WinPcap编程之HTTP协议还原

最新推荐文章于 2021-05-19 05:17:08 发布
最新推荐文章于 2021-05-19 05:17:08 发布
阅读量832 收藏 1
点赞数
分类专栏： winpcap

      今天我们来看看一个小例子，利用前面所学到的WinPcap编程知识来实现一个简单的还原HTTP协议的程序。相信大家对于HTTP协议一定不会陌生，我这里只简单地说一下它的报文格式，即HTTP报文有两种：请求报文和响应报文。为了让大家对于这两种报文有更直观的认识，给大家看两个简单的例子：

下面是一个典型的HTTP请求报文：

GET /somedir/page.html HTTP/1.1
Host:  www.someschool.edu
Connection: close
User-agent: Mozilla/4.0
Accept-language: fr

再看一个HTTP响应报文：

复制代码 
HTTP/1.1 200 OK
Connection: close
Date: Thu, 03 Jul 2003 12:00:15 GMT
Server: Apache/1.3.0 (Unix)
Last-Modified: Sun, 6 May 2007 09:23:24 GMT
Content-Length: 6821
Content-Type: text/html

(data data data data data ...)
复制代码

      我们注意到HTTP请求报文中的第一行是以GET打头的，没错，它实际上是HTTP请求的一种方法，类似的还有POST、HEAD等等。一般熟知的大概就是GET和POST了，像Servlet编程中就有doGet和doPost两种提交HTTP请求的方法。而对于HTTP响应报文而言，第一行开头是协议的版本号，如HTTP/1.1，现在普及的也是HTTP/1.1。利用这些我们可以来判断TCP数据报文里是否保存的HTTP数据。

      本程序的实现思路有很多种，我采用的是一种最笨拙的方式，即按照 判断是否是IP数据包->判断是否是TCP分组->判断是否是HTTP报文 的逻辑，最后将HTTP报文的内容打印出来。程序开始前我们需要先定义一些重要协议的包格式，因为WinPcap并没有为我们定义这些东西。

复制代码 
/*
* define struct of ethernet header , ip address , ip header and tcp header
*/
/* ethernet header */
typedef struct ether_header {
    u_char ether_shost[ETHER_ADDR_LEN]; /* source ethernet address, 8 bytes */
    u_char ether_dhost[ETHER_ADDR_LEN]; /* destination ethernet addresss, 8 bytes */
    u_short ether_type;                 /* ethernet type, 16 bytes */
}ether_header;

/* four bytes ip address */
typedef struct ip_address {
    u_char byte1;
    u_char byte2;
    u_char byte3;
    u_char byte4;
}ip_address;

/* ipv4 header */
typedef struct ip_header {
    u_char ver_ihl;         /* version and ip header length */
    u_char tos;             /* type of service */
    u_short tlen;           /* total length */
    u_short identification; /* identification */
    u_short flags_fo;       // flags and fragment offset
    u_char ttl;             /* time to live */
    u_char proto;           /* protocol */
    u_short crc;            /* header checksum */
    ip_address saddr;       /* source address */
    ip_address daddr;       /* destination address */
    u_int op_pad;           /* option and padding */
}ip_header;

/* tcp header */
typedef struct tcp_header {
    u_short th_sport;         /* source port */
    u_short th_dport;         /* destination port */
    u_int th_seq;             /* sequence number */
    u_int th_ack;             /* acknowledgement number */
    u_short th_len_resv_code; /* datagram length and reserved code */
    u_short th_window;        /* window */
    u_short th_sum;           /* checksum */
    u_short th_urp;           /* urgent pointer */
}tcp_header;
复制代码

      还有一些重要的识别协议的类型，我们需要自己在代码中进行定义。

#define ETHERTYPE_IP 0x0800 /* ip protocol */
#define TCP_PROTOCAL 0x0600 /* tcp protocol */

      接下来再看看刚才所说的程序的逻辑是如何实现的。

      1. 判断是否是IP数据包。我们先回顾一下，在RFC 894中定义了以太网的封装格式，由目的地址（6字节）、源地址（6字节）、类型（2字节）、数据以及CRC（4字节）构成。我们只需要关注头部中类型这个字段，当它为0x0800时，表示数据保存的是IP数据报；当它为0x0806时，表示数据保存的是ARP请求/应答；当为0x8035时，数据保存的是RARP请求/应答。所以通过比较它的类型是否为0x0800，从而可以到达目的。

