简介：这份资源是华中科技大学2018年计算机网络安全实验的完整源码，面向正在学习网络安全、网络协议分析或准备相关课程实验的高校学生与开发者，帮助理解数据包抓取、协议解析以及ARP欺骗实现中间人攻击的核心原理。压缩包共27个文件，约293KB，以C++源码为主体，包含7个cpp与8个h文件，另有2个ui界面文件、1个pro工程文件与1个qrc资源文件，并配有5张png与2张jpg截图辅助说明运行效果。项目基于WinPcap实现数据包嗅探与分析，同时包含ARP攻击模块，可模拟中间人攻击场景，目录中清晰划分了抓包线程、发包线程、ARP欺骗线程及主窗口等模块，便于读者梳理代码结构与实验思路。目前已有2814人学习下载，适合作为课程设计参考、实验复现与二次开发的基础素材，也可用于对照理解嗅探器与ARP攻击的实现细节。
1. 从一份课程实验说起：为什么我要拆这个基于 WinPcap 的数据包分析器
很多人第一次接触网络编程，都是从"抓包"这两个字开始的。课程实验里要求做一个能监听网卡、解析数据包、把协议字段打印出来的小工具，听起来简单，真动手才发现坑不少：网卡选不对抓不到包、字节序搞反了协议头全是乱码、过滤器写错了什么都收不到。这份华中科技大学计算机网络安全实验的源码，做的就是这件事——基于 WinPcap 实现一个数据包分析器（嗅探器），把以太网帧、IP 头、TCP/UDP 头一层层剥开，还原出源地址、目的地址、端口和载荷。它适合正在做网络安全课程实验的学生，也适合想搞明白"抓包工具底层到底怎么工作"的开发者。下面我按"能干什么、怎么跑、怎么改"的顺序，把这份源码拆开讲清楚。
2. 项目定位与技术选型：WinPcap 抓包链路到底怎么搭
2.1 这个分析器到底做了什么
从实验目标看，这个项目的核心功能可以拆成四步：打开网卡进入混杂模式、循环捕获数据帧、按协议栈逐层解析、把结果输出到控制台或日志。它不是一个完整的 Wireshark，而是一个教学性质的嗅探器，重点在于让你亲手处理每一个协议头的字节布局。
具体来说，它能做到：
- 枚举本机所有网络接口，让用户选择要监听的网卡
- 设置 BPF 过滤规则，只抓感兴趣的流量（比如只抓 TCP 80 端口）
- 解析以太网帧头，识别上层是 IP 还是 ARP
- 解析 IPv4 头，提取源 IP、目的 IP、协议类型、TTL
- 解析 TCP/UDP 头，提取源端口、目的端口、标志位
- 对载荷做十六进制和 ASCII 双栏输出
这套流程覆盖了网络安全实验里最核心的"协议分析"能力。你把它跑通之后，再去看 Wireshark 的协议树，就能明白每一层是怎么被拆出来的。
2.2 为什么选 WinPcap 而不是 Raw Socket
在 Windows 上做抓包，常见做法有两种：一是用 Raw Socket，二是用 WinPcap（或其现代替代 Npcap）。这个实验选了 WinPcap，原因很实际。
Raw Socket 的问题在于，它只能收到发往本机或本机发出的包，想抓整个局域网的流量基本没戏，而且不同 Windows 版本对 Raw Socket 的限制越来越严。WinPcap 则直接挂到 NDIS 中间层驱动上，能拿到网卡上的原始帧，配合混杂模式可以捕获经过网卡的所有流量。对于"嗅探"这个目标来说，WinPcap 是更对路的选择。
从代码结构看，项目围绕 WinPcap 的几个核心 API 展开：
| API 函数 | 作用 | 在项目中的位置 |
|---|---|---|
| pcap_findalldevs | 枚举网卡列表 | 程序启动时调用 |
| pcap_open_live | 打开网卡，设置混杂模式 | 用户选完网卡后调用 |
| pcap_compile | 编译 BPF 过滤表达式 | 设置过滤器时调用 |
| pcap_setfilter | 应用过滤器 | 编译成功后调用 |
| pcap_next_ex | 捕获下一个数据包 | 主循环中反复调用 |
| pcap_close | 关闭句柄释放资源 | 程序退出时调用 |
这张表基本就是整个程序的骨架。你把这六个函数的调用顺序理清楚，代码逻辑就通了一大半。
2.3 开发环境与依赖准备
要跑这个项目，环境准备是第一步，也是最容易翻车的地方。WinPcap 官方版本对 Windows 10/11 的支持已经不太行了，常见做法是装 Npcap，它兼容 WinPcap 的 API，安装时勾选"WinPcap API-compatible Mode"即可。
具体需要准备的东西：
