简介这份资源是华中科技大学2018年计算机网络安全课程的实验源码面向正在学习网络安全、网络编程与协议分析的高校学生及自学者用于完成基于Winpcap的数据包嗅探与ARP攻击实验。压缩包共27个文件约293KB以C源码为主体包含7个cpp与8个h文件另有2个ui界面文件、1个pro工程文件和1个qrc资源文件配合5张png与2张jpg截图整体结构清晰便于直接编译运行与二次修改。实验内容覆盖数据包抓取与协议解析、ARP欺骗实现中间人攻击等核心环节读者可从中理解抓包线程、发包线程与ARP攻击线程的协作机制掌握协议头解析与界面交互的实现思路。目前已有2814人学习下载适合作为课程实验参考、网络安全入门练手项目或协议分析工具的开发模板。1. 从抓包到解析一份能跑通的网络安全实验源码长什么样很多人第一次接触网络安全实验卡住的地方不是协议本身而是环境。老师布置一个“基于 WinPcap 实现数据包分析器”的任务听起来无非就是抓包、拆包、打印但真坐到电脑前第一步装库就能劝退一半人。这份实验源码解决的正是这个断层它把 WinPcap 的调用、网卡枚举、抓包回调、协议解析、统计输出串成一条完整链路让你不用从零去啃文档直接能看到一个能跑起来的最小嗅探器。适合两类人一是正在做同类课程实验、需要一份可参照实现的学生二是想理解“抓包工具底层到底在干什么”的开发者。它不教你写一个 Wireshark但能让你把“数据包从网卡到应用层”这条路走通一遍知道每一层协议头长什么样、偏移量怎么算、哪些字段值得提取。下面我按实际复现顺序拆开讲包括环境怎么配、代码怎么读、参数怎么调、哪里最容易翻车。2. 环境搭建与 WinPcap 选型为什么不是随便装个库就行2.1 WinPcap 与 Npcap 的关系以及这份源码为什么依赖前者WinPcap 是 Windows 平台上最早的抓包驱动加库的组合它提供了一套底层接口让应用程序能绕过协议栈直接访问网卡收发的原始帧。后来 Win10 之后官方不再更新社区出了 Npcap 作为替代API 基本兼容但安装选项和驱动签名策略变了。这份实验源码用的是 WinPcap 的头文件和库典型文件是pcap.h、wpcap.lib、Packet.lib。如果你直接拿 Npcap 的 SDK 去编译大部分函数能过但个别结构体字段和链接库名字有差异容易在链接阶段报LNK2019。常见做法是先确认源码里#include pcap.h和#include Packet.h的路径然后在项目属性里把包含目录指向 WinPcap 的Include库目录指向Lib链接器附加依赖项写wpcap.lib和Packet.lib。如果手头只有 Npcap就把附加依赖项改成wpcap.lib和Packet.lib对应的 Npcap 版本同时把#define WPCAP和#define HAVE_REMOTE保留这两个宏决定了能不能用远程抓包和部分扩展函数。提示WinPcap 安装包在 Win10/Win11 上可能提示驱动不兼容安装时勾选“兼容模式”或者直接用 Npcap 的“WinPcap API 兼容模式”安装后者会同时提供wpcap.dll源码不用大改。2.2 从零建一个能编译的工程步骤与参数我一般会新建一个空的 C 控制台工程字符集选“使用多字节字符集”因为源码里大量用了char*和printf改成 Unicode 会多出一堆转换。然后把源码里的.c或.cpp文件加进来再配三个地方# 以 Visual Studio 为例在项目属性里设置 # 1. C/C - 常规 - 附加包含目录 C:\WinPcap\Include # 2. 链接器 - 常规 - 附加库目录 C:\WinPcap\Lib # 3. 链接器 - 输入 - 附加依赖项 wpcap.lib Packet.lib ws2_32.libws2_32.lib容易被漏掉因为源码里可能用了ntohs、inet_ntoa这类函数它们属于 Winsock 库。不链接这个库报错信息是无法解析的外部符号 __imp__ntohs4新手看到这种名字往往不知道去哪找。参数上包含目录和库目录必须指向你实际安装的路径不要照抄网上的C:\WpdPack那是旧版开发包的默认路径现在很少见。