c# - 如何在不依赖 WinPCap 的情况下嗅探应用程序中的数据包？

Question

背景：我现在了解了如何编写一个 C# 应用程序，该应用程序可以监视进出该应用程序所在 PC 上网卡的数据包。我知道的方法依赖于已安装在 PC 上的 http://www.winpcap.org/，但是，然后我使用 C# 包装器，例如 http://pcapdotnet.codeplex.com/ 或 http://sourceforge.net/projects/sharppcap/ 。

问题：但是，我的问题是，我需要做什么才能拥有一个可以嗅探不需要预安装第 3 方应用程序/驱动程序的数据包的 C# 应用程序？

澄清：也就是说，我确实想要我当前拥有的应用程序，但不需要我告诉用户必须先下载/安装 XYZ，然后才能使用该应用程序。出于该问题的目的，假设也不允许自动下载和安装第 3 方应用程序/驱动程序。 （对于 WinPCap，我不确定您是否可以将其捆绑在一起，但不幸的是，我相信无论如何您都不应该这样做）

谢谢

Answer 1

就我个人而言，我会坚持使用 WinPCap。但既然您问了，就可以使用以下代码从网络中嗅探数据包以启用原始套接字。

Socket s = new Socket(AddressFamily.InterNetwork, SocketType.Raw, ProtocolType.IP);
s.Bind(new IPEndPoint(IPAddress.Parse("<IP Address Here of NIC to sniff>"), 0));
s.SetSocketOption(SocketOptionLevel.IP, SocketOptionName.HeaderIncluded, 1);
byte[] inBytes = new byte[] { 1, 0, 0, 0 };
byte[] outBytes = new byte[] { 0, 0, 0, 0 };
s.IOControl(IOControlCode.ReceiveAll, inBytes, outBytes);

完成此操作后，您可以使用 Socket.Receive 或 Socket.BeginReceive 读取原始 IP 数据包。

Answer 2

有一种方法可以仅使用标准的winsocks 实现来捕获.NET 上的传入/传出数据包。我看过一个博客，其中包含如何操作的示例，但我不再有链接了。

长话短说，这是一个极端的边缘情况，因为这不是winsocks（标准Windows网络驱动程序）的目的。

Pcap 通常需要捕获数据包的原因是，它使用自己的 NDIS 网络驱动程序来解锁 NIC 的全部功能。最重要的是，它还提供了一种简单的方法来设置过滤器以限制在指定接口上捕获的数据包数量。

IE，驱动程序将在内核级别而不是用户模式级别忽略特定类型的数据包。因此，您将能够更有效地过滤数据包并在网络负载较大的情况下进行捕获。

在.NET中，要过滤数据包，您需要提供自己的应用程序层数据包过滤方案，但效率会低得多。

Windows 出于“安全原因”阻止对非标准协议的访问，因此它们并不真正支持使用原始数据包进行网络（即使可能存在代码使其成为可能）。 RAW 数据包始终用于研究新协议的设计，而不是一般用途。

出于所有这些原因，选择 Winpcap 和针对您的特定语言的包装器来实现任何类型的捕获应用程序通常是一个好主意。

注意：我个人更喜欢 SharpPcap，但当我在该项目上进行开发时，我也有偏见。 Pcap.net 在捕获方面的实现非常相似，主要在数据包的解析方式上有所不同。