkthdr *,const struct pcap_pkthdr *> m_pktHeaders; CArray<const u_char *,const u_char *> m_pktDatas;
CArray类的一些常用成员函数有：GetAt返回在给定索引上的值；Add增加一个元素；GetSize获得此数组中的元素数
存储完捕获的数据包，就可以利用pkt_data的信息来分析数据包，在分析数据包中的数据时注意，数据包的数据是按照小端模式存储的，对于大于1字节的内容需要用noths或是nothl进行转化（前者对应short，后者对应Long）。举一个例子，比如数字0x12 34 56 78在内存中的表示形式为：0x78 | 0x56 | 0x34 | 0x12 ，这时就需要noths来转化为正确的顺序。显示数据包概要的函数部分代码如下：
1 ethernet_header *eh; 2 eh = (ethernet_header *)pkt_data; 3 str.Format(_T("%x:%x:%x:%x:%x:%x"),eh->saddr.byte1,eh->saddr.byte2,eh->saddr.byte3,eh->saddr.byte4,eh->saddr.byte5,eh->saddr.byte6); 4 m_list1.SetItemText(nCount,2,str); 5 str.Format(_T("%x:%x:%x:%x:%x:%x"),eh->daddr.byte1,eh->daddr.byte2,eh->daddr.byte3,eh->daddr.byte4,eh->daddr.byte5,eh->daddr.byte6); 6 m_list1.SetItemText(nCount,3,str); 7 str.Format(_T("%ld"),pHeader->len); 8 m_list1.SetItemText(nCount,4,str); 9 /*处理网络层*/ 10 switch(ntohs(eh->type)) 11 { 12 case IP: 13 { 14 ip_header *ih; 15 const u_char *ip_data; 16 ip_data=pkt_data+14; 17 ih = (ip_header *)ip_data; 18 u_int ip_len;//IP首部长度 19 ip_len = (ih->ver_ihl & 0xf) * 4; 20 str.Format(_T("%d.%d.%d.%d"),ih->saddr.byte1,ih->saddr.byte2,ih->saddr.byte3,ih->saddr.byte4); 21 m_list1.SetItemText(nCount,6,str); 22 str.Format(_T("%d.%d.%d.%d"),ih->saddr.byte1,ih->saddr.byte2,ih->saddr.byte3,ih->saddr.byte4); 23 m_list1.SetItemText(nCount,7,str); 24 /*处理传输层*/ 25 switch(ih->type) 26 { 27 case TCP:
就这样陷入一层一层的分析中，对于数据包的详细分析，也就是在树形结构中显示的代码也与次类似，不做分析。
在统计部分，除了有统计各种数据包的数目外，还有一部分是流量分析：
这一部分的实现也比较简单，对于某些常用的软件，都是通过固定端口进行数据传输的，比如QQ 默认采用 UDP 通讯方式，端口 8000，8001。如果 UDP 的两个端口不通，会自动转换到 TCP 80 端口或者 TCP 443 端口进行通讯。 QQ 同时也支持 HTTP 代理模式及 SOCK5代理模式。阿里旺旺采用 TCP 通讯方式，默认登录端口为 16000，当 16000 端口不通时，则跳转到 443 端口进行通讯。所以通过对固定端口的监听，可以知道哪些软件产生了流量（这样做并不完美，有兴趣的可以分析应用层协议）
1 if(ntohs( th->sport ) == 0x3E80 || ntohs( th->dport ) == 0x3E80) //阿里旺旺流量为TCP端口16000 2 m_wangCount++; 3 if(ntohs( th->sport ) == 0x747 || ntohs( th->dport ) == 0x747) //MSN流量为TCP端口1863 4 m_msnCount++;
写在最后：
整体感觉编写一个嗅探器的技术层面上并不困难，但是比较繁琐，尤其是在界面方面，但是对理解网络协议还是很有帮助的。如果您需要源代码可以点此下载。源码中有一些冗余，有些数据在传递过程中并不安全，有些变量为了方便放在了public中，还请酌情参考。