網(wǎng)絡(luò)分析技術(shù)揭秘：原理、實(shí)踐與WinPcap深入解析

前言
第1章 揭開(kāi)網(wǎng)絡(luò)分析的神秘面紗
1.1 網(wǎng)絡(luò)分析概述
1.2 網(wǎng)絡(luò)分析的主要用途
1.3 黑客使用嗅探器的方法
1.4 被嗅探數(shù)據(jù)的真面目
1.4.1 使用嗅探器獲得FTP的用戶名和密碼
1.4.2 使用嗅探器分析沖擊波蠕蟲(chóng)（Blaster Worm）
1.5 常見(jiàn)的網(wǎng)絡(luò)分析器
1.6 網(wǎng)絡(luò)分析器的工作原理
1.6.1 以太網(wǎng)簡(jiǎn)介
1.6.2 理解開(kāi)放系統(tǒng)互連（OSI）模型
1.6.3 了解CSMACD協(xié)議
1.6.4 IP、ICMP、TCP與UDP協(xié)議
1.6.5 硬件
1.6.6 欺騙交換機(jī)
1.7 嗅探器的檢測(cè)
1.7.1 檢測(cè)嗅探器的原理
1.7.2 防止網(wǎng)絡(luò)嗅探可采取的安全措施
1.8 網(wǎng)絡(luò)分析工具的主要功能組成
1.9 Wireshark的概述、安裝與使用
1.9.1 Wireshark的概述
1.9.2 Wireshark的安裝
1.9.3 Wireshark的使用
1.1 0小結(jié)
第2章 初識(shí)網(wǎng)絡(luò)分析基礎(chǔ)庫(kù)WinPcap
2.1 WinPcap概述
2.2 WinPcap的優(yōu)點(diǎn)
2.3 WinPcap的使用者
2.4 WinPcap的體系架構(gòu)
2.4.1 WinPcap的主要組成
2.4.2 數(shù)據(jù)包捕獲的基本過(guò)程
2.4.3 WinPcap的驅(qū)動(dòng)程序
2.4.4 WinPcap內(nèi)核驅(qū)動(dòng)的主要功能
2.5 用戶空間庫(kù)接口函數(shù)
2.5.1 wpcap.dll庫(kù)中的重要函數(shù)
2.5.2 Packet.dll庫(kù)中的重要函數(shù)
2.6 小結(jié)
第3章 網(wǎng)絡(luò)分析工具的內(nèi)核驅(qū)動(dòng)基礎(chǔ)知識(shí)
3.1 Windows驅(qū)動(dòng)程序基礎(chǔ)知識(shí)
3.1.1 驅(qū)動(dòng)對(duì)象（DRIVER_OBJECT）
3.1.2 設(shè)備對(duì)象（DEVICE_OBJECT）
3.1.3 設(shè)備擴(kuò)展（_DEVICE_EXTENSION）
3.1.4 IRP與派遣函數(shù)
3.1.5 同步處理
3.1.6 內(nèi)核的內(nèi)存操作
3.1.7 內(nèi)存操作的運(yùn)行時(shí)函數(shù)
3.1.8 內(nèi)核的注冊(cè)表操作
3.2 NDIS協(xié)議驅(qū)動(dòng)程序
3.2.1 三種類型的網(wǎng)絡(luò)驅(qū)動(dòng)程序
3.2.2 協(xié)議驅(qū)動(dòng)程序的特征結(jié)構(gòu)體
3.3 小結(jié)
第4章 編譯與使用WinPcap
4.1 源代碼目錄結(jié)構(gòu)
4.2 構(gòu)建驅(qū)動(dòng)程序NPF
4.3 構(gòu)建Packet.dll庫(kù)
4.4 構(gòu)建wpcap.dll庫(kù)
4.5 安裝NPF驅(qū)動(dòng)程序與各庫(kù)文件
4.6 使用WinPcap庫(kù)進(jìn)行程序開(kāi)發(fā)的實(shí)例
4.7 小結(jié)
第5章 WinPcap驅(qū)動(dòng)程序的初始化與清除
5.1 驅(qū)動(dòng)程序中的初始化函數(shù)DriverEntry
5.1.1 DriverEntry函數(shù)的工作流程
5.1.2 DriverEntry函數(shù)的具體實(shí)現(xiàn)
5.2 驅(qū)動(dòng)程序中的卸載函數(shù)DriverUnload
