winpcap是windows平台下一个免费，公共的网络访问系统?？inpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。它用于windows系统下的直接的网络编程。

winpcap(windows packet capture)是 windows 平台下一个免费，公共的网络访问系统。开发 winpcap 这个项目的目的在于为 win32 应用程序提供访问网络底层的能力。它用于 windows 系统下的直接的网络编程。

特点

Winpcap 提供了一个强大的编程接口，它很容易地在各个操作系统之间进行移植，也很方便程序员进行开发。

什么样的程序需要使用 Winpcap

很多不同的工具软件使用 Winpcap 于网络分析，故障排除，网络安全监控等方面。Winpcap 特别适用于下面这几个经典领域：

1、网络及协议分析

2、网络监控

3、通信日志记录

4、traffic generators

5、用户级别的桥路和路由

6、网络入侵检测系统（NIDS）

7、网络扫描

8、安全工具

Winpcap 有些方面不能做。它不依靠主机的诸如 TCP/IP 协议去收发数据包。这意味着它不能阻塞，不能处理同一台主机中各程序之间的通信数据。它只能“嗅探”到物理线路上的数据包。因此它不适用于 traffic shapers，QoS 调度，以及个人防火墙。

Winpcap 内部结构

Winpcap 是一个 Win32 平台下用于抓包和分析的系统。包括一个内核级别的 packet filter，一个底层的 DLL(packet.dll)和一个高级的独立于系统的 DLL（Wpcap.dll）

驱动功能

捕获原始数据包，包括在共享网络上各主机发送/接收的以及相互之间交换的数据包；

在数据包发往应用程序之前，按照自定义的规则将某些特殊的数据包过滤掉；

在网络上发送原始的数据包；

收集网络通信过程中的统计信息。

winpcap 的主要功能在于独立于主机协议（如 TCP-IP)而发送和接收原始数据包。也就是说，winpcap 不能阻塞，过滤或控制其他应用程序数据包的发收，它仅仅只是监听共享网络上传送的数据包。因此，它不能用于 QoS 调度程序或个人防火墙。winpcap 开发的主要对象是 windows NT/2000/XP，这主要是因为在使用 winpcap 的用户中只有一小部分是仅使用 windows 95/98/Me，并且 MS 也已经放弃了对 win9x 的开发。因此本文相关的程序 T-ARP 也是面向 NT/2000/XP 用户的。其实 winpcap 中的面向 9x 系统的概念和 NT 系统的非常相似，只是在某些实现上有点差异，比如说 9x 只支持 ANSI 编码，而 NT 系统则提倡使用 Unicode 编码。有个软件叫 snifferpro.可以作网管软件用，有很多功能，可监视网络运行情况，每台网内机器的数据流量,实时反映每台机器所访问 IP 以及它们之间的数据流通情况，可以抓包，可对过滤器进行设置,以便只抓取想要的包，比如 POP3 包,smtp 包，ftp 包等，并可从中找到邮箱用户名和密码,还有 ftp 用户名和密码。它还可以在使用交换机的网络上监听，不过要在交换机上装它的一个软件?；褂幸桓黾虻サ募嗵砑?Passwordsniffer，可截获邮箱用户名和密码，还有 ftp 用户名和密码，它只能用在 HUB 网络上。著名软件 tcpdump 及 idssnort 都是基于 libpcap 编写的，此外 Nmap 扫描器也是基于 libpcap 来捕获目标主机返回的数据包的。

winpcap 提供给用户两个不同级别的编程接口：一个基于 libpcap 的 wpcap.dll，另一个是较底层的 packet.dll。对于一般的要与 unix 平台上 libpcap 兼容的开发来说，使用 wpcap.dll 是当然的选择。

内部结构

Winpcap 是针对 Win32 平台上的抓包和网络分析的一个架构。它包括一个核心态的包过滤器，一个底层的动态链接库（packet.dll）和一个高层的不依赖于系统的库（wpcap.dll）。