      2. 判断是否是TCP分组。跟上面类似，可以通过判断IP首部中协议字段是否为0x0600即可。

      3. 判断是否是HTTP报文。根据上面所讲解的HTTP报文格式，我们只需要判断开头是否为"GET"、"POST"、"HTTP/1.1"就可以做到了。具体程序是如何来判断的我们来看看代码吧！

复制代码 
/* capture packet */
    while((res = pcap_next_ex(adhandle, &pheader, &pkt_data)) >= 0) {

        if(res == 0)
            continue; /* read time out*/

        ether_header * eheader = (ether_header*)pkt_data; /* transform packet data to ethernet header */
        if(eheader->ether_type == htons(ETHERTYPE_IP)) { /* ip packet only */
            ip_header * ih = (ip_header*)(pkt_data+14); /* get ip header */

            if(ih->proto == htons(TCP_PROTOCAL)) { /* tcp packet only */
                    int ip_len = ntohs(ih->tlen); /* get ip length, it contains header and body */

                    int find_http = false;
                    char* ip_pkt_data = (char*)ih;
                    int n = 0;
                    char buffer[BUFFER_MAX_LENGTH];
                    int bufsize = 0;

                    for(; n<ip_len; n++)
                    {
                        /* http get or post request */
                        if(!find_http && ((n+3<ip_len && strncmp(ip_pkt_data+n,"GET",strlen("GET")) ==0 )
                       || (n+4<ip_len && strncmp(ip_pkt_data+n,"POST",strlen("POST")) == 0)) )
                                find_http = true;

                        /* http response */
                        if(!find_http && i+8<ip_len && strncmp(ip_pkt_data+i,"HTTP/1.1",strlen("HTTP/1.1"))==0)
                               find_http = true;

                        /* if http is found */
                        if(find_http)
                        {
                            buffer[bufsize] = ip_pkt_data[n]; /* copy http data to buffer */
                            bufsize ++;
                        }
                    }
                    /* print http content */
                    if(find_http) {
                        buffer[bufsize] = '\0';
                        printf("%s\n", buffer);
                        printf("\n**********************************************\n\n");
                    }
            }
        }
    }
复制代码

看一下运行后的截图：



 

 

 

 

 

 

 

 

 

 

 

     

 

      这里需要注意的是，程序本质上还没有完全还原HTTP协议的功能，对于HTTP请求数据和响应数据进行解析，真正的应该可以通过Content-Type分析数据格式，并按照相应的解析方式进行解码，还有对于中文字符的处理等等~~最后将整个程序的源码贴出来，有任何意见或建议的可以随意吐槽，虚心接受。ps: 注释写得不全请见谅~~

pheader.h头文件

复制代码 
#ifndef PHEADER_H_INCLUDED
#define PHEADER_H_INCLUDED
/*
*
*/
#define ETHER_ADDR_LEN 6 /* ethernet address */
#define ETHERTYPE_IP 0x0800 /* ip protocol */
#define TCP_PROTOCAL 0x0600 /* tcp protocol */
#define BUFFER_MAX_LENGTH 65536 /* buffer max length */
#define true 1  /* define true */
#define false 0 /* define false */

/*
* define struct of ethernet header , ip address , ip header and tcp header
*/
/* ethernet header */
typedef struct ether_header {
    u_char ether_shost[ETHER_ADDR_LEN]; /* source ethernet address, 8 bytes */
    u_char ether_dhost[ETHER_ADDR_LEN]; /* destination ethernet addresss, 8 bytes */
    u_short ether_type;                 /* ethernet type, 16 bytes */
}ether_header;

/* four bytes ip address */
typedef struct ip_address {
    u_char byte1;
    u_char byte2;
    u_char byte3;
    u_char byte4;
}ip_address;

/* ipv4 header */
typedef struct ip_header {
    u_char ver_ihl;         /* version and ip header length */
    u_char tos;             /* type of service */
    u_short tlen;           /* total length */
    u_short identification; /* identification */
    u_short flags_fo;       // flags and fragment offset
    u_char ttl;             /* time to live */
    u_char proto;           /* protocol */
    u_short crc;            /* header checksum */
    ip_address saddr;       /* source address */
    ip_address daddr;       /* destination address */
    u_int op_pad;           /* option and padding */
}ip_header;

