win7数据包拦截

1、简介

所谓“底层数据包”指的是在“运行”于数据链路层的数据包，简单的说就是“以太网帧”，而我们常用的只能发送“运行”在传输层的TCP、UDP等包，这些传输层数据包已经能满足绝大部分需求，但是有些时候还是需要发送底层数据包的（例如SYN扫描），那么如何发送呢？

本文记录了我试图实现的过程中遇到的一些问题以及解决办法，需要注明：①本文只考虑上的实现②本文主要目的是实现发送部分③本文假定读者理解网络分层结构和一些基本的网络编程方法④本文只是在讨论常规技术，切勿用作不法用途。

2、实现底层数据包发送的简单方法

A)

是实现底层（网络层）数据包最轻松方便的途径，在使用（或）创建时，可以用将类型设置为Raw：

socket=WSASoccket(AF_INET,SOCK_RAW,IPPROTO_IP,NULL,

0,0)//创建一个原始套接字

使用IPPROTO_RAW初始化的原始套接字可以直接收发网络层数据包，发送一个TCP包时需要手工构造IP头、TCP头、内容以及各校验和，构造完数据包后，用sendto方法将该包发送（注意到，手工构造的IP包头中已经包含了目的IP地址，所以sendto的目的地址参数是无意义的）。RawSocket非常方便，其他平台下的socket()函数也有类似功能。那么，用RawSocket是否就可以达到目的呢？答案是否定的。

从WindowsXPSP2开始，以后的操作系统（除了部分Server系统外），出于安全考虑，微软对RawSocket加了若干限制[3]，主要的限制如下：

　　a)无法使用RawSocket发送TCP包。(??)!?

　　b)无法使用RawSocket发送源IP地址不正确的UDP包。（意思是不能用它伪造源地址）

　　c)无法在一个类型为IPPROTO_TCP的RawSocket上调用bind()函数。

加上限制以后，RawSocket的功能就十分有限了，但也有几个方法可以继续使用：

　　①手动修改tcpip.sys，使用Cracker的思路，所谓“限制”反映到代码中，是几条if语句，再反映到PE文件上，则是一些jz\jne等指令，那么修改tcpip.sys的特定字节就可以解除这些限制，这个方法很早之前已被人实现过，虽然很巧妙，但缺点也显而易见。

　　②使用虚拟机，里面装一个WindowsXPSP2以前的系统即可，这个方法理论上应该可行，但会牺牲效率和便捷。

　　那么还有没有其他方法呢？

B)Winpcap

Winpcap是一个由多组件（动态链接库+驱动程序）和相关SDK组成的"库"。它可以提供监听底层数据包、发送底层数据包的功能，但要注意，Winpcap不能提供底层包过滤等功能，所以不能用它做防火墙。Winpcap的使用非常简单，用它发送一个以太网帧的代码如下：

1#includestdlib.h2#includestdio.h34#includepcap.h56voidmain(intargc,char**argv)

7{

8pcap_t*fp;

9charerrbuf[PCAP_ERRBUF_SIZE];

10u_charpacket[100];

111213if((fp=pcap_open(argv[1],//设备名14100,//要捕获的部分(只捕获前100个字节)15PCAP_OPENFLAG_PROMISCUOUS,//混杂模式161000,//读超时时间17NULL,//远程机器验证18errbuf//错误缓冲19))==NULL)

20{

21fprintf(stderr,"

Unabletoopentheadapter.%sisnotsupportedbyWinPcap

",argv[1]);

22return;

23}

24272829if(pcap_sendpacketwin7数据包拦截(fp,packet,100)!=0)

30{

31fprintf(stderr,"

Errorsendingthepacket:

",pcap_geterr(fp));

32return;

33}

34return;

35}

上述代码发送了一个以太网帧，可分为三步：打开WinPcap设备（句柄/描述符？）、手工构造一个底层数据包、发送！整个过程没有多余动作，非常简单。那么Winpcap是如何实现的呢？

左图是来自Winpcap官方文档的一个架构图，Winpcap最底层是一个NPF（NetgroupPacketFilter，网络组包过滤）驱动，这是一个NDIS中间件驱动，所有经过网卡的数据包都会“途经”该驱动，在收到路过的数据包时，NPF可以选择仅仅统计一下包的情况或写入文件（做流量监控），或者写到一个环形缓冲区中，然后用户态程序调用wpcap.dll中一些函数，使用WinAPI和驱动程序交互，获取驱动缓冲区中的数据，则达到了监控底层数据包的目的。至于发送数据包，用户态程序调用Winpcap的SDK函数，这些函数调用dll中的方法，dll再用API和NPF通信，NPF是很最低层的驱动了，但它并不负责直接收发数据，NPF再调用更底层的网卡驱动实现数据包的发送。

值得注意的是，Winpcap中NPF的数据包过滤部分十分有趣，它基于BSDPacketFilter（BPF），这是一种能实现极高效率数据过滤的方案，在BPF中，一个复杂的过滤（匹配）规则被转化成一个规则符号串（或称BPF程序），然后在过滤的时候并不会对原过滤规则进行计算，而是将数据送入一个由规则符号串控制的状态机中进行处理，这种符号串可由状态机表示，在NPF中则进行了进一步优化，匹配规则转化为符号串再生成为机器码。过滤规则由用户态程序给出，在传入驱动之前，wpcap.dll将其转换为BPF程序，NPF收到后，在调用它过滤之前将其转换为机器码，再调用转换后的“过滤函数”匹配底层数据包，以追求高效率。

Winpcap使用NDIS驱动来做到监听、发送底层数据包，已经是一种很好的解决方案了，说起Windows上的软件对网络设备的操控已经无出其右。但是，如果我们不希望使用像这样的第三方工具呢？或者希望在收发、过滤底层包时做一些自己的处理，甚至在驱动层实现更复杂的逻辑呢？如果是这样，使用Winpcap还不够，我们需要自己写一个驱动来完成这个任务。