工欲善其事，必先利其器。為了有利于深入了解WinPcap的內部機制，我們需要對網絡分析與嗅探、網絡模型與硬件基礎作必要了解。

1.1 什么是網絡分析與嗅探

網絡分析(Network analysis) (也稱為網絡流量分析、協議分析、嗅探、數據包分析、竊聽，等等)就是通過捕獲網絡流量并深入檢查，來決定網絡中發生了什么情況的過程。一個網絡分析器對通用協議的數據包進行解碼，并以可讀的格式顯示網絡流量的內容。嗅探器（sniffer）是一種監視網絡上所傳輸數據的程序。未經授權的嗅探器對網絡安全構成威脅，因為它們很難被發現并且可在任何地方被插入，這使得它們成為***最喜歡使用的一種工具。 網絡分析器之間的差別，在于諸如支持能解碼的協議數量、用戶接口、圖形化與統計能力等主要特性的不同。其它的差別還包括了推理能力（比如，專家分析特性）與數據包解碼的質量。盡管幾個不同的網絡分析器針對同一個協議進行解碼，但在實際環境中可能其中的一些會比另外一些工作得更好。 圖2-1為Wireshark網絡分析器的顯示窗口。一個典型的網絡分析器用三個窗格顯示所捕獲的網絡流量： 圖2-1 Wireshark網絡分析器的顯示窗口 概要 該窗格對所捕獲的內容顯示一行概要。包含日期、時間、源地址、目標地址、與最高層協議的名字與信息字段。 詳情 該窗格提供所捕獲數據包所包含的每層細節信息（采用樹形結構）。 數據 該窗格用十六進制與文本格式顯示原始的被捕獲數據。 一個網絡分析器是由硬件與軟件共同組成?？梢允且粋€帶有特定軟件的單獨硬件設備，或者是安裝在臺式電腦或膝上電腦之上的一個軟件。盡管每種產品之間具有差別，但都是由下列五個基本部分組成。 硬件 多數網絡分析器是基于軟件的，并工作于標準的操作系統與網卡之上。然而，一些硬件網絡分析器提供額外的功能，諸如分析硬件故障（比如循環冗余糾錯（CRC）錯誤、電壓問題、網線問題、抖動、逾限（jabber）、協商錯誤等等）。一些網絡分析器僅支持以太網或無線網適配器，而其它的可支持多重適配器，并允許用戶定制它們的配置。依據實際情況，可能也需要一個集線器或一個網線探針（cable tap）連接已有的網線。 捕獲驅動器 這是網絡分析器中負責從網線上捕獲原始網絡流量的部分。它濾出了所需保持的流量，并把所捕的獲數據保存在一個緩沖區中。這是網絡分析器的核心——沒有它就無法捕獲數據。 緩沖區 該組件存儲所捕獲的數據。數據能夠被存入一個緩沖區中只到該緩沖區被填滿為止，或者采用循環緩沖的方式，那么最新的數據將會替換最舊的數據。采用磁盤或內存均可實現緩沖區。 實時分析 當數據一離開網線，該特性就可對數據執行分析。一些網絡分析器利用該特性發現網絡性能問題、同時網絡***檢測系統利用它尋找***活動。 解碼(器) 該組件顯示網絡流量的內容（帶有描述），所以是可讀的 。解碼是特定于每個協議的，因此網絡分析器當前支持可解碼的協議數目是變化的，網絡分析器可能經常加入新的解碼。

本文出自 “千江月” 博客，請務必保留此出處http://eslxf.blog.51cto.com/918801/200736

轉載于:https://blog.51cto.com/runhook/386917

總結

以上是生活随笔為你收集整理的深度剖析WinPcap之(二)——网络分析与嗅探的基础知识(1)的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。