套接字 VS WinPcap

Question

有谁知道我为什么要使用 Winpcap 而不仅仅是 .Net 套接字来嗅探本地 PC 上的数据包？

泰

Answer 1

套接字(.NET、Winsock 等)通常收集在第 7 层，即应用程序层。也就是说，发送者发送的内容就是接收者收到的内容。在接收方从套接字读取数据时，所有在发送端自动添加的各种 header 都会被剥离。

可以将套接字配置为原始套接字，在这种情况下，您可以看到所有的头部到第 3 层，即网络层。此外，您可以将原始套接字置于混杂模式，这允许您查看网络上的所有流量，而不仅仅是发往您机器的数据包。但即使这样也是有限的。例如，当您配置原始套接字时，您指定要使用的协议(protocol)类型，例如 IP、ICMP 等。这将套接字限制为“看到”遵守该协议(protocol)的数据包。无论协议(protocol)如何，我一直无法弄清楚如何让套接字看到第 3 层的所有数据包。

Winpcap 作为第 2 层(数据链路层)的设备驱动程序运行。在这种情况下，您实际上可以看到网络上所有具有完整 header 的数据包，直至第 2 层。Winpcap 还提供过滤功能，因此您可以根据您提供的任何标准缩小报告给您的数据包的范围。

至于在它们之间进行选择，它实际上归结为您特定任务的要求。如果您尝试实现任何类型的现实网络分析功能，那么仅使用套接字将很难做到这一点。 Winpcap 在这种情况下更有意义。但是，例如，如果您只对 IP 数据包感兴趣，那么套接字就可以正常工作。