- Visual Studio（2017 及以上都行），用来编译 C/C++ 代码
- Npcap 或 WinPcap 运行时，安装后会在系统目录放入 wpcap.dll 和 Packet.dll
- WpdPack SDK，里面包含 pcap.h 等头文件和 wpcap.lib 等导入库
- 把 SDK 的 Include 目录加到项目附加包含目录，Lib 目录加到附加库目录
- 链接时加上 wpcap.lib 和 ws2_32.lib
提示：如果你用的是 64 位编译目标，一定要用 SDK 里的 x64 库，用错位数会在链接阶段报一堆 unresolved external symbol。
环境配好之后，先别急着写解析逻辑，写个最小程序调用 pcap_findalldevs 把网卡列表打出来，能打印就说明环境通了。这一步能帮你把环境问题和代码问题分开，省得后面调试时两头怀疑。
3. 核心模块拆解：一个数据包从网卡到控制台的完整链路
3.1 网卡枚举与打开：选对设备是第一步
程序启动后第一件事是拿到网卡列表。WinPcap 用 pcap_if_t 结构体组成一个链表，每个节点代表一个网络接口。
#include <pcap.h> #include <stdio.h> int main() { pcap_if_t *alldevs; pcap_if_t *d; char errbuf[PCAP_ERRBUF_SIZE]; int i = 0; // 枚举所有网卡，结果存入 alldevs 链表 if (pcap_findalldevs(&alldevs, errbuf) == -1) { fprintf(stderr, "枚举网卡失败: %s\n", errbuf); return 1; } // 遍历链表，打印编号和描述 for (d = alldevs; d != NULL; d = d->next) { printf("%d. %s", ++i, d->name); if (d->description) printf(" (%s)", d->description); printf("\n"); } if (i == 0) { printf("没有找到可用网卡，确认 Npcap 是否安装\n"); return 1; } // 后续用 pcap_open_live 打开用户选择的网卡 // 用完记得 pcap_freealldevs(alldevs) return 0; }这段代码的逻辑很直白：pcap_findalldevs 把网卡信息填进链表，errbuf 用来接收错误信息。d->name 是设备标识（类似 \Device\NPF_{GUID}），d->description 是人类可读的描述。参数方面，errbuf 必须至少 PCAP_ERRBUF_SIZE 大小，这是 WinPcap 规定的。
选完网卡后调用 pcap_open_live，关键参数是 snaplen（捕获长度，一般设 65535 抓完整帧）、promisc（是否混杂模式，设 1）、to_ms（超时毫秒数，设 1000 避免死等）。混杂模式打开后，网卡会接收所有经过的帧，而不只是发给自己的。
3.2 过滤器设置：BPF 表达式怎么写才不抓瞎
抓包不设过滤，屏幕上会刷得你什么都看不清。WinPcap 用 BPF（Berkeley Packet Filter）语法，先编译再应用。
struct bpf_program fcode; bpf_u_int32 netmask = 0xffffff00; // 常见做法是从设备信息里取，这里简化 // 编译过滤表达式：只抓 80 端口的 TCP 流量 if (pcap_compile(adhandle, &fcode, "tcp port 80", 1, netmask) < 0) { fprintf(stderr, "过滤表达式编译失败: %s\n", pcap_geterr(adhandle)); return 1; } // 把编译好的过滤器应用到句柄上 if (pcap_setfilter(adhandle, &fcode) < 0) { fprintf(stderr, "过滤器应用失败: %s\n", pcap_geterr(adhandle)); return 1; }pcap_compile 的第三个参数就是过滤表达式字符串，第四个参数 optimize 设 1 表示开启优化，第五个是网络掩码。表达式写错是最常见的翻车点，比如把 "tcp port 80" 写成 "tcp port = 80" 就会编译失败。常用的表达式还有 "ip host 192.168.1.1"、"udp"、"not arp" 等。