如果编译通过但运行时报“找不到 wpcap.dll”就把C:\Windows\System32\wpcap.dll确认存在或者把 WinPcap 安装目录下的 dll 复制到 exe 同目录。2.3 网卡枚举与设备选择为什么你的程序抓不到包源码里通常有一段pcap_findalldevs的调用用来列出所有网卡然后让用户输入编号选择。这里最常见的翻车是程序列出了五六个设备你选了第一个结果一个包都抓不到。原因是 WinPcap 列出的设备里包含“拨号适配器”“虚拟网卡”“回环适配器”真正在用的物理网卡可能排在后面。判断方法看设备名里的描述带“Intel”“Realtek”“Ethernet”字样的通常是物理网卡带“WAN Miniport”“VirtualBox”“VMware”的是虚拟的。选错设备不会报错只是pcap_next_ex一直返回 0看起来像程序卡死。另一个参数是pcap_open_live的snaplen源码里一般设 65536意思是抓完整帧如果设成 96就只能抓到帧头解析 IP 选项和 TCP 载荷时会缺数据。promisc参数设 1 表示混杂模式能抓到经过网卡但不是发给本机的包实验里通常设 1但某些无线网卡驱动不支持混杂模式设了也无效这时候只能抓本机流量。3. 抓包主循环与回调函数把数据包从网卡捞上来3.1 pcap_loop 与 pcap_next_ex 的取舍源码里抓包有两种写法一种是pcap_loop(adhandle, 0, packet_handler, NULL)另一种是while ((res pcap_next_ex(adhandle, header, pkt_data)) 0)。前者把控制权交给库每来一个包就调一次回调函数代码结构清晰后者是主动轮询适合需要在两次抓包之间做其他事情的场景。这份实验源码用的是回调方式因为要统计包数量、按协议分类回调里直接累加最方便。pcap_loop的第二个参数是抓包数量0 表示无限抓直到按 CtrlC。第三个参数是回调函数指针签名固定为void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)。header里有ts时间戳、caplen实际抓到的长度、len原始帧长度这两个长度在正常情况相等如果 snaplen 设小了就会不等。pkt_data指向帧的起始位置解析就从这里开始。3.2 以太网帧头解析14 字节里的偏移与类型判断拿到pkt_data后第一步是跳过以太网帧头。帧头固定 14 字节6 字节目的 MAC、6 字节源 MAC、2 字节类型。类型字段用ntohs转成主机字节序后判断0x0800 是 IPv40x0806 是 ARP0x86DD 是 IPv6。源码里通常定义一个结构体// 以太网帧头结构注意字段顺序和字节序 struct ethernet_header { u_char dest_mac[6]; // 目的 MAC u_char src_mac[6]; // 源 MAC u_short type; // 上层协议类型网络字节序 };解析时用ethernet_header *eth (ethernet_header*)pkt_data;然后ntohs(eth-type)判断。这里有个坑结构体直接强转依赖内存对齐如果编译器默认按 4 字节对齐type字段的偏移可能变成 12 而不是 12实际上前两个字段各 6 字节加起来 12u_short在偏移 12 处正好是 2 字节对齐所以没问题。但如果换成#pragma pack(1)之外的对齐设置或者结构体里混了其他类型偏移就会错。稳妥做法是用指针加法手动算u_short type ntohs(*(u_short*)(pkt_data 12));这样不依赖结构体布局。MAC 地址打印用%02x:%02x:...格式源码里一般写个循环或宏。3.3 IP 头与 TCP/UDP 头解析可变长度字段怎么处理跳过 14 字节后就是 IP 头。IP 头固定部分 20 字节但有个ihl字段表示首部长度单位是 4 字节所以实际长度是ihl * 4。源码里常见错误是直接按 20 字节跳过遇到带选项的 IP 包就解析错位。