简介这是一份基于npcap与Qt开发的网络抓包工具源码面向具备一定网络编程与C基础的开发者用于在Windows平台实现类似Wireshark的数据包捕获与分析功能并支持按需定制过滤规则与解析逻辑。压缩包共86个文件约2.48MB以cpp与h源码、obj与tlog等编译中间文件、vcxproj与sln工程文件为主另含qrc资源、ui界面、png图标及exe可执行文件构成一套可直接编译运行的完整工程。资源描述中提及Java标签实际可能涉及通过JNI调用npcap本地库的跨语言思路为读者理解混合开发提供参考。目前已有378人学习下载。借助该工程读者可研究npcap抓包接口的调用方式、Qt信号与槽驱动界面的实现以及数据包过滤与展示的代码组织适合作为网络监控工具二次开发与课程设计的实践素材。1. 从一份 sniffer 源码包说起npcapQt 到底能抓出什么很多人第一次接触网络抓包都是从 Wireshark 开始的装完、选网卡、点开始数据包就哗哗地滚出来。但真到要把抓包能力嵌进自己的系统里比如做一个带业务过滤的监控面板、给测试工具加一个实时流量窗口Wireshark 那套图形界面反而成了负担。这份_sniffer.zip就是冲着这个场景来的——它用 npcap 做底层抓包用 Qt 做界面模仿 Wireshark 的交互方式把「抓包」这件事拆成可读、可改、可集成的 C 源码。压缩包里是sniffer-main、sniffer.sln、sniffer和x64这几块典型的 Visual Studio 解决方案结构打开就能编译。它适合两类人一类是想搞懂抓包工具内部怎么运转的开发者另一类是需要在 Windows 上快速搭一个自定义抓包界面的工程师。npcap 负责从网卡拿原始帧Qt 负责把帧列表、协议树、十六进制视图画出来中间的解码逻辑就是你可以动手改的地方。下面我按「环境怎么搭 → 代码怎么跑 → 坑在哪 → 怎么改」的顺序把这份源码拆一遍。2. npcap 环境搭建与 Qt 工程导入从零到能编译2.1 为什么是 npcap 而不是 WinPcap在 Windows 上做抓包绕不开驱动层。WinPcap 是很多老教程里的默认选择但它已经停止维护多年在 Win10 之后的系统上经常出现兼容性问题尤其是涉及 NDIS 6.x 的网卡驱动时。npcap 是它的继任者由 Nmap 项目维护支持 Win7 到 Win11安装时会替换掉 WinPcap 的驱动同时保留了 API 兼容性——也就是说原来调pcap_*函数的代码换成 npcap 的库之后基本不用改。这份源码用的是 npcap说明作者至少踩过 WinPcap 的坑。npcap 的安装包分两种模式一种是「WinPcap API 兼容模式」装完之后老程序也能跑另一种是「npcap 原生模式」只提供 npcap 自己的 API。如果你只跑这份 sniffer装默认的兼容模式就行省得后面调库时找不到符号。安装过程中有一个选项容易被忽略「Install Npcap in WinPcap API-compatible Mode」。勾上它wpcap.dll和packet.dll会被放到系统目录Qt 工程里链接wpcap.lib就能直接编译。不勾的话你得手动把 npcap 的 SDK 路径加进工程。2.2 安装 npcap 与验证驱动状态下载 npcap 安装包后右键以管理员身份运行。安装完成后别急着开 Qt先确认驱动是否真的起来了。打开一个管理员权限的命令行执行net start npcap如果返回「服务已经启动」或者「请求的服务已经启动」说明驱动正常。如果报「服务名无效」大概率是安装时没勾选驱动组件或者被杀毒软件拦了。这时候重新跑一遍安装包注意看安装日志里有没有Driver installation failed之类的字样。另一个验证方式是看设备管理器里的网络适配器应该多出一个「Npcap Loopback Adapter」这是用来抓本机回环流量的。没有它也不影响抓物理网卡但如果你要调试本机进程之间的通信这个虚拟网卡很有用。提示安装 npcap 时最好关掉所有正在抓包的程序包括 Wireshark。驱动替换过程中如果有程序占用着旧驱动安装会卡住或者回滚。2.3 Qt 工程导入与依赖配置解压_sniffer.zip你会看到sniffer.sln在根目录。用 Visual Studio 打开它解决方案里应该有两个项目sniffer和sniffer-main。前者是主程序后者可能是公共库或者资源文件。