标签:
能从物理上访问网络上的流量后,你需要用软件把它记录下来。这里,我们探究记录、解析和分析被捕获的数据包中最常用的软件库:libpcap和WinPcap。也将介绍包括tcpdump、Wireshark等基于这两个库的工具。
libpcap是一个UNIX下的C函数库,它提供的API,能获取和过滤从任意一块网卡在数据链路层上的帧。不同的UNIX系统有不同的架构去处理数据链路层上的数据帧,所以程序员如果想要写一个能运行在UNIX上的、直接读取或者操作数据链路层上的帧的应用程序,他就不得不专门为这个特点版本的UNIX写一个访问帧的函数。libpcap的目的就是提供一个抽象层,这样程序员就能编写可运行在所有版本的UNIX上的包获取和分析工具了。
WinPcap是一个专为Windows系统设计的、基于libpcap的库。地址:http://www.winpcap.org/
当前最流行的包嗅探和分析工具(tcpdump,Wireshark,Snort,nmap,ngrep等许多工具),都是基于libpcap函数库的。因此这些工具相互都是兼容的,也就是说,我们用一种工具抓取的数据包可以直接被另一种工具读取和分析。基于libpcap的应用程序有一个典型的特征:它们都可以从任意一种网络接口设备上抓取第二层数据包,并把获取的数据存储到一个文件中去,供之后分析。其他工具可以读取这些“抓包文件”或“pcap”文件,在根据特定的协议信息对流量进行过滤后,可能又会把精简过的数据写道另一个文件中去,供进一步分析之用。
标签:
原文地址:http://www.cnblogs.com/zhongxinWang/p/4302926.html