1、工欲善其事，必先利其器。為了有利于深入了解 WinPcap的內部機制，我們需要 對網絡分析與嗅探、網絡模型與硬件基礎作必要了解。1.1 什么是網絡分析與嗅探網絡分析 （Network analysis） （ 也稱為網絡流量分析、協議分析、嗅探、數 據包分析、竊聽，等等 ） 就是通過捕獲網絡流量并深入檢查，來決定網絡中發生 了什么情況的過程。 一個網絡分析器對通用協議的數據包進行解碼， 并以可讀的 格式顯示網絡流量的內容。嗅探器（ sniffer ）是一種監視網絡上所傳輸數據的 程序。未經授權的嗅探器對網絡安全構成威脅， 因為它們很難被發現并且可在任 何地方被插入，這使得它們成為黑客最喜歡使用的

2、一種工具。網絡分析器之間的差別， 在于諸如支持能解碼的協議數量、 用戶接口、 圖形 化與統計能力等主要特性的不同。 其它的差別還包括了推理能力 （比如， 專家分 析特性）與數據包解碼的質量。 盡管幾個不同的網絡分析器針對同一個協議進行 解碼，但在實際環境中可能其中的一些會比另外一些工作得更好。圖 2-1 為 Wireshark 網絡分析器的顯示窗口。 一個典型的網絡分析器用三個 窗格顯示所捕獲的網絡流量：圖2-1 Wireshark網絡分析器的顯示窗口概要 該窗格對所捕獲的內容顯示一行概要。包含日期、時間、源地址、目 標地址、與最高層協議的名字與信息字段。詳情該窗格提供所捕獲數據包所包含的每層

3、細節信息（采用樹形結構）。數據該窗格用十六進制與文本格式顯示原始的被捕獲數據。一個網絡分析器是由硬件與軟件共同組成。可以是一個帶有特定軟件的單獨 硬件設備，或者是安裝在臺式電腦或膝上電腦之上的一個軟件。 盡管每種產品之 間具有差別，但都是由下列五個基本部分組成。硬件多數網絡分析器是基于軟件的，并工作于標準的操作系統與網卡之上。 然而，一些硬件網絡分析器提供額外的功能，諸如分析硬件故障（比如循環冗余糾錯（CRC錯誤、電壓問題、網線問題、抖動、逾限（jabber ）、協商錯誤等 等）。一些網絡分析器僅支持以太網或無線網適配器，而其它的可支持多重適配器，并允許用戶定制它們的配置。依據實際情況，可能也

4、需要一個集線器或一個 網線探針（cable tap ）連接已有的網線。捕獲驅動器 這是網絡分析器中負責從網線上捕獲原始網絡流量的部分。它 濾出了所需保持的流量， 并把所捕的獲數據保存在一個緩沖區中。 這是網絡分析 器的核心沒有它就無法捕獲數據。緩沖區 該組件存儲所捕獲的數據。數據能夠被存入一個緩沖區中只到該緩 沖區被填滿為止， 或者采用循環緩沖的方式， 那么最新的數據將會替換最舊的數 據。采用磁盤或內存均可實現緩沖區。實時分析 當數據一離開網線，該特性就可對數據執行分析。一些網絡分析 器利用該特性發現網絡性能問題、同時網絡入侵檢測系統利用它尋找入侵活動。解碼（ 器） 該組件顯示網絡流量的內容（帶有描述），所