先别急着编译检查三件事第一Qt 版本。工程文件里通常会写死 Qt 的安装路径比如C:\Qt\5.15.2\msvc2019_64。如果你装的是 Qt 6 或者路径不同需要在项目属性里改「Qt Installation」和「Additional Include Directories」。常见做法是打开.vcxproj文件搜索Qt5或者Qt6把路径替换成你自己的。第二npcap SDK 的头文件和库。工程里应该已经引用了pcap.h但库路径可能指向的是作者本机的绝对路径。在项目属性的「链接器 → 输入 → 附加依赖项」里确认有wpcap.lib和Packet.lib。如果没有手动加上并在「VC 目录 → 库目录」里加上 npcap SDK 的Lib\x64路径。第三平台工具集。sniffer.sln里如果配置的是x64就别用 Win32 编译。npcap 的 64 位库和 32 位库不通用混用会报LNK2019无法解析的外部符号。配置完成后右键sniffer项目 → 生成。如果一切顺利你会在x64\Debug或x64\Release下拿到sniffer.exe。2.4 第一次运行选网卡与抓包双击sniffer.exe界面应该和 Wireshark 类似上面是网卡列表中间是数据包列表下面是协议详情和十六进制视图。先点「刷新」或者「接口列表」程序会调用pcap_findalldevs枚举所有网卡。选中你正在用的那块通常名字里带Intel、Realtek或者Npcap Loopback点「开始」。如果列表是空的说明 npcap 驱动没正常工作回到 2.2 重新验证。如果列表有网卡但抓不到包检查一下是不是选了虚拟网卡或者已经断开的适配器。抓包时最好先过滤一下比如只抓icmp然后在本机ping一下网关看能不能收到回包。这是最直接的验证方式。3. 抓包核心逻辑拆解从 pcap_open_live 到 Qt 信号槽3.1 抓包线程与 UI 线程的分离网络抓包是阻塞操作pcap_next_ex会一直等在那里直到有包或者超时。如果直接在 Qt 的主线程里调它界面会卡死点什么都沒反应。这份源码里作者把抓包逻辑放在了一个独立的QThread子类里常见命名是CaptureThread或者SnifferThread。线程的run()函数里做三件事打开网卡、循环抓包、把包发给主线程。打开网卡用pcap_open_live关键参数是snaplen和promisc。snaplen设成 65536 可以抓完整帧设小了会截断后面解析协议时可能缺字段。promisc设 1 表示混杂模式能抓到经过网卡但不是发给本机的包设 0 就只抓本机流量。调试时建议先设 0减少干扰。循环抓包用pcap_next_ex它返回 1 表示抓到了包0 表示超时-1 表示出错-2 表示文件结束抓离线包时用。每次拿到包之后不要直接操作 UI 控件而是通过 Qt 的信号槽机制把数据传出去。// CaptureThread.cpp 核心片段 void CaptureThread::run() { pcap_t *handle pcap_open_live(devName.toStdString().c_str(), 65536, // snaplen 1, // promisc 1000, // timeout ms errbuf); if (!handle) { emit errorOccurred(QString(errbuf)); return; } while (!m_stop) { struct pcap_pkthdr *header; const u_char *pktData; int res pcap_next_ex(handle, header, pktData); if (res 1) { // 拷贝一份数据避免 pcap 缓冲区被复用 QByteArray pkt((const char*)pktData, header-caplen); emit packetCaptured(pkt, header-ts); } else if (res -1) { emit errorOccurred(QString(pcap_geterr(handle))); break; } } pcap_close(handle); }这段代码里有两个细节值得注意。一是QByteArray的拷贝pktData指向的是 pcap 内部缓冲区下一次pcap_next_ex会覆盖它所以必须拷贝出来再发信号。