/* tcp header */
typedef struct tcp_header {
    u_short th_sport;         /* source port */
    u_short th_dport;         /* destination port */
    u_int th_seq;             /* sequence number */
    u_int th_ack;             /* acknowledgement number */
    u_short th_len_resv_code; /* datagram length and reserved code */
    u_short th_window;        /* window */
    u_short th_sum;           /* checksum */
    u_short th_urp;           /* urgent pointer */
}tcp_header;

#endif // PHEADER_H_INCLUDED
复制代码

main.c文件

复制代码 
#include <stdio.h>
#include <stdlib.h>
#define HAVE_REMOTE
#include <pcap.h>
#include "pheader.h"

/*
* function: a simple program to analyze http
* author: blacksword
* date: Wed March 21 2012
*/
int main()
{
    pcap_if_t* alldevs; // list of all devices
    pcap_if_t* d; // device you chose

    pcap_t* adhandle;

    char errbuf[PCAP_ERRBUF_SIZE]; //error buffer
    int i=0;
    int inum;

    struct pcap_pkthdr *pheader; /* packet header */
    const u_char * pkt_data; /* packet data */
    int res;

    /* pcap_findalldevs_ex got something wrong */
    if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL /* auth is not needed*/, &alldevs, errbuf) == -1)
    {
        fprintf(stderr, "Error in pcap_findalldevs_ex: %s\n", errbuf);
        exit(1);
    }

    /* print the list of all devices */
    for(d = alldevs; d != NULL; d = d->next)
    {
        printf("%d. %s", ++i, d->name); // print device name , which starts with "rpcap://"
        if(d->description)
            printf(" (%s)\n", d->description); // print device description
        else
            printf(" (No description available)\n");
    }

    /* no interface found */
    if (i == 0)
    {
        printf("\nNo interface found! Make sure Winpcap is installed.\n");
        return -1;
    }

    printf("Enter the interface number (1-%d):", i);
    scanf("%d", &inum);

    if(inum < 1 || inum > i)
    {
        printf("\nInterface number out of range.\n");
        pcap_freealldevs(alldevs);
        return -1;
    }

    for(d=alldevs, i=0; i < inum-1; d=d->next, i++); /* jump to the selected interface */

    /* open the selected interface*/
    if((adhandle = pcap_open(d->name, /* the interface name */
                 65536, /* length of packet that has to be retained */
                 PCAP_OPENFLAG_PROMISCUOUS, /* promiscuous mode */
                 1000, /* read time out */
                 NULL, /* auth */
                 errbuf /* error buffer */
                 )) == NULL)
                 {
                     fprintf(stderr, "\nUnable to open the adapter. %s is not supported by Winpcap\n",
                             d->description);
                     return -1;
                 }

    printf("\nListening on %s...\n", d->description);

    pcap_freealldevs(alldevs); // release device list

    /* capture packet */
    while((res = pcap_next_ex(adhandle, &pheader, &pkt_data)) >= 0) {

        if(res == 0)
            continue; /* read time out*/

        ether_header * eheader = (ether_header*)pkt_data; /* transform packet data to ethernet header */
        if(eheader->ether_type == htons(ETHERTYPE_IP)) { /* ip packet only */
            ip_header * ih = (ip_header*)(pkt_data+14); /* get ip header */

            if(ih->proto == htons(TCP_PROTOCAL)) { /* tcp packet only */
                    int ip_len = ntohs(ih->tlen); /* get ip length, it contains header and body */

                    int find_http = false;
                    char* ip_pkt_data = (char*)ih;
                    int n = 0;
                    char buffer[BUFFER_MAX_LENGTH];
                    int bufsize = 0;

                    for(; n<ip_len; n++)
                    {
                        /* http get or post request */
                        if(!find_http && ((n+3<ip_len && strncmp(ip_pkt_data+n,"GET",strlen("GET")) ==0 )
                       || (n+4<ip_len && strncmp(ip_pkt_data+n,"POST",strlen("POST")) == 0)) )
                                find_http = true;