注意：pcap_compile 失败时一定要用 pcap_geterr 把错误打出来，不然你只知道失败了却不知道为什么，排查起来很痛苦。
3.3 主循环捕获：pcap_next_ex 的返回值别忽略
捕获循环是整个程序的心脏。WinPcap 提供 pcap_next_ex，它比老的 pcap_next 更好用，因为能区分"超时"和"出错"。
struct pcap_pkthdr *header; const u_char *pkt_data; int res; while ((res = pcap_next_ex(adhandle, &header, &pkt_data)) >= 0) { if (res == 0) { // 超时，没有抓到包，继续循环 continue; } // res == 1，成功抓到一个包 printf("捕获到数据包，长度: %d 字节\n", header->len); // 交给解析函数处理 parse_packet(pkt_data, header->len); }pcap_next_ex 的返回值有三种：1 表示抓到包，0 表示超时，-1 表示出错，-2 表示读到文件尾（离线分析时用）。header 里包含时间戳和包长度，pkt_data 指向原始帧数据。这里最容易犯的错是把返回值当布尔用，结果超时被当成出错直接退出循环。
3.4 协议解析：以太网帧到 TCP 头的逐层剥离
拿到原始帧后，就要按协议栈一层层解析。以太网帧头固定 14 字节，类型字段决定上层协议。
// 以太网帧头结构 struct ethernet_header { u_char dest_mac[6]; // 目的 MAC u_char src_mac[6]; // 源 MAC u_short ether_type; // 上层协议类型 }; // IPv4 头结构（简化，实际有选项字段） struct ip_header { u_char ver_ihl; // 版本(4位) + 头长度(4位) u_char tos; u_short total_len; u_short id; u_short flags_offset; u_char ttl; u_char protocol; // 6=TCP, 17=UDP u_short checksum; u_char src_ip[4]; u_char dest_ip[4]; }; void parse_packet(const u_char *data, int len) { struct ethernet_header *eth = (struct ethernet_header *)data; u_short type = ntohs(eth->ether_type); // 字节序转换 if (type == 0x0800) { // IPv4 struct ip_header *ip = (struct ip_header *)(data + 14); int ip_header_len = (ip->ver_ihl & 0x0F) * 4; printf("IP: %d.%d.%d.%d -> %d.%d.%d.%d, 协议: %d\n", ip->src_ip[0], ip->src_ip[1], ip->src_ip[2], ip->src_ip[3], ip->dest_ip[0], ip->dest_ip[1], ip->dest_ip[2], ip->dest_ip[3], ip->protocol); if (ip->protocol == 6) { // TCP struct tcp_header *tcp = (struct tcp_header *)(data + 14 + ip_header_len); printf("TCP 端口: %d -> %d\n", ntohs(tcp->src_port), ntohs(tcp->dest_port)); } } }这段代码有几个关键点。第一，所有多字节字段都要用 ntohs 或 ntohl 做网络字节序到主机字节序的转换，忘了转换端口号会变成几万这种离谱数字。第二，IP 头长度不是固定的，ver_ihl 低四位乘以 4 才是真实头长度，因为可能有选项字段。第三，指针偏移要算准：以太网头 14 字节，IP 头长度动态，TCP 头从 data + 14 + ip_header_len 开始。