二是m_stop标志位用来在关闭窗口时优雅退出线程不然程序会卡在pcap_next_ex里。3.2 数据包解析以太网帧到 IP 头抓到原始帧之后下一步是解析。这份源码里应该有一个PacketParser类或者类似的工具函数负责把QByteArray拆成协议树。解析顺序是以太网头 → IP 头 → TCP/UDP 头 → 应用层。以太网头固定 14 字节6 字节目的 MAC、6 字节源 MAC、2 字节类型。类型字段0x0800表示 IPv40x86DD表示 IPv60x0806表示 ARP。解析时用struct直接映射但要注意字节序。网络字节序是大端x86 是小端所以ntohs和ntohl不能省。// 以太网头解析 struct EthernetHeader { u_char dstMac[6]; u_char srcMac[6]; u_short etherType; }; void parseEthernet(const u_char *data, int len) { if (len 14) return; auto *eth (EthernetHeader*)data; u_short type ntohs(eth-etherType); if (type 0x0800) { parseIPv4(data 14, len - 14); } else if (type 0x0806) { parseARP(data 14, len - 14); } }IP 头长度不固定因为有选项字段。ihlInternet Header Length字段占 4 位单位是 4 字节。所以 IP 头实际长度是ihl * 4。协议字段protocol告诉你上层是 TCP6、UDP17还是 ICMP1。解析完 IP 头之后偏移量要加上ihl * 4才能到 TCP/UDP 头。3.3 用 Qt 模型/视图显示数据包列表Wireshark 的数据包列表是一个多列视图序号、时间、源地址、目的地址、协议、长度、信息。在 Qt 里实现这个常见做法是用QAbstractTableModel派生一个PacketTableModel把抓到的包存成一个QVectorPacketInfo然后rowCount、columnCount、data三个函数返回对应内容。这样做的好处是数据和界面分离。抓包线程只管往模型里追加数据视图自动刷新。如果直接用QTableWidget一行行插包多了之后性能会明显下降而且过滤和排序都不好做。模型里存的数据结构大概是这样struct PacketInfo { int index; QDateTime timestamp; QString srcAddr; QString dstAddr; QString protocol; int length; QString info; QByteArray rawData; };rawData保留原始帧点击某一行时详情视图和十六进制视图都从它解析。这样不用重复抓包也方便做「跟随流」之类的功能。3.4 过滤器实现BPF 语法与手动过滤Wireshark 的过滤器分两种抓包过滤BPF和显示过滤。这份源码里抓包过滤应该是在pcap_setfilter里设置的语法就是标准的 BPF比如tcp port 80、icmp、host 192.168.1.1。设置过滤器的时机是在pcap_open_live之后、进入抓包循环之前。struct bpf_program fp; if (pcap_compile(handle, fp, filterStr.toStdString().c_str(), 0, PCAP_NETMASK_UNKNOWN) -1) { emit errorOccurred(QString(pcap_geterr(handle))); return; } if (pcap_setfilter(handle, fp) -1) { emit errorOccurred(QString(pcap_geterr(handle))); return; } pcap_freecode(fp);显示过滤则是在模型层做的遍历QVectorPacketInfo把不匹配的行隐藏掉。常见做法是用QSortFilterProxyModel设置一个自定义的filterAcceptsRow根据协议、IP、端口等字段判断。这样不用改动原始数据切换过滤器时性能也还行。注意BPF 过滤器在pcap_compile时如果语法写错会直接返回错误但错误信息不一定直观。