5.3 小結(jié)
第6章 獲得與釋放網(wǎng)絡(luò)適配器設(shè)備列表
6.1 使用WinPcap選擇合適的適配器
6.1.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
6.1.2 獲得與釋放網(wǎng)絡(luò)適配器列表的實(shí)例
6.1.3 獲取已安裝設(shè)備高級(jí)信息的實(shí)例
6.2 獲得網(wǎng)絡(luò)適配器列表的幕后
6.2.1 wpcap.dll庫(kù)中獲得網(wǎng)絡(luò)適配器列表的實(shí)現(xiàn)
6.2.2 Packet.dll庫(kù)中獲得網(wǎng)絡(luò)適配器列表的實(shí)現(xiàn)
6.2.3 內(nèi)核空間中獲得網(wǎng)絡(luò)適配器列表的實(shí)現(xiàn)
6.3 釋放網(wǎng)絡(luò)適配器列表的實(shí)現(xiàn)
6.4 小結(jié)
第7章 打開(kāi)與關(guān)閉適配器
7.1 使用WinPcap打開(kāi)與關(guān)閉適配器
7.1.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
7.1.2 關(guān)鍵數(shù)據(jù)結(jié)構(gòu)pcap_t
7.1.3 打開(kāi)與關(guān)閉網(wǎng)絡(luò)適配器的實(shí)例
7.2 打開(kāi)與關(guān)閉適配器的幕后
7.2.1 打開(kāi)適配器的實(shí)現(xiàn)
7.2.2 關(guān)閉適配器的實(shí)現(xiàn)
7.3 小結(jié)
第8章 數(shù)據(jù)包的發(fā)送
8.1 使用WinPcap發(fā)送數(shù)據(jù)包
8.1.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
8.1.2 數(shù)據(jù)包發(fā)送實(shí)例
8.2 數(shù)據(jù)包發(fā)送的幕后
8.2.1 發(fā)送單個(gè)數(shù)據(jù)包的實(shí)現(xiàn)
8.2.2 單個(gè)數(shù)據(jù)包發(fā)送多次的實(shí)現(xiàn)
8.2.3 發(fā)送隊(duì)列方式的實(shí)現(xiàn)
8.3 小結(jié)
第9章 數(shù)據(jù)包的內(nèi)核過(guò)濾
9.1 基礎(chǔ)知識(shí)
9.1.1 flex和bison簡(jiǎn)介
9.1.2 #line宏
9.1.3 以太網(wǎng)的典型幀結(jié)構(gòu)
9.1.4 數(shù)據(jù)包過(guò)濾的原理簡(jiǎn)介
9.1.5 BPF虛擬機(jī)
9.1.6 Tcpdump與WinDump
9.1.7 BPF指令集實(shí)例
9.1.8 BPF過(guò)濾器的優(yōu)化研究
9.1.9 BPF系統(tǒng)架構(gòu)
9.2 WinPcap數(shù)據(jù)包過(guò)濾基礎(chǔ)
9.2.1 數(shù)據(jù)包過(guò)濾過(guò)程
9.2.2 過(guò)濾表達(dá)式
9.2.3 編譯過(guò)濾表達(dá)式生成過(guò)濾器的字節(jié)碼
9.2.4 把過(guò)濾器字節(jié)碼傳遞給內(nèi)核
9.3 使用WinPcap過(guò)濾數(shù)據(jù)包
9.3.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
9.3.2 使用過(guò)濾器的實(shí)例
9.4 數(shù)據(jù)包過(guò)濾的幕后
9.4.1 wpcap.dll庫(kù)中相應(yīng)函數(shù)的實(shí)現(xiàn)
9.4.2 Packet.dll庫(kù)對(duì)應(yīng)的函數(shù)
9.4.3 驅(qū)動(dòng)程序中對(duì)應(yīng)的函數(shù)
9.4.4 NPF_tap函數(shù)的數(shù)據(jù)包過(guò)濾部分
