WinPcap 中文技术文档（4.1.2） 第四章

1.WinPcap核心资料

1.1. 详细描述

这部分指南从最底层的模块开始，描述了WinPcap的核心结构与接口。这部分内容的适合那些想要扩展或修改本软件的人，或者是那些对WinPcap的工作原理感兴趣的人。因此，那些只希望在他们的软件中，使用WinPcap的开发人员，不需要阅读此部分的内容。

1.2. WinPcap 结构

引用WinPcap主页上的一段内容：

WinPcap是一个Win32平台的，用于捕获数据包和进行网络分析的体系结构。它包括了一个内核级的数据包过滤器，一个低层动态链接库(packet.dll)，一个高层的且依赖于系统的库(wpcap.dll)。

为什么我们使用术语“体系结构”而不是“库”呢？因为数据捕获是一个低层的行为，它需要和网络适配器，及操作系统的信息交换，特别是网络的实现。所以，一个简单的库是实现不了的。

以下结构显示了WinPcap的不同的组件：

首先，捕获系统需要占用操作系统的协议栈来访问通过网络的原始数据。这就需要有部分内容要运行在操作系统内核中，可以直接访问网络接口驱动。这部分内容非常依赖于系统，在我们的解决方案中，它被认为是设备驱动，称为Netgroup Packet Filter(NPF)；我们为Windows 95,Windows98,Windows ME, Windows NT 4, Windows 2000 和 Windows XP提供了不同版本的驱动。这些驱动都提供了相同的基本功能，比如数据捕获和发送，也提供了一些高级功能，比如可编程的过滤系统和一个监听引擎，前者可以被用来获取过滤后的数据流(比如，可以从指定的端口，仅捕获ftp数据流)，后者提供了一个强大的，但很简单的方式来获取数据流的统计信息。(比如获取网络流量或者两个主机间交换数据的总大小)。

其次，捕获系统必须输出一个端口，以便用户级应用程序利用内核驱动所提供的特性。WinPcap提供了两个不同的库：packet.dll 和 wpcap.dll。

第一个动态库提供了低层的API，它可以直接访问驱动的函数，并且依赖于微软操作系统的可编程接口。

第二个动态库提供了更多强大的，高层次的，和libpcap(一个知名的Unix捕获库)兼容的捕获原语。这些函数捕可以在不考虑网络硬件和操作系统的情况下捕获数据。

纵观本文档，我们会首先使用PacketDriver API 或 packet.dll的函数，然后才是wpcap, wpcap.dll 或 libpcap的。

1.3. 如何编译WinPcap

这部分内容会告诉你，在不同的win32平台上如何编译WinPcap。源代码可以在WinPcap 网站上获得。

1.3.1.编译驱动

编译NPF时，有两个主要的路径：WindowsNTx和Windows 9x。注意，因为NPF驱动是与平台相关的，所以，为了连接正确的DDK库，我们强烈建议编译的时候，要选择将来会被使用的那个操作系统。比如，如果你使用Windows NT 4 DDK库赖编译驱动，那么在Windows2000或其他操作系统上运行，将不会那么顺利了。

1.3.1.1.在Windows NT4平台上编译驱动

软件需求：

1） Microsoft Driver Developer Kit (DDK) for Windows NT4

2） 能在VisualStudio 6上编译的Microsoft Platform Software Development Kit (SDK)的较新的版本(最新的平台发布于2003年2月)。这个版本的PSDK在Microsoft的网站上提供，参见：http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm。同时，它也可以在线订阅：http://www.qmedia.ca/launch/psdk.htm，同时，在微软的用户下载网站里，也为微软MSDN用户提供了订阅。

3） Microsoft Visual C++ 6.0 with Service Pack 5 or 6 (这两个版本在微软的网站上都有提供).

如果你的系统符合上面的三个要求，那么请按照下列步骤：

1. 从Windows NT 开始 菜单，选择 程序 然后选择 DevelopmentKits, 然后选择 Windows NT4 DDK. 在这里，如果你想建立一个调试版本，你可以选择Checked Build Environment ，如果你想建立一个发布版本，你可以选择Free Build Environment 。

2.一个命令提示框将被打开。用cd命令移到WinPcap文件夹下的PacketNTx文件夹，输入命令：

CompileDriver

这个脚本会产生一个驱动 (npf.sys)，然后，二进制数据会被放入下列文件夹中的一个◦

Free BuildEnvironment: winpcap\PacketNTx\driver\bin\NT4\i386\free

Checked BuildEnvironment: winpcap\PacketNTx\driver\bin\NT4\i386\checked

警告: 有时，在编译驱动的过程中，会产生很多'last line incomplete'错误提示。忽略这些错误，并且让编译过程继续进行。它们的产生是由于某些版本的DDK的bug所引起的。

1.3.1.2.在Windows 2000/XP/2003/Vista(32位和64位AMD64)平台上编译驱动

软件需求：

1） Microsoft Driver Developer Kit (DDK) for Windows Windows XP orWindows Server 2003. 对于 WinPcap 4.0, 最合适的 DDK environment 是 "DDK for Windows Server 2003SP1", 也可以称作 DDK3790.1830.

