網(wǎng)絡分析技術揭秘：原理、實踐與WinPcap深入解析

前言
第1章 揭開網(wǎng)絡分析的神秘面紗
1.1 網(wǎng)絡分析概述
1.2 網(wǎng)絡分析的主要用途
1.3 黑客使用嗅探器的方法
1.4 被嗅探數(shù)據(jù)的真面目
1.4.1 使用嗅探器獲得FTP的用戶名和密碼
1.4.2 使用嗅探器分析沖擊波蠕蟲（Blaster Worm）
1.5 常見的網(wǎng)絡分析器
1.6 網(wǎng)絡分析器的工作原理
1.6.1 以太網(wǎng)簡介
1.6.2 理解開放系統(tǒng)互連（OSI）模型
1.6.3 了解CSMACD協(xié)議
1.6.4 IP、ICMP、TCP與UDP協(xié)議
1.6.5 硬件
1.6.6 欺騙交換機
1.7 嗅探器的檢測
1.7.1 檢測嗅探器的原理
1.7.2 防止網(wǎng)絡嗅探可采取的安全措施
1.8 網(wǎng)絡分析工具的主要功能組成
1.9 Wireshark的概述、安裝與使用
1.9.1 Wireshark的概述
1.9.2 Wireshark的安裝
1.9.3 Wireshark的使用
1.1 0小結
第2章 初識網(wǎng)絡分析基礎庫WinPcap
2.1 WinPcap概述
2.2 WinPcap的優(yōu)點
2.3 WinPcap的使用者
2.4 WinPcap的體系架構
2.4.1 WinPcap的主要組成
2.4.2 數(shù)據(jù)包捕獲的基本過程
2.4.3 WinPcap的驅(qū)動程序
2.4.4 WinPcap內(nèi)核驅(qū)動的主要功能
2.5 用戶空間庫接口函數(shù)
2.5.1 wpcap.dll庫中的重要函數(shù)
2.5.2 Packet.dll庫中的重要函數(shù)
2.6 小結
第3章 網(wǎng)絡分析工具的內(nèi)核驅(qū)動基礎知識
3.1 Windows驅(qū)動程序基礎知識
3.1.1 驅(qū)動對象（DRIVER_OBJECT）
3.1.2 設備對象（DEVICE_OBJECT）
3.1.3 設備擴展（_DEVICE_EXTENSION）
3.1.4 IRP與派遣函數(shù)
3.1.5 同步處理
3.1.6 內(nèi)核的內(nèi)存操作
3.1.7 內(nèi)存操作的運行時函數(shù)
3.1.8 內(nèi)核的注冊表操作
3.2 NDIS協(xié)議驅(qū)動程序
3.2.1 三種類型的網(wǎng)絡驅(qū)動程序
3.2.2 協(xié)議驅(qū)動程序的特征結構體
3.3 小結
第4章 編譯與使用WinPcap
4.1 源代碼目錄結構
4.2 構建驅(qū)動程序NPF
4.3 構建Packet.dll庫
4.4 構建wpcap.dll庫
4.5 安裝NPF驅(qū)動程序與各庫文件
4.6 使用WinPcap庫進行程序開發(fā)的實例
4.7 小結
第5章 WinPcap驅(qū)動程序的初始化與清除
5.1 驅(qū)動程序中的初始化函數(shù)DriverEntry
5.1.1 DriverEntry函數(shù)的工作流程
5.1.2 DriverEntry函數(shù)的具體實現(xiàn)
5.2 驅(qū)動程序中的卸載函數(shù)DriverUnload
5.3 小結
第6章 獲得與釋放網(wǎng)絡適配器設備列表
6.1 使用WinPcap選擇合適的適配器
6.1.1 wpcap.dll庫導出的相應函數(shù)
6.1.2 獲得與釋放網(wǎng)絡適配器列表的實例
6.1.3 獲取已安裝設備高級信息的實例
6.2 獲得網(wǎng)絡適配器列表的幕后
6.2.1 wpcap.dll庫中獲得網(wǎng)絡適配器列表的實現(xiàn)
6.2.2 Packet.dll庫中獲得網(wǎng)絡適配器列表的實現(xiàn)
6.2.3 內(nèi)核空間中獲得網(wǎng)絡適配器列表的實現(xiàn)
6.3 釋放網(wǎng)絡適配器列表的實現(xiàn)
6.4 小結
第7章 打開與關閉適配器
7.1 使用WinPcap打開與關閉適配器
7.1.1 wpcap.dll庫導出的相應函數(shù)
7.1.2 關鍵數(shù)據(jù)結構pcap_t
7.1.3 打開與關閉網(wǎng)絡適配器的實例
7.2 打開與關閉適配器的幕后
7.2.1 打開適配器的實現(xiàn)
7.2.2 關閉適配器的實現(xiàn)
7.3 小結
第8章 數(shù)據(jù)包的發(fā)送
8.1 使用WinPcap發(fā)送數(shù)據(jù)包
8.1.1 wpcap.dll庫導出的相應函數(shù)
8.1.2 數(shù)據(jù)包發(fā)送實例