9.5 小結(jié)
第10章 數(shù)據(jù)包的接收
10.1 使用WinPcap接收數(shù)據(jù)包
10.1.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
10.1.2 數(shù)據(jù)包接收的實(shí)例
10.2 數(shù)據(jù)接收的幕后
10.2.1 wpcap.dll庫(kù)中相應(yīng)函數(shù)的實(shí)現(xiàn)
10.2.2 Packet.dll庫(kù)中相應(yīng)函數(shù)的實(shí)現(xiàn)
10.2.3 內(nèi)核空間部分的實(shí)現(xiàn)
10.3 小結(jié)
第11章 統(tǒng)計(jì)網(wǎng)絡(luò)流量與網(wǎng)絡(luò)狀態(tài)
11.1 使用WinPcap進(jìn)行網(wǎng)絡(luò)統(tǒng)計(jì)的方法
11.1.1 wpcap.dll庫(kù)導(dǎo)出的相應(yīng)函數(shù)
11.1.2 統(tǒng)計(jì)實(shí)例
11.2 網(wǎng)絡(luò)統(tǒng)計(jì)的幕后
11.2.1 工作模式
11.2.2 模式設(shè)置函數(shù)
11.2.3 網(wǎng)絡(luò)流量統(tǒng)計(jì)的實(shí)現(xiàn)
11.2.4 網(wǎng)絡(luò)狀態(tài)統(tǒng)計(jì)的實(shí)現(xiàn)
11.3 小結(jié)
第12章 文件的存儲(chǔ)與讀取
12.1 libpcap文件存儲(chǔ)格式
12.1.1 轉(zhuǎn)儲(chǔ)文件的頭信息
12.1.2 每個(gè)數(shù)據(jù)包的頭信息
12.2 使用WinPcap進(jìn)行文件存儲(chǔ)與讀取
12.2.1 wpcap.dll導(dǎo)出的相應(yīng)函數(shù)
12.2.2 文件存儲(chǔ)與讀取的實(shí)例
12.3 數(shù)據(jù)包文件存儲(chǔ)的幕后
12.3.1 pcap_dump_open函數(shù)
12.3.2 pcap_dump函數(shù)
12.3.3 pcap_dump_flush函數(shù)
12.3.4 pcap_dump_close函數(shù)
12.4 數(shù)據(jù)包文件讀取的幕后
12.5 內(nèi)核文件轉(zhuǎn)儲(chǔ)的實(shí)現(xiàn)
12.5.1 wpcap.dll庫(kù)中相應(yīng)函數(shù)的實(shí)現(xiàn)
12.5.2 Packet.dll庫(kù)中相應(yīng)函數(shù)的實(shí)現(xiàn)
12.5.3 驅(qū)動(dòng)程序中對(duì)應(yīng)的函數(shù)
12.6 小結(jié)
第13章 修改源代碼
13.1 給wpcap.dll增加設(shè)置重復(fù)發(fā)送次數(shù)的函數(shù)
13.1.1 修改步驟
13.1.2 測(cè)試結(jié)果
13.2 修改WinPcap的內(nèi)核驅(qū)動(dòng)代碼
13.2.1 支持內(nèi)核轉(zhuǎn)儲(chǔ)功能
13.2.2 測(cè)試內(nèi)核統(tǒng)計(jì)與轉(zhuǎn)儲(chǔ)模式
13.2.3 支持大量數(shù)據(jù)包的轉(zhuǎn)儲(chǔ)
13.2.4 內(nèi)核驅(qū)動(dòng)程序修改后的源文件
13.3 小結(jié)
第14章 性能測(cè)試與分析
14.1 測(cè)試環(huán)境
14.2 測(cè)試實(shí)例
14.2.1 不同發(fā)送方式的比較
14.2.2 發(fā)送不同數(shù)據(jù)包長(zhǎng)度的比較
14.2.3 不同接收方式的比較
14.3 小結(jié)
附錄A 源語(yǔ)法規(guī)范
附錄B 過(guò)濾表達(dá)式規(guī)范
附錄C SYN洪泛攻擊的詳細(xì)資料
附錄D ARP欺騙資料
參考文獻(xiàn)