注意： 在Windows 2000下使用旧的DDK是可以的，但是，你需要手动地修改编译脚本来禁用PREfast。(PREfast是一个静态代码分析工具，捆绑在较新的DDK中)

如果你的系统满足以上需求，那么请按下列步骤进行：

1.从Windows NT 开始 菜单，选择 程序 然后选择 DevelopmentKits, 然后选择 Windows XXX DDK., XXX 就是你的目的系统，然后选择 BuildEnvironments.

1) 32bit 驱动: 选择 Windows2000 ，然后，如果你想建立一个发布版本的程序，请选择 Windows 2000 Free Build Environment，如果你想建立一个调试版本的程序，请选择Windows 2000 Checked Build Environment 。

2) 64bit AMD64 驱动: 选择 WindowsServer 2003 然后，如果你想建立一个发布版本的程序，请选择 Windows Server 2003 Free x64Build Environment 如果你想建立一个调试版本的程序，请选择 Windows Server 2003 Checked x64 Build Environment 。

2.一个命令提示框将被打开。用cd命令移到WinPcap文件夹下的PacketNTx文件夹，输入命令：

CompileDriver

这个脚本会产生一个驱动 (npf.sys)，然后，二进制数据会被放入下列文件夹中的一个

1)32bit driver (both Free andChecked Build): winpcap\PacketNTx\driver\bin\2k\i386

2)64bit AMD64 driver (both Freeand Checked Build): winpcap\PacketNTx\driver\bin\xp\amd64

1.3.1.3.在Windows 9x平台上编译驱动

注意: WinPcap已经不再支持这个Windows平台。然而，一些在代码包中，基于这些操作系统的源代码还是可用的。

要在Windows 9x上编译驱动，你需要：

1)Driver Developer Kit (DDK) forWindows 95/98/ME

2)能在Visual Studio 6上编译的Microsoft Platform Software Development Kit (SDK)的较新的版本(最新的平台发布于2003年2月)。这个版本的PSDK在Microsoft的网站上提供，参见：http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm。同时，它也可以在线订阅：http://www.qmedia.ca/launch/psdk.htm，同时，在微软的用户下载网站里，也为微软MSDN用户提供了订阅。

3)Microsoft Visual C++ 6.0 withService Pack 5 or 6 (这两个版本在微软的网站上都有提供).

然后，按下列步骤进行：

1.打开DOS

2.进入 VisualC++BIN 目录 (比如 C:\DEVSTUDIO\VC\BIN) 并执行命令

Vcvars32

3.进入 SDK 目录 (比如 C:\MSSDK) 并执行命令

setenv sdk_path

sdk_path 是 SDK 目录(比如 SetenvC:\MSSDK)

4.进入 DDK 目录 (比如 C:\DDK) 并执行命令

ddkenv 32 net

5.进入驱动源代码所在目录，并执行命令

nmake rtl

来获得发布版本，或者执行

nmake

来获得调试版本

发布版本的 packet.vxd 将会出现在 retail 目录下, 调试版本将会出现在debug 目录下

警告: 在一些系统中， NMAKE使用工具并不能启动 ADRC2VXD, 这一位着驱动二进制数据的产生是正确的，不过没有版本信息。我们还不知道引起这个问题的原因。

1.3.2.编译 packet.dll

这个DLL的源路径在PacketNTx\dll\

注意: WinPcap已经不再支持这个Windows平台。然而，一些在代码包中，基于这些操作系统的源代码还是可用的。

软件需求：

1)能在Visual Studio 6上编译的Microsoft Platform Software Development Kit (SDK)的较新的版本(最新的平台发布于2003年2月)。这个版本的PSDK在Microsoft的网站上提供，参见：http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm。同时，它也可以在线订阅：http://www.qmedia.ca/launch/psdk.htm，同时，在微软的用户下载网站里，也为微软MSDN用户提供了订阅。

注意: 如果你使用Microsoft Visual Studio .NET ，那么平台SDK是不需要编译packet.dll的。

2)Microsoft Visual C++ 6.0 withService Pack 5 or 6 (这两个版本在微软的网站上都有提供).

3)如果你想用WinPcap建立一个支持CACE无线包捕获技术的程序，你需要从http://www.cacetech.com/products/airpcap.htm下载AirPcapdeveloper's pack。The AirPcap developer's pack需要被解压到和WinPcap同一个目录下。