建议先在 Wireshark 里验证过滤器语法再抄到代码里。4. 避坑与排查npcap 服务、Qt 依赖和抓包异常4.1 npcap 服务未运行或安装失败现象程序启动后枚举不到网卡或者pcap_open_live返回Error opening adapter。命令行执行net start npcap报「服务名无效」。原因npcap 安装时驱动组件没有正确注册常见于杀毒软件拦截、系统缺少 VC 运行库或者之前装过 WinPcap 导致驱动冲突。热词里提到的0x8007007e错误码通常是系统找不到依赖的 DLL。解决先卸载所有 WinPcap 和 npcap 的残留重启。然后以管理员身份重新安装 npcap安装时勾选「Install Npcap in WinPcap API-compatible Mode」和「Support loopback traffic」。如果还不行检查系统目录下有没有wpcap.dll和Packet.dll没有的话从 npcap 安装目录手动拷过去。最后再执行net start npcap确认。4.2 Qt 工程编译报「无法打开源文件 pcap.h」现象Visual Studio 里#include pcap.h下面有红色波浪线编译报C1083。原因npcap SDK 的 include 路径没有加到工程里。很多人装完 npcap 运行时就以为万事大吉但开发还需要单独下载 npcap SDK里面才有pcap.h和wpcap.lib。解决去 npcap 官网下载 SDK 包解压到某个目录比如D:\npcap-sdk。在 Qt 工程的.pro文件里加INCLUDEPATH D:/npcap-sdk/Include在 VS 工程里则是在「VC 目录 → 包含目录」里加上D:\npcap-sdk\Include。库目录同理加上D:\npcap-sdk\Lib\x64。4.3 抓包时界面卡顿或无响应现象点「开始」之后界面直接卡住数据包列表不刷新点关闭也没反应。原因抓包循环跑在了 UI 线程里pcap_next_ex阻塞了事件循环。或者虽然开了线程但信号槽连接方式不对跨线程直接操作了 UI 控件。解决确认抓包逻辑在QThread::run()里信号槽用Qt::QueuedConnection连接。如果已经用了线程但还是卡检查pcap_open_live的 timeout 参数是不是设得太大设成 1000 毫秒比较合适这样线程能定期检查停止标志。另外数据包列表的插入操作如果太频繁可以用定时器批量刷新比如每 200 毫秒更新一次视图。4.4 抓到的包长度为 0 或协议解析乱码现象列表里能看到包但长度显示 0或者协议树里全是乱码。原因pcap_next_ex返回的header-caplen是实际抓到的长度header-len是原始帧长度。如果snaplen设得太小caplen会小于len解析时按caplen读没问题但如果你按len去读就会越界。乱码则通常是因为字节序没转换或者偏移量算错了。解决解析时始终用caplen作为数据边界。检查ntohs/ntohl有没有漏掉。IP 头的ihl字段别忘了乘 4。TCP 头的data offset字段也是 4 位单位是 4 字节算 payload 偏移时要乘 4。4.5 编译时报 LNK2019 无法解析的外部符号现象链接阶段报unresolved external symbol pcap_open_live之类的错误。原因库文件没链接上或者平台不匹配。32 位工程链接了 64 位的wpcap.lib或者 Debug 配置链接了 Release 版的库。解决确认工程平台是 x64链接的是wpcap.lib和Packet.lib。在项目属性的「链接器 → 输入 → 附加依赖项」里显式写上这两个库名。如果还不行用dumpbin /exports wpcap.lib看看库里面有没有对应的符号。5. 二次开发与验证把 sniffer 改成你自己的抓包模块5.1 添加自定义协议解析这份源码的协议解析框架是开放的加一个新协议不需要动抓包逻辑。假设你要解析自定义的 UDP 协议端口 9999步骤是在parseUDP函数里判断目的端口或源端口如果是 9999就调用你自己的parseMyProtocol。解析结果可以塞进PacketInfo的info字段显示在列表的「信息」列里。