正确做法// 假设 pkt_data 已经指向 IP 头起始 u_char ip_header_len (pkt_data[0] 0x0f) * 4; // 低 4 位是首部长度 u_char protocol pkt_data[9]; // 协议字段 // 跳过 IP 头指向 TCP/UDP 头 const u_char *transport pkt_data ip_header_len;protocol为 6 是 TCP17 是 UDP1 是 ICMP。TCP 头也有可变长度data offset在高 4 位单位也是 4 字节。UDP 头固定 8 字节。解析端口时用ntohs(*(u_short*)(transport))取源端口2取目的端口。这里要注意如果抓到的包被 snaplen 截断caplen小于实际需要解析的长度继续读就会越界。源码里一般用header-caplen做边界检查但很多实验版本省略了跑在小流量下没事一抓大包就崩。我一般会在解析每个头之前加一句if (header-caplen 14 ip_header_len 20) return;之类的判断虽然啰嗦但能避免玄学崩溃。4. 协议统计与输出把抓到的包变成可读信息4.1 计数器设计与线程安全源码里通常定义一组全局变量int tcp_count, udp_count, icmp_count, other_count;在回调里根据协议类型累加。单线程抓包时没问题但如果想边抓边刷新界面就得考虑线程安全。实验版本一般用pcap_loop阻塞抓包按 CtrlC 后打印统计所以全局变量够用。输出格式常见的是每抓一个包打印一行时间戳、源 IP、目的 IP、协议、长度。时间戳用header-ts.tv_sec和tv_usec转成HH:MM:SS.mmm格式。IP 地址用inet_ntoa(*(struct in_addr*)ip_header[12])取源地址16取目的地址。注意inet_ntoa返回的是静态缓冲区连续调用会覆盖所以要么立刻打印要么用inet_ntop自己提供缓冲区。4.2 过滤规则设置BPF 语法与常见表达式WinPcap 支持 BPF 过滤在pcap_open_live之后、pcap_loop之前调用pcap_compile和pcap_setfilter。源码里可能把过滤表达式写死成ip或tcp也可能让用户输入。常见表达式表达式含义ip只抓 IPv4 包tcp port 80只抓 TCP 80 端口host 192.168.1.1只抓与该 IP 相关的包not arp排除 ARPudp and port 53只抓 DNS 查询设置过滤的代码struct bpf_program fcode; if (pcap_compile(adhandle, fcode, tcp port 80, 1, 0xffffffff) 0) { fprintf(stderr, 编译过滤规则失败\n); return -1; } if (pcap_setfilter(adhandle, fcode) 0) { fprintf(stderr, 设置过滤规则失败\n); return -1; }pcap_compile的第四个参数optimize设 1 表示优化第五个参数是子网掩码不知道就填0xffffffff。如果表达式写错pcap_compile返回 -1错误信息用pcap_geterr(adhandle)取。新手常犯的错是把过滤规则写成port 80这在 BPF 里合法但同时匹配 TCP 和 UDP 的 80 端口如果只想抓 TCP 就得写tcp port 80。4.3 输出重定向与日志落盘实验里经常要求把抓包结果保存到文件方便后续分析。WinPcap 提供pcap_dump_open和pcap_dump可以把原始包存成.pcap格式用 Wireshark 打开。用法pcap_dumper_t *dumpfile pcap_dump_open(adhandle, capture.pcap); // 在回调里 pcap_dump((u_char*)dumpfile, header, pkt_data); // 结束前 pcap_dump_close(dumpfile);这样存下来的是原始帧不带解析结果。