要编译 PACKET.DLL, 在Visual C++平台下，加载一个包含了目录PacketNTx\dll\project 的工程。以下是一些工程的配置：

1)PacketNT - Win32 Release: 标准发行版配置

2)PacketNT - Win32 Debug: 标准调试版配置

3)PacketNT - Win32 Release NoAirPcap: 标准发行版配置，不支持AirPcap

4)PacketNT - Win32 Debug NoAirPcap: 标准调试版配置, 不支持AirPcap

5)PacketNT - Win32 NT4 Release: 运行于NT4的发行版本配置，不包括对Wan和IP helperAPI的支持。

6)PacketNT - Win32 NT4 Debug: 运行于NT4的调试版本配置，不包括对Wan和IP helperAPI的支持。

7)PacketNT - Win32 Release Vista:运行于Vista的发行版本配置，不包括对Wan的支持(以及NetMon API)。

8)PacketNT - Win32 Debug Vista: 运行于Vista的调试版本配置，不包括对Wan的支持(以及NetMon API)。

9)WanPacket - Win32 Release: 使用WanPacket 库的发行版本，用于同NetMonAPI进行广域网捕捉。

10)WanPacket - Win32 Debug: 使用WanPacket 库的调试版本，用于同NetMonAPI进行广域网捕捉。

选择一种需要的配置，并建立工程来获取二进制文件。

1.3.3.编译 wpcap.dll

wpcap.dll 可以在任何 Win32 平台下编译，产生的dll是平台相关的。

系统需求:

1)Microsoft Visual C++ 6.0 withService Pack 5 or 6 (这两个版本在微软的网站上都有提供).

2)能在Visual Studio 6上编译的Microsoft Platform Software Development Kit (SDK)的较新的版本(最新的平台发布于2003年2月)。这个版本的PSDK在Microsoft的网站上提供，参见：http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm。同时，它也可以在线订阅：http://www.qmedia.ca/launch/psdk.htm，同时，在微软的用户下载网站里，也为微软MSDN用户提供了订阅。

注意: 如果你使用Microsoft Visual Studio .NET ，那么平台SDK是不需要编译wpcap.dll的。

3)WinPcap源代码的工程文件位于winpcap\wpcap\prj . 从 Visual C++ 开发平台上加载wpcap.dsw并构建程序。

4)如果你想用WinPcap建立一个支持CACE无线包捕获技术的程序，你需要从http://www.cacetech.com/products/airpcap.htm下载AirPcapdeveloper's pack。The AirPcap developer's pack需要被解压到和WinPcap同一个目录下。

以下是八种工程的配置：

不支持远程捕获，支持AirPcap，不支持DAG,

1)Wpcap debug: 目录输出：winpcap\wpcap\prj\Debug

2)Wpcap release: 目录输出：winpcap\wpcap\prj\Release

支持远程捕获，不支持AirPcap，不支持DAG

3)Wpcap debug REMOTE NO AIRPCAP: 目录输出：winpcap\wpcap\prj\Debug_REMOTE_NO_AIRPCAP

4)Wpcap release REMOTE NOAIRPCAP: 目录输出： winpcap\wpcap\prj\Release_REMOTE_NO_AIRPCAP

支持远程捕获，支持AirPcap，不支持DAG

5)Wpcap debug REMOTE: 目录输出：winpcap\wpcap\prj\Debug_REMOTE

6)Wpcap release REMOTE: 目录输出：winpcap\wpcap\prj\Release_REMOTE

支持远程捕获，支持AirPcap，支持DAG

7)Wpcap debug REMOTE DAG: 目录输出：winpcap\wpcap\prj\Debug_REMOTE_DAG

8)Wpcap release REMOTE DAG: 目录输出：winpcap\wpcap\prj\Release_REMOTE_DAG

注意: wpcap.dll 包含了来自www.tcpdump.org 的libpcap的源代码，对于远程捕获有一些修改。你能包含和构建一个不同版本的libpcap，只需要简单地把它拷贝到winpcap\wpcap\prj下的WinPcap源代码中即可，但是，你必须使用"Debug(调试)"或"Release(发行)"进行配置。

1.3.4.Packet.dll — 数据包驱动API

Packet.dll 是一个动态链接库，并提供了一些低层的函数，用来： •安装，启动和停止NPF设备驱动

1） 从NPF驱动接收数据包

2） 通过NPF驱动发送数据包

3） 获取可用的网络适配器列表

4） 获取适配器的不同信息，比如设备描述，地址列表和掩码

5） 查询并设置一个低层的适配器参数

packet.dll有两个版本:第一个运行于Windows 95/98/ME, 第二个运行于 Windows NT/2000/XP。

提供了对WinPcap的低层函数的访问，这种访问依赖于系统。这个库维护了所有的依赖于系统的细节(比如管理设备，协助操作系统管理适配器，在注册表中查找信息等)，并且输出一个可以在所有Windows操作系统中通用的API。这样，操作系统和库就可以在所有的 Windows操作系统下重新编译并运行了。

然而，不是所有的packet.dll的API是完全可移植的：有些高级特性，比如内核模式下的输出处理，只能运行在WinNTx版本的WinPcap，Win9x的packet.dll不提供这样的功能。换种说法就是，NTx版本要比9x版本功能强大，也就是说，在Win9x版本中提供的所有函数，在WinNTx中都有。

这个库的另一个重要特性，就是维护了NPF驱动。当程序试图访问适配器时，Packet.dll在后台安装和启动了驱动，这些对编程人员来说，是透明的。这就避免了用户通过控制面板，手动安装驱动程序。

非常重要的注意事项，请仔细阅读！

Packet.dll的源代码是开放的，并且有完整的文档。 然而，packet.dll应该被认为是核心API，因为它建立在WinPcap内部的目的，就是为真正的公共API:wpcap.dll建立一层"隔离墙"。