void parseUDP(const u_char *data, int len) { if (len 8) return; auto *udp (UDPHeader*)data; u_short srcPort ntohs(udp-srcPort); u_short dstPort ntohs(udp-dstPort); if (srcPort 9999 || dstPort 9999) { parseMyProtocol(data 8, len - 8); } }parseMyProtocol里按你自己的协议格式读字段注意边界检查。解析出来的内容可以拼成字符串比如MyProto: type1, seq100赋给PacketInfo::info。这样在列表里一眼就能看到关键信息不用点开详情。5.2 导出 pcap 文件供 Wireshark 分析自己写的工具解析能力有限有时候还是得把包导出来用 Wireshark 看。npcap 提供了pcap_dump系列函数可以在抓包的同时写文件。在CaptureThread里加一个pcap_dumper_t *dumper打开网卡之后用pcap_dump_open创建每抓到一个包就pcap_dump写进去线程结束时pcap_dump_close。dumper pcap_dump_open(handle, capture.pcap); // 在循环里 if (res 1) { pcap_dump((u_char*)dumper, header, pktData); // ... 发信号 } // 结束时 pcap_dump_close(dumper);导出的.pcap文件可以直接用 Wireshark 打开协议解析、流跟踪、统计功能都能用。这是验证自己抓包是否完整的最直接方式同一时间段你的工具抓了多少包Wireshark 打开文件后应该也是多少包。5.3 验证抓包完整性的一个笨办法怎么确认你的 sniffer 没有漏包我一般会做一个对照实验在本机跑一个简单的 HTTP 服务然后用curl发 100 个请求。同时用你的 sniffer 抓包过滤tcp port 80数一下抓到的包数量。再开一个 Wireshark 抓同样的流量对比两边数量。如果差得不多考虑到启动时间差说明抓包逻辑没问题。如果你的工具少了很多检查snaplen是不是太小、缓冲区是不是设得太小或者线程处理速度跟不上。npcap 的pcap_open_live有一个timeout参数设成 0 表示不超时有包就返回设成大于 0 的值表示等待多少毫秒。在高流量场景下设 0 可以减少延迟但 CPU 占用会高一些。设 1000 则适合低流量调试。这个参数没有绝对最优得根据你的场景调。5.4 一个容易忽略的细节时间戳精度pcap_pkthdr里的ts是struct timeval包含秒和微秒。Qt 的QDateTime默认精度是毫秒直接转换会丢掉微秒部分。如果你要做延迟分析比如计算 TCP 往返时间微秒级的精度很重要。常见做法是保留原始timeval在显示时格式化成HH:mm:ss.zzzzzz或者用QElapsedTimer自己算相对时间。QString formatTimestamp(const struct timeval ts) { QDateTime dt QDateTime::fromSecsSinceEpoch(ts.tv_sec); return dt.toString(HH:mm:ss.) QString::number(ts.tv_usec).rightJustified(6, 0); }这个细节在调试高并发场景时特别有用毫秒级的差异可能决定你能否定位到某个微突发。5.5 从这份源码里带走什么把_sniffer.zip跑起来只是第一步。真正有价值的是它展示了一条完整的链路npcap 怎么打开网卡、怎么设过滤器、怎么把原始帧变成 Qt 模型里的行、怎么在详情视图里展开协议树。你可以把CaptureThread单独抽出来去掉 UI 部分做成一个控制台抓包工具也可以把PacketTableModel换成QML的ListView做一个更现代的界面。我自己的习惯是每次拿到这类源码先不改代码而是加日志。在pcap_next_ex返回 1 的地方打一行qDebug() pkt len: header-caplen跑十分钟看看日志里有没有异常长度或者突然断流。这个笨办法帮我发现过好几次缓冲区溢出和线程退出的问题。从那以后我每次集成新的抓包模块都强制先跑一遍日志验证再动界面。希望这份拆解能帮你少走点弯路。本文还有配套的精品资源点击获取