TCP 头结构里还有源端口、目的端口、序列号、确认号、标志位等字段，标志位那 12 位里包含 SYN、ACK、FIN 等，解析出来能看出连接的状态变化，这对理解三次握手很有帮助。
4. 编译运行与调试：从源码到能抓到包的全过程
4.1 项目文件组织与编译配置
拿到源码后，先看目录结构。这类实验项目通常包含：
- 主程序文件（main.c 或 sniffer.cpp），负责流程控制
- 协议解析相关文件，定义各种头结构和解析函数
- 头文件目录，放公共声明
- 可能有一个 Makefile 或 VS 工程文件
如果用 Visual Studio，新建一个空项目，把源文件加进去，然后配置三处：附加包含目录指向 WpdPack\Include，附加库目录指向 WpdPack\Lib 或 Lib\x64，链接器输入里加上 wpcap.lib 和 ws2_32.lib。如果用命令行编译，大致是这样：
cl sniffer.c /I "C:\WpdPack\Include" /link /LIBPATH:"C:\WpdPack\Lib\x64" wpcap.lib ws2_32.lib编译通过后运行，程序会列出网卡让你选。选的时候要认准正在用的那块网卡，选错了什么都抓不到。
4.2 运行验证：怎么确认真的抓到了包
程序跑起来后，怎么验证它工作正常？最简单的办法是打开浏览器访问一个 HTTP 网站，同时看程序输出。如果过滤器设的是 "tcp port 80"，应该能看到一串 TCP 包，源端口是随机高位端口，目的端口是 80。
如果什么都没抓到，按这个顺序排查：
- 网卡选对了吗？虚拟网卡、蓝牙网卡都不行，要选物理网卡或正在用的无线网卡
- 过滤器是不是太严了？先去掉过滤器抓所有包试试
- 有没有管理员权限？WinPcap 抓包通常需要管理员权限运行
- Npcap 装的时候勾了兼容模式吗？没勾可能加载不了 wpcap.dll
提示：调试阶段建议先把过滤器去掉，确认能抓到任何包之后，再逐步加过滤条件。这样能把"抓包链路不通"和"过滤器写错"两个问题分开。
4.3 输出格式优化：十六进制加 ASCII 双栏显示
抓到包之后，光打印地址端口还不够，载荷内容也得能看。常见做法是做一个 hex dump 函数，每行 16 字节，左边十六进制右边 ASCII。
void hex_dump(const u_char *data, int len) { for (int i = 0; i < len; i += 16) { printf("%04x ", i); // 十六进制部分 for (int j = 0; j < 16; j++) { if (i + j < len) printf("%02x ", data[i + j]); else printf(" "); } printf(" "); // ASCII 部分，不可打印字符用点代替 for (int j = 0; j < 16 && i + j < len; j++) { u_char c = data[i + j]; printf("%c", (c >= 32 && c < 127) ? c : '.'); } printf("\n"); } }这个函数的逻辑是外层循环按 16 字节步进，内层两个循环分别输出十六进制和 ASCII。ASCII 部分要判断可打印范围，否则控制字符会把终端搞乱。参数 len 是载荷长度，注意不要超过实际捕获长度。
5. 避坑与常见问题：那些让我熬夜的抓包翻车现场
5.1 抓不到任何包
现象：程序正常运行，网卡也选了，但循环里一个包都收不到。
原因通常有三个：一是网卡选错，选到了虚拟网卡或已断开的接口；二是没有管理员权限，WinPcap 无法进入混杂模式；三是过滤器表达式把流量全过滤掉了。
解决办法：先用 pcap_findalldevs 确认网卡列表，选有 description 且是物理网卡的那个；用管理员身份运行程序；把过滤器去掉测试。如果去掉过滤器能抓到，说明是过滤器问题，逐步放宽条件定位。
5.2 协议字段全是乱码
现象：打印出来的 IP 地址是 0.0.0.0 或者奇怪的数字，端口号大得离谱。
原因：忘了做字节序转换。网络字节序是大端，x86 主机是小端，不转换就会读反。
解决办法：所有从包里读出的多字节字段，一律用 ntohs（16 位）或 ntohl（32 位）转换。IP 地址是 4 个字节，可以逐字节打印，也可以用 inet_ntoa 转换。