8.2 數(shù)據(jù)包發(fā)送的幕后
8.2.1 發(fā)送單個數(shù)據(jù)包的實現(xiàn)
8.2.2 單個數(shù)據(jù)包發(fā)送多次的實現(xiàn)
8.2.3 發(fā)送隊列方式的實現(xiàn)
8.3 小結
第9章 數(shù)據(jù)包的內(nèi)核過濾
9.1 基礎知識
9.1.1 flex和bison簡介
9.1.2 #line宏
9.1.3 以太網(wǎng)的典型幀結構
9.1.4 數(shù)據(jù)包過濾的原理簡介
9.1.5 BPF虛擬機
9.1.6 Tcpdump與WinDump
9.1.7 BPF指令集實例
9.1.8 BPF過濾器的優(yōu)化研究
9.1.9 BPF系統(tǒng)架構
9.2 WinPcap數(shù)據(jù)包過濾基礎
9.2.1 數(shù)據(jù)包過濾過程
9.2.2 過濾表達式
9.2.3 編譯過濾表達式生成過濾器的字節(jié)碼
9.2.4 把過濾器字節(jié)碼傳遞給內(nèi)核
9.3 使用WinPcap過濾數(shù)據(jù)包
9.3.1 wpcap.dll庫導出的相應函數(shù)
9.3.2 使用過濾器的實例
9.4 數(shù)據(jù)包過濾的幕后
9.4.1 wpcap.dll庫中相應函數(shù)的實現(xiàn)
9.4.2 Packet.dll庫對應的函數(shù)
9.4.3 驅(qū)動程序中對應的函數(shù)
9.4.4 NPF_tap函數(shù)的數(shù)據(jù)包過濾部分
9.5 小結
第10章 數(shù)據(jù)包的接收
10.1 使用WinPcap接收數(shù)據(jù)包
10.1.1 wpcap.dll庫導出的相應函數(shù)
10.1.2 數(shù)據(jù)包接收的實例
10.2 數(shù)據(jù)接收的幕后
10.2.1 wpcap.dll庫中相應函數(shù)的實現(xiàn)
10.2.2 Packet.dll庫中相應函數(shù)的實現(xiàn)
10.2.3 內(nèi)核空間部分的實現(xiàn)
10.3 小結
第11章 統(tǒng)計網(wǎng)絡流量與網(wǎng)絡狀態(tài)
11.1 使用WinPcap進行網(wǎng)絡統(tǒng)計的方法
11.1.1 wpcap.dll庫導出的相應函數(shù)
11.1.2 統(tǒng)計實例
11.2 網(wǎng)絡統(tǒng)計的幕后
11.2.1 工作模式
11.2.2 模式設置函數(shù)
11.2.3 網(wǎng)絡流量統(tǒng)計的實現(xiàn)
11.2.4 網(wǎng)絡狀態(tài)統(tǒng)計的實現(xiàn)
11.3 小結
第12章 文件的存儲與讀取
12.1 libpcap文件存儲格式
12.1.1 轉儲文件的頭信息
12.1.2 每個數(shù)據(jù)包的頭信息
12.2 使用WinPcap進行文件存儲與讀取
12.2.1 wpcap.dll導出的相應函數(shù)
12.2.2 文件存儲與讀取的實例
12.3 數(shù)據(jù)包文件存儲的幕后
12.3.1 pcap_dump_open函數(shù)
12.3.2 pcap_dump函數(shù)
12.3.3 pcap_dump_flush函數(shù)
12.3.4 pcap_dump_close函數(shù)
12.4 數(shù)據(jù)包文件讀取的幕后
12.5 內(nèi)核文件轉儲的實現(xiàn)
12.5.1 wpcap.dll庫中相應函數(shù)的實現(xiàn)
12.5.2 Packet.dll庫中相應函數(shù)的實現(xiàn)
12.5.3 驅(qū)動程序中對應的函數(shù)
12.6 小結
第13章 修改源代碼
13.1 給wpcap.dll增加設置重復發(fā)送次數(shù)的函數(shù)
13.1.1 修改步驟
13.1.2 測試結果
13.2 修改WinPcap的內(nèi)核驅(qū)動代碼
13.2.1 支持內(nèi)核轉儲功能
13.2.2 測試內(nèi)核統(tǒng)計與轉儲模式
13.2.3 支持大量數(shù)據(jù)包的轉儲
13.2.4 內(nèi)核驅(qū)動程序修改后的源文件
13.3 小結
第14章 性能測試與分析
14.1 測試環(huán)境
14.2 測試實例
14.2.1 不同發(fā)送方式的比較
14.2.2 發(fā)送不同數(shù)據(jù)包長度的比較
14.2.3 不同接收方式的比較
14.3 小結
附錄A 源語法規(guī)范
附錄B 過濾表達式規(guī)范
附錄C SYN洪泛攻擊的詳細資料
附錄D ARP欺騙資料
參考文獻