为什么使用“architecture”而不是“library”呢？因为抓包是一个要求与网络适配器（网卡）和操作系统交互的底层机制，而且与网络的实施也有密切关系，所以仅用“library”不能充分表达 Winpcap 的作用。

下图表明了 Winpcap 的各个组成部分：

首先，抓包系统必须绕过操作系统的协议栈来访问在网络上传输的原始数据包（raw packet），这就要求一部分运行在操作系统核心内部，直接与网络接口驱动交互。这个部分是系统依赖（system dependent）的，在 Winpcap 的解决方案里它被认为是一个设备驱动，称作 NPF（Netgroup Packet Filter）。Winpcap 开发小组针对 Windows95，Windows98，WindowsME，Windows NT 4，Windows2000 和 WindowsXP 提供了不同版本的驱动。这些驱动不仅提供了基本的特性（例如抓包和 injection），还有更高级的特性（例如可编程的过滤器系统和监视引擎）。前者可以被用来约束一个抓包会话只针对网络通信中的一个子集（例如，仅仅捕获特殊主机产生的 ftp 通信的数据包），后者提供了一个强大而简单的统计网络通信量的机制（例如，获得网络负载或两个主机间的数据交换量）。

其次，抓包系统必须有用户级的程序接口，通过这些接口，用户程序可以利用内核驱动提供的高级特性。Winpcap 提供了两个不同的库：packet.dll 和 wpcap.dll。前者提供了一个底层 API，伴随着一个独立于 Microsoft 操作系统的编程接口，这些 API 可以直接用来访问驱动的函数；后者导出了一组更强大的与 libpcap 一致的高层抓包函数库（capture primitives）。这些函数使得数据包的捕获以一种与网络硬件和操作系统无关的方式进行。

实例

获得网卡接口。在普通的 SOCKET 编程中，对双网卡编程是不行的。当主机为双网卡时，本程序可分别获得两张网卡各自的描述结构及地址，然后可以对它们分别进行操作。返回的 alldevs 队列首部为逻辑网卡，一般不对它进行什么操作。

获得网卡接口

#include?"pcap.h"
void?main()
{
pcap_if_t?*alldevs;
/*struct?pcap_if_t{
pcap_if_t?*next;
ｃｈａｒ?*name;
ｃｈａｒ?*description;
pcap_addr?*addresses;
U_int?falgs;
}
*/
pcap_if_t?*d;
int?i=0;
ｃｈａｒ?errbuf[PCAP_ERRBUF_SIZE];
/*?Retrieve?the?device?list?*/
if?(pcap_findalldevs(&alldevs,?errbuf)?==?-1)//返回网卡列表，alldevs 指向表头
{
fprintf(stderr,"Error?in?pcap_findalldevs:?%s\n",?errbuf);
exit(1);
}
/*?Print?the?list?*/
for(d=alldevs;d;d=d->next)
{
printf("%d.?%s",?++i,?d->name);
if?(d->description)
printf("?(%s)\n",?d->description);
else?printf("?(No?description?available)\n");
}
if(i==0)
{
printf("\nNo?interfaces?found!?Make?sure?WinPcap?is?installed.\n");
return;
}
/*?We?don't?need?any?more?the?device?list.?Free?it?*/
pcap_freealldevs(alldevs);
}

