工欲善其事，必先利其器。為了有利于深入了解WinPcap的內(nèi)部機制，我們需要對網(wǎng)絡(luò)分析與嗅探、網(wǎng)絡(luò)模型與硬件基礎(chǔ)作必要了解。

1.1 什么是網(wǎng)絡(luò)分析與嗅探

網(wǎng)絡(luò)分析(Network analysis) (也稱為網(wǎng)絡(luò)流量分析、協(xié)議分析、嗅探、數(shù)據(jù)包分析、竊聽，等等)就是通過捕獲網(wǎng)絡(luò)流量并深入檢查，來決定網(wǎng)絡(luò)中發(fā)生了什么情況的過程。一個網(wǎng)絡(luò)分析器對通用協(xié)議的數(shù)據(jù)包進行解碼，并以可讀的格式顯示網(wǎng)絡(luò)流量的內(nèi)容。嗅探器（sniffer）是一種監(jiān)視網(wǎng)絡(luò)上所傳輸數(shù)據(jù)的程序。未經(jīng)授權(quán)的嗅探器對網(wǎng)絡(luò)安全構(gòu)成威脅，因為它們很難被發(fā)現(xiàn)并且可在任何地方被插入，這使得它們成為***最喜歡使用的一種工具。 網(wǎng)絡(luò)分析器之間的差別，在于諸如支持能解碼的協(xié)議數(shù)量、用戶接口、圖形化與統(tǒng)計能力等主要特性的不同。其它的差別還包括了推理能力（比如，專家分析特性）與數(shù)據(jù)包解碼的質(zhì)量。盡管幾個不同的網(wǎng)絡(luò)分析器針對同一個協(xié)議進行解碼，但在實際環(huán)境中可能其中的一些會比另外一些工作得更好。 圖2-1為Wireshark網(wǎng)絡(luò)分析器的顯示窗口。一個典型的網(wǎng)絡(luò)分析器用三個窗格顯示所捕獲的網(wǎng)絡(luò)流量： 圖2-1 Wireshark網(wǎng)絡(luò)分析器的顯示窗口 概要 該窗格對所捕獲的內(nèi)容顯示一行概要。包含日期、時間、源地址、目標(biāo)地址、與最高層協(xié)議的名字與信息字段。 詳情 該窗格提供所捕獲數(shù)據(jù)包所包含的每層細(xì)節(jié)信息（采用樹形結(jié)構(gòu)）。 數(shù)據(jù) 該窗格用十六進制與文本格式顯示原始的被捕獲數(shù)據(jù)。 一個網(wǎng)絡(luò)分析器是由硬件與軟件共同組成。可以是一個帶有特定軟件的單獨硬件設(shè)備，或者是安裝在臺式電腦或膝上電腦之上的一個軟件。盡管每種產(chǎn)品之間具有差別，但都是由下列五個基本部分組成。 硬件 多數(shù)網(wǎng)絡(luò)分析器是基于軟件的，并工作于標(biāo)準(zhǔn)的操作系統(tǒng)與網(wǎng)卡之上。然而，一些硬件網(wǎng)絡(luò)分析器提供額外的功能，諸如分析硬件故障（比如循環(huán)冗余糾錯（CRC）錯誤、電壓問題、網(wǎng)線問題、抖動、逾限（jabber）、協(xié)商錯誤等等）。一些網(wǎng)絡(luò)分析器僅支持以太網(wǎng)或無線網(wǎng)適配器，而其它的可支持多重適配器，并允許用戶定制它們的配置。依據(jù)實際情況，可能也需要一個集線器或一個網(wǎng)線探針（cable tap）連接已有的網(wǎng)線。 捕獲驅(qū)動器 這是網(wǎng)絡(luò)分析器中負(fù)責(zé)從網(wǎng)線上捕獲原始網(wǎng)絡(luò)流量的部分。它濾出了所需保持的流量，并把所捕的獲數(shù)據(jù)保存在一個緩沖區(qū)中。這是網(wǎng)絡(luò)分析器的核心——沒有它就無法捕獲數(shù)據(jù)。 緩沖區(qū) 該組件存儲所捕獲的數(shù)據(jù)。數(shù)據(jù)能夠被存入一個緩沖區(qū)中只到該緩沖區(qū)被填滿為止，或者采用循環(huán)緩沖的方式，那么最新的數(shù)據(jù)將會替換最舊的數(shù)據(jù)。采用磁盤或內(nèi)存均可實現(xiàn)緩沖區(qū)。 實時分析 當(dāng)數(shù)據(jù)一離開網(wǎng)線，該特性就可對數(shù)據(jù)執(zhí)行分析。一些網(wǎng)絡(luò)分析器利用該特性發(fā)現(xiàn)網(wǎng)絡(luò)性能問題、同時網(wǎng)絡(luò)***檢測系統(tǒng)利用它尋找***活動。 解碼(器) 該組件顯示網(wǎng)絡(luò)流量的內(nèi)容（帶有描述），所以是可讀的 。解碼是特定于每個協(xié)議的，因此網(wǎng)絡(luò)分析器當(dāng)前支持可解碼的協(xié)議數(shù)目是變化的，網(wǎng)絡(luò)分析器可能經(jīng)常加入新的解碼。

本文出自 “千江月” 博客，請務(wù)必保留此出處http://eslxf.blog.51cto.com/918801/200736

轉(zhuǎn)載于:https://blog.51cto.com/runhook/386917

總結(jié)

以上是生活随笔為你收集整理的深度剖析WinPcap之(二)——网络分析与嗅探的基础知识(1)的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。