如果想存文本日志就在回调里用fprintf写文件但要注意频繁写盘会影响抓包性能高流量下可能丢包。我一般会加一个缓冲区攒够一定行数再fflush或者直接用setvbuf设置全缓冲。另外pcap_dump_open的文件名如果已存在会覆盖实验里最好用时间戳命名避免多次运行互相覆盖。5. 避坑与排查那些让实验卡住的典型问题5.1 编译报错“无法打开 pcap.h”现象包含目录明明设了还是提示找不到头文件。原因通常是项目属性里改的是 Debug 配置但编译的是 Release或者反过来。解决在属性管理器里确认当前配置和平台Win32/x64与包含目录设置一致。另一个原因是路径里有空格或中文WinPcap 的旧版开发包对中文路径支持不好把开发包放到纯英文路径下。5.2 运行时报“Error opening adapter”现象pcap_open_live返回 NULL错误信息是“Error opening adapter: 系统找不到指定的文件”。原因选错了设备或者没有以管理员权限运行。WinPcap 抓包需要管理员权限普通用户运行会打开失败。解决右键 exe 以管理员身份运行或者在项目属性里把“链接器 - 清单文件 - UAC 执行级别”改成requireAdministrator这样每次启动自动提权。5.3 抓到的包全是乱码或解析错位现象打印出来的 MAC 地址、IP 地址看起来像随机数。原因字节序没转换或者结构体对齐导致偏移错误。解决所有多字节字段用ntohs或ntohl转主机序不要依赖结构体强转用指针加固定偏移读取。如果还是不对用 Wireshark 抓同一个包对比看你的解析结果和 Wireshark 的差异在哪一层。5.4 程序运行一段时间后崩溃现象抓了几百个包后突然闪退。原因回调里用了固定大小的缓冲区或者解析时越界读。比如把 IP 地址拷到char buf[16]但inet_ntoa返回的字符串可能超过 15 字符带端口时。解决检查所有数组边界解析前用caplen判断剩余长度。另一个常见原因是pcap_loop的回调里做了耗时操作比如写文件不缓冲导致库内部缓冲区溢出。把耗时操作移到单独线程或者用pcap_next_ex主动控制节奏。5.5 统计结果与 Wireshark 不一致现象你的程序统计 TCP 包 100 个Wireshark 显示 120 个。原因过滤规则不同或者抓包时机不同。Wireshark 默认抓所有包你的程序可能设了ip过滤排除了 ARP 和 IPv6。另外pcap_loop的cnt参数如果设了非 0 值抓够就停而 Wireshark 一直抓。解决把过滤规则设成空字符串cnt设 0再对比。如果还有差异检查是否开启了混杂模式以及网卡是否支持。6. 进阶技巧把嗅探器改成能用的分析工具实验源码跑通只是起点真正让这份代码有价值的是把它改成能解决具体问题的工具。我一般会做三件事第一加一个简单的会话重组把同一个 TCP 流的包按序列号排序提取载荷里的 HTTP 请求行这样能直接看到访问了哪些域名。实现思路是用一个哈希表键是“源 IP 源端口 目的 IP 目的端口”值是包列表收到 FIN 或 RST 后按序列号排序拼接。第二加协议识别不只看端口还看载荷特征比如 DNS 查询的\x00\x01标志、HTTP 的GET /开头这样能识别非标准端口的服务。第三把统计输出改成实时刷新用SetConsoleCursorPosition把光标移回开头覆盖打印看起来像top命令。这些改动都不大但能让你的实验报告多出不少可写的内容。验证方法上我习惯用ping产生 ICMP、用nslookup产生 DNS、用浏览器访问一个 HTTP 网站产生 TCP然后看程序能不能分别识别。如果 ICMP 统计为 0检查 IP 头的protocol字段是不是 1如果 DNS 统计不到检查是否过滤了 UDP 53。最后留一个我自己的习惯每次改完解析代码先用一个固定的.pcap文件回放而不是实时抓包。pcap_open_offline可以打开之前存的包文件这样每次运行结果可复现排查问题时不用靠运气。从那以后我每次调解析逻辑都强制走一遍离线回放确认无误再上真网卡。希望帮到你。本文还有配套的精品资源点击获取