像Wireshark这样的应用程序是如何工作的？

Question

我很想知道wireshark的功能。应用程序的设计可以监听给定机器的所有端口上的流量？这种应用程序产生了什么样的偷听？什么是编写监视流量的应用程序的好方法？

感谢

Answer 1

Wireshark利用unix平台上的libpcap和Windows上的端口WinPcap。这个库提供了一个API来捕获数据包（Wireshark也能够捕获帧，但我没有在pcap文档中发现pcap能够做到这一点）。

图书馆如何做到这一点是特定于平台的，这就是为什么一种好的方法是使用图书馆为你做繁重的工作; unix上的libpcap或tcpdump（取决于您需要的低级别）以及Windows上的WinPcap或Windows过滤平台。

文档： http://www.tcpdump.org/pcap3_man.html http://www.winpcap.org/docs/docs_412/html/main.html

Answer 2

的一种方法是使用Windows Filtering Platform（这是针对Vista +，但类似的特点是可以在XP的 - 世界粮食计划署只是使事情变得更容易）。 WFP允许您在驱动程序中聆听“标注”，以便在数据包处理堆栈中的各个位置调用您的代码，以便在数据移动时捕获，过滤甚至修改数据。