--------------------------------------------------------------------------------

抓包

本程序俘获局域网内 UDP 报文。
#include?"pcap.h"
/*?4?bytes?IP?address?*/
typedef?struct?ip_address{
u_char?byte1;
u_char?byte2;
u_char?byte3;
u_char?byte4;
}ip_address;
/*?IPv4?header?*/
typedef?struct?ip_header{
u_char?ver_ihl;?//?Version?(4?bits)?+?Internet?header?length?(4?bits)
u_char?tos;?//?Type?of?service
u_short?tlen;?//?Total?length
u_short?identification;?//?Identification
u_short?flags_fo;?//?Flags?(3?bits)?+?Fragment?offset?(13?bits)
u_char?ttl;?//?Time?to?live
u_char?proto;?//?Protocol
u_short?crc;?//?Header?checksum
ip_address?saddr;?//?Source?address
ip_address?daddr;?//?Destination?address
u_int?op_pad;?//?Option?+?Padding
}ip_header;
/*?UDP?header*/
typedef?struct?udp_header{
u_short?sport;?//?Source?port
u_short?dport;?//?Destination?port
u_short?len;?//?Datagram?length
u_short?crc;?//?Checksum
}udp_header;
/*?prototype?of?the?packet?handler?*/
void?packet_handler(u_char?*param,?const?struct?pcap_pkthdr?*header,?const?u_char?*pkt_data);
main()
{
pcap_if_t?*alldevs;
pcap_if_t?*d;
int?inum;
int?i=0;
pcap_t?*adhandle;
ｃｈａｒ?errbuf[PCAP_ERRBUF_SIZE];
u_int?netmask;
ｃｈａｒ?packet_filter[]?=?"ip?and?udp";
struct?bpf_program?fcode;
/*?Retrieve?the?device?list?*/
if?(pcap_findalldevs(&alldevs,?errbuf)?==?-1)
{
fprintf(stderr,"Error?in?pcap_findalldevs:?%s\n",?errbuf);
exit(1);
}
/*?Print?the?list?*/
for(d=alldevs;?d;?d=d->next)
{
printf("%d.?%s",?++i,?d->name);
if?(d->description)
printf("?(%s)\n",?d->description);
else
printf("?(No?description?available)\n");
}
if(i==0)
{
printf("\nNo?interfaces?found!?Make?sure?WinPcap?is?installed.\n");
return?-1;
}
printf("Enter?the?interface?number?(1-%d):",i);
scanf("%d",?&inum);
if(inum?<?1??inum?>?i)
{
printf("\nInterface?number?out?of?range.\n");
/*?Free?the?device?list?*/
pcap_freealldevs(alldevs);
return?-1;
}
/*?Jump?to?the?selected?adapter?*/
for(d=alldevs,?i=0;?i<?inum-1?;d=d->next,?i++);
/*?Open?the?adapter?*/
if?(?(adhandle=?pcap_open_live(d->name,?//?name?of?the?device
65536,?//?portion?of?the?packet?to?capture.
//?65536?grants?that?the?whole?packet?will?be?captured?on?all?the?MACs.
1,?//?promiscuous?mode
1000,?//?read?timeout
errbuf?//?error?buffer
)?)?==?NULL)
{
fprintf(stderr,"\nUnable?to?open?the?adapter.?%s?is?not?supported?by?WinPcap\n");
/*?Free?the?device?list?*/
pcap_freealldevs(alldevs);
return?-1;
}
/*?Check?the?link?layer.?We?support?only?Ethernet?for?simplicity.?*/
if(pcap_datalink(adhandle)?!=?DLT_EN10MB)
{
fprintf(stderr,"\nThis?program?works?only?on?Ethernet?networks.\n");
/*?Free?the?device?list?*/
pcap_freealldevs(alldevs);
return?-1;
}
if(d->addresses?!=?NULL)
/*?Retrieve?the?mask?of?the?first?address?of?the?interface?*/
netmask=((struct?sockaddr_in?*)(d->addresses->netmask))->sin_addr.S_un.S_addr;
else
/*?If?the?interface?is?without?addresses?we?suppose?to?be?in?a?C?class?network?*/
netmask=0xffffff;
//compile?the?filter
if(pcap_compile(adhandle,?&fcode,?packet_filter,?1,?netmask)?<0?){
fprintf(stderr,"\nUnable?to?compile?the?packet?filter.?Check?the?syntax.\n");
/*?Free?the?device?list?*/
pcap_freealldevs(alldevs);
return?-1;
}
//set?the?filter
if(pcap_setfilter(adhandle,?&fcode)<0){
fprintf(stderr,"\nError?setting?the?filter.\n");
/*?Free?the?device?list?*/
pcap_freealldevs(alldevs);
return?-1;
}
printf("\nlistening?on?%s...\n",?d->description);
/*?At?this?point,?we?don't?need?any?more?the?device?list.?Free?it?*/
pcap_freealldevs(alldevs);
/*?start?the?capture?*/
pcap_loop(adhandle,?0,?packet_handler,?NULL);
return?0;
}
/*?Callback?function?invoked?bylibpcapfor?every?incoming?packet?*/
void?packet_handler(u_char?*param,?const?struct?pcap_pkthdr?*header,?const?u_char?*pkt_data)
{
struct?tm?*ltime;
ｃｈａｒ?timestr;
ip_header?*ih;
udp_header?*uh;
u_int?ip_len;
/*?convert?the?timestamp?to?readable?format?*/
ltime=localtime(&header->v_sec);
strftime(?timestr,?sizeof?timestr,?"%H:%M:%S",?ltime);
/*?print?timestamp?and?length?of?the?packet?*/
/*?retireve?the?position?of?the?ip?header?*/
ih?=?(ip_header?*)?(pkt_data?+
;?//length?of?ethernet?header
/*?retireve?the?position?of?the?udp?header?*/
ip_len?=?(ih->ver_ihl?&?0xf)?*?4;
uh?=?(udp_header?*)?((u_char*)ih?+?ip_len);
/*?convert?from?network?byte?order?to?host?byte?order?*/
printf("%s.%.6d?len:%d?",?timestr,?header->_usec,?header->len);
/*?print?ip?addresses?*/
printf("%d.%d.%d.%d?->?%d.%d.%d.%d\n",
ih->saddr.byte1,
ih->saddr.byte2,
ih->saddr.byte3,
ih->saddr.byte4,
ih->daddr.byte1,
ih->daddr.byte2,
ih->daddr.byte3,
ih->daddr.byte4
);
}