5.3 程序运行一会儿就崩溃
现象：抓了几百个包之后程序异常退出。
原因：多半是缓冲区越界。比如解析载荷时没检查长度，或者 hex dump 时索引超出实际数据范围。
解决办法：解析每一层之前都检查剩余长度够不够。以太网帧至少 14 字节，IP 头至少 20 字节，TCP 头至少 20 字节。hex dump 的 len 参数要用实际捕获长度，不要用 header->len（那是帧长度，可能大于实际捕获的 caplen）。
5.4 链接报 unresolved external symbol
现象：编译通过，链接时报一堆找不到 pcap_open_live 之类的错误。
原因：库没链接上，或者链接的库位数和编译目标不匹配。
解决办法：确认附加库目录指向正确的 Lib 或 Lib\x64，链接器输入里加了 wpcap.lib。如果编译目标是 x64，就必须用 x64 的库，混用会报错。
5.5 中文乱码
现象：程序输出的中文提示在控制台显示成乱码。
原因：源码文件编码和控制台编码不一致。VS 默认可能是 GBK，而控制台是 UTF-8，或者反过来。
解决办法：统一编码。可以在源码里用 setlocale 设置，或者把源文件保存为带 BOM 的 UTF-8，再在程序开头调用 SetConsoleOutputCP(65001)。
6. 二次开发改造：把这个嗅探器改成你自己的工具
6.1 从控制台输出到文件落盘
教学版程序一般直接 printf 到控制台，但实际用起来，你肯定想把结果存下来。改造思路很简单：把 printf 换成同时写文件和屏幕的函数。
FILE *logfile = fopen("capture.log", "w"); void log_output(const char *fmt, ...) { va_list args; va_start(args, fmt); vprintf(fmt, args); // 输出到控制台 vfprintf(logfile, fmt, args); // 输出到文件 va_end(args); }这样改完之后，所有原来调 printf 的地方换成 log_output，就能同时留一份日志。注意 va_list 用完一次后不能重复使用，所以这里用了两次 va_start 的思路——实际上更稳妥的做法是用 vsnprintf 先格式化到缓冲区，再分别输出。
6.2 增加协议识别与统计
原始程序只解析 IP/TCP/UDP，你可以扩展它识别更多协议。比如在 IP 层判断 protocol 字段：1 是 ICMP，6 是 TCP，17 是 UDP。再往上，TCP 的端口能帮你猜应用层协议：80 是 HTTP，443 是 HTTPS，22 是 SSH。
更进一步，可以加一个统计模块，记录每种协议抓了多少包、总字节数多少，程序退出时打印汇总。这个改造能让你对流量分布有个直观认识，也是网络安全实验里常见的加分项。
6.3 用 pcap_loop 替代手动循环
pcap_next_ex 适合简单场景，但如果想更优雅地处理，可以用 pcap_loop 加回调函数。
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data) { parse_packet(pkt_data, header->caplen); } // 主函数里 pcap_loop(adhandle, 0, packet_handler, NULL);pcap_loop 的第二个参数是捕获数量，0 表示无限循环直到出错。回调函数的三个参数分别是用户参数、包头、包数据。这种写法把捕获和解析解耦，代码更清晰，也方便后续加多线程处理。
6.4 改造时的验证方法
每次改完，别急着上真实网络测。先用一个已知的、可控的场景验证：比如在本机开一个简单的 HTTP 服务，用浏览器访问，看程序能不能正确解析出请求和响应。或者用 ping 命令产生 ICMP 流量，验证 ICMP 解析是否正确。
我一般会准备一个检查清单：网卡枚举是否正常、过滤器是否生效、各层协议字段是否合理、边界情况（空包、超长包）是否处理。每次改动后过一遍这个清单，能避免大部分回归问题。
从那以后我每次改抓包相关的代码，都强制先用回环地址加一个已知服务跑一遍最小验证，确认链路通了再上真实环境。希望这份拆解能帮你把这份实验源码跑起来，也帮你搞明白抓包工具底层到底在做什么。
本文还有配套的精品资源，点击获取