                        /* http response */
                        if(!find_http && n+8<ip_len && strncmp(ip_pkt_data+n,"HTTP/1.1",strlen("HTTP/1.1"))==0)
                               find_http = true;

                        /* if http is found */
                        if(find_http)
                        {
                            buffer[bufsize] = ip_pkt_data[n]; /* copy http data to buffer */
                            bufsize ++;
                        }
                    }
                    /* print http content */
                    if(find_http) {
                        buffer[bufsize] = '\0';
                        printf("%s\n", buffer);
                        printf("\n**********************************************\n\n");
                    }
            }
        }
    }

    return 0;
}
复制代码

 

作者：黑剑 
出处：http://www.cnblogs.com/blacksword/ 
本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，否则保留追究法律责任的权利。

从配置Winpcap环境（dev c++）到运行HTTP数据包捕获还原
lsm1227msl的博客
04-20 1394
2.打开Dev c++，工具——》编译选项——》编译器配置——》目录——》库，点击红框处添加Winpcap开发包中的Lib文件夹。链接：https://pan.baidu.com/s/155x_BiCf-O0gNLk29_nTWw?4.新建一个空项目，点击“项目”——》"项目属性"，依照下图添加wpcap.lib和WS2_32.lib。3.继续向"C包含文件"和"C++包含文件"中添加开发者包中的Include文件夹。我的环境：WindosXP虚拟机 , Dev C++
基于Winpcap抓取http包
10-23
直接截获网卡数据 截获发送方式为POST的HTTP包 显示出用户登陆信息
winpcap抓包并进行协议解析
07-15
这是我本学期的网络编程课程设计，是基于winpcap的抓包程序，用MFC实现。 本程序基于winpcap，可以实现抓包类型的选择，如ARP，IP，TCP，UDP，ICMP。一般网上的抓包程序都是利用原始套接字，而基于原始套接字的抓包程序是无法抓到网络层一下的包的，如ARP包。本程序实现的任意类型的抓包。 资源中含有1.程序源码 2.winpcap安装程序3.课程设计文档4.VC++设置说明。内容非常丰富。 本程序界面清晰实用，一目了然，容易上手。把抓包函数放到线程中，避免的主线程无响应。
Winpcap解析HTTP报文头
03-25
Winpcap捕获网卡上的数据包，过滤出TCP的包，解析出HTTP报文
winpcap http
Daniel 的技术笔记 不积跬步无以至千里，不积小流无以成江海。
04-25 1819
/*winpcap  捕获http数据包*/   #include "pcap.h" #include #include #include using namespace std;   /*Ethernet Heder*/ struct ether_header {       u_int8_t  ether_dhost[6];      /* destination
WinPcap还原HTTP
Taylor05的专栏
03-16 7703
WinPcap简介WinPcap是Win32平台上开源库，用于网络分析和数据包捕获。操作系统提供的socket，隐藏了网络底层细节，如协议处理，数据包重组等，使用Socket编程类似于操作文件。但是，有些应用程序需要直接访问网络的原始数据，比如Http分析工具，网络监控工具等等，此时操作系统提供的Socket就无法满足我们的要求了。WinPcap可以直接捕获网络中原始数据，主要功能如下：1.         捕获原始数据，既可以捕获本机数据包，还可以捕获传输给其它机器的数据包；2.         根据