--------------------------------------------------------------------------------

发包

要在命令行下运行，给与参数：网卡描述符。或者添加代码 findalldevs（），那样应很方便。
#include?<stdlib.h>
#include?<stdio.h>
#include?"pcap.h"
void?usage();
void?main(int?argc,?ｃｈａｒ?**argv)?{
pcap_t?*fp;
ｃｈａｒ?error[PCAP_ERRBUF_SIZE];
u_char?packet[100];
int?i;
/*?Check?the?validity?of?the?command?line?*/
if?(argc?!=?2)
{
printf("usage:?%s?inerface",?argv[0]);
return;
}
/*?Open?the?output?adapter?*/
if((fp?=pcap_open_live(argv,?100,?1,?1000,?error)?)?==?NULL)
{
fprintf(stderr,"\nError?opening?adapter:?%s\n",?error);
return;
}
/*?Supposing?to?be?on?ethernet,?set?mac?destination?to?1:1:1:1:1:1?*/
packet[0]=1;
packet=1;
packet=1;
packet=1;
packet=1;
packet=1;
/*?set?mac?source?to?2:2:2:2:2:2?*/
packet=2;
packet=2;
packet=2;
packet=2;
packet[10]=2;
packet=2;
/*?Fill?the?rest?of?the?packet?*/
for(i=12;i<100;i++){
packet=i%256;
}
/*?Send?down?the?packet?*/
pcap_sendpacket(fp,
packet,
;
return;
}

卸载问题

winpcap 卸载不干净的解决方法

winpcap 卸载不干净的的时候，在 windows 下删除一些文件即可，删除下面的文件即可：

c:\windows\system32\Packet.dll

c:\windows\system32\drivers/npf.sys

c:\windows\system32\WanPacket.dll

c:\windows\system32\wpcap.dll

c:\windows\system32\pthreadVC.dll