c# - 在 C# 中监视包含特定字符串的 TCP 流量

Question

最近我的一台机器感染了恶意软件，使用 IRC 与它的命令和控制中心通信。

这激起了我的兴趣，想看看是否有一个我可以在 C# 中创建的程序能够监控 TCP 上包含 PONG/NICK/USER(irc rfc 需要通信的字符串)等字符串的流量，以及然后可以告诉我流量来自哪个过程。

这对我来说将是一次有趣的学习经历，也是我想尝试的事情。

我做了一些研究，我发现了一些确实使用 WinPcap 的东西，但我想我想尽可能避免使用 pcap 的解决方案，任何人都可以向我发送任何建议吗？

我知道我可以使用 System.Net.NetworkInformation.TcpConnectionInformation 和可能的 IPGlobalProperties 查看我的计算机和其他主机之间的连接，但我不确定是否无论如何，我可以实时查看信息，或者轻松地将其追溯到我 PC 上的某个进程。

谢谢。

Answer 1

这会很难。您需要的 API 是原生的，Windows Filtering Platform (WFP) .根据 Microsoft 的说法，这无法从 C# 访问，您必须先将其包装在 C++/CLI 中。

参见 here和 here供讨论。第二个线程有一些对您“可能有用”的东西。