任务：HTTP协议分析和网页还原 目标：编写一个程序，能够捕获传入的数据包，并使用捕获的数据还原选择的测试网页。 步骤： |——捕获数据包 |——重构HTTP消息 |——使用捕获的数据还原网页 要求： 使用libpcap或winpcap进行编程，选择的测试网页必须包含图像元素 提交内容：应提交以下文件： .src/（源代码） .bin/（可执行文件） 注意事项： 只能使用C或C++进行编码 不能使用任何自动化软件，如httpwatch、httpanalyzerstdv、浏览器内置工具、wireshark、MiniSniffer、WSExplorer。 只能使用libcap或wincap库 关于libpcap/winpcap： libpcap是一个用于在Unix/Linux平台下捕获实时网络数据的C库。 许多著名的网络工具都基于libpcap，如Wireshark/Tcpdump、Snort等。 Winpcap是libpcap的Windows版本。 http://www.tcpdump.org/ http://www.winpcap.org/ https://nmap.org/npcap/
最新发布
06-08
很抱歉，作为AI语言模型，我没有权限编写计算机程序，但我可以告诉你如何使用libpcap或winpcap进行编程。 首先，你需要了解如何使用libpcap或winpcap库捕获网络数据包。这些库提供了一组API，使得你能够在程序中...
C++ 捕获与解析IP数据包 （winpcap）
热门推荐
Fuguir™的博客
12-28 2万+
源代码链接：https://download.csdn.net/download/chd_lcj/10891420 （不知道为什么积分涨到4积分了。。。原先只是单纯的想分享下的，结果最低只能设置1积分） //网络编程学习经验记录贴 winpcap简介 WinPcap 是由伯克利分组捕获库派生而来的分组捕获库，它是在Windows 操作平台上来实现对底层包的截取过滤。 WinPcap...
利用AF_PACKET 套接字发送一个任意的以太网帧
weixin_38171030的博客
03-04 500
目标 利用AF_PACKET套接字发送一个任意的以太网帧 背景 以太网是一个链路层协议。大多数网络程序员关注网络栈的传输层及以上，所以不需要直接处理以太网帧，但是某些场景下关注传输层以下也是有必要的。如： 1）实现网络协议栈里面没有内置的以太网协议类型2）为测试目的，产生一个畸形或者其它非常规帧 应...
c语言编程题报文解析,C语言解析HTTP_POST PCAP 格式包(邮件发送)
weixin_39860952的博客
05-19 1011
1、C语言实现PCAP文件分析实现步骤：1)用Wireshark软件抓包得到test.pcap文件2)程序：分析pcap文件头->分析pcap_pkt头->分析帧头 ->分析ip头->分析tcp头->分析http信息#include "stdio.h"#include "string.h"#include "stdlib.h"#include "netinet/in....
（转）TCP/IP 数据包头格式
weixin_30725315的博客
05-15 896
最近狂补基础，猛看TCP/IP协议。不过，书上的东西太抽象了，没有什么数据实例，看了不 久就忘了。于是，搬来一个sniffer，抓了数据包来看，呵呵，结合书里面得讲解，理解得 比较快。我就来灌点基础知识。　 　　开始吧，先介绍IP协议。　 　　IP协议（Internet Protocol）是网络层协议，用在因特网上，TCP，UDP，ICMP，IGMP数据都是按照IP数据格式发送得...
Linux网络编程常用头文件解释
Poo_Chai的博客
10-13 2339
sys/types.h：数据类型定义 sys/socket.h：提供socket函数及数据结构 netinet/in.h：定义数据结构sockaddr_in arpa/inet.h：提供IP地址转换函数 netdb.h：提供设置及获取域名的函数 sys/ioctl.h：提供对I/O控制的函数 sys/poll.h：提供socket等待测试机制的函数 其他在网络程序中常见的头文件 ...
winpcap截获HTTP代码
XiaoZuoay的专栏
03-07 1491
winpcap截获HTTP代码，winpcap没有，自己稍微写了一下 // DataFilter.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #define WPCAP #define HAVE_REMOTE #include #include using namespace std; struct PacketInfo {
winpcap局域网抓包工具http
如鹿渴慕泉水的专栏
04-10 4389
局域网抓包工具可以抓取局域网所有http响应，需要安装winpcap驱动内有，内有源码，可以合并同一个ack的数据包，还原成一个html明文，下面附上源码mfc // pcapcatchDlg.h : 头文件 // #pragma once #include "afxcmn.h" #include  #include "stdafx.h" struct ether_header
VS2012 Qt5 winpcap win64 抓包工具 编写与设计 http协议解析
高调做事，低调做人
03-25 3270
使用很简单如图： 操作步骤1,2,3 比较重要的地方： 1.双线程，加队列缓冲 给主线程发送数据（不然卡死） 2.实现解析http，和字符串的提取类； 废话不多说直接上源码 （呕心沥血请支持原创啊）
Winpcap编程：网络数据捕获与协议解析实战
实验的目标包括理解Winpcap的工作原理，掌握其基本功能，以及如何通过编程实现数据包的捕获、解析和协议识别。 首先，实验者需要了解Winpcap的基本架构，它由数据包监听设备驱动程序、低级动态链接库和高级静态链接...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值