基于Winpcap的多線程FTP文件還原系統(tǒng)的實(shí)現(xiàn)*

吳志強(qiáng) 馬春波 敖發(fā)良

(桂林電子科技大學(xué)信息與通信學(xué)院 桂林 541004)

1 引言

隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展和網(wǎng)絡(luò)時(shí)代的到來,互聯(lián)網(wǎng)的影響己經(jīng)滲透到人民生活的各個(gè)方面,全社會對網(wǎng)絡(luò)的依賴程度越來越大,整個(gè)世界通過網(wǎng)絡(luò)正在迅速地融為一體。隨著因特網(wǎng)接入技術(shù)的迅速發(fā)展,伴隨著大容量硬盤、大容量磁帶機(jī)等海量存儲設(shè)備的大范圍應(yīng)用,越來越多的個(gè)人選擇利用這些資源開設(shè)FT P服務(wù)。FTP服務(wù)器功能強(qiáng)大,在網(wǎng)絡(luò)中發(fā)揮著重要的作用,因此FTP服務(wù)器的應(yīng)用很廣泛,對FTP服務(wù)器的監(jiān)控有重要的作用。

在通常的網(wǎng)絡(luò)環(huán)境之下,FTP的信息包括口令都是以明文的方式在網(wǎng)上傳輸?shù)?只要將網(wǎng)絡(luò)接口設(shè)置成混雜模式,WinPcap捕獲數(shù)據(jù)包及對數(shù)據(jù)包的過濾,便可以源源不斷地將網(wǎng)上傳輸?shù)男畔⒔孬@,因此進(jìn)行網(wǎng)絡(luò)監(jiān)聽從而獲得FTP信息并不是一件困難的事。FTP文件內(nèi)容信息的還原是本文的重點(diǎn)。本文的工作總結(jié)以下幾點(diǎn):在VC開發(fā)環(huán)境下,開線程實(shí)現(xiàn)了監(jiān)視FTP的信息內(nèi)容及文件的還原,還原文件可以進(jìn)行保存,方便查看、處理和驗(yàn)證。這些技術(shù)可以對FTP服務(wù)器安全防范和保障網(wǎng)絡(luò)安全;另外可以維護(hù)網(wǎng)絡(luò)環(huán)境,監(jiān)聽在網(wǎng)上傳播的不法文件信息,它在協(xié)助網(wǎng)絡(luò)管理員監(jiān)察維護(hù)網(wǎng)絡(luò)環(huán)境安全等方面具有非常重要的作用。

2 網(wǎng)絡(luò)數(shù)據(jù)包捕獲及WinPcap工作原理

2.1 網(wǎng)絡(luò)數(shù)據(jù)包捕獲原理

網(wǎng)卡具有4種工作模式:廣播模式、多播傳送模式、直接模式、混雜模式[4]。網(wǎng)卡的缺省工作模式包含廣播模式和直接模式,即它只接收廣播幀和發(fā)給自己的幀。如果采用混雜模式,網(wǎng)卡將接受同一網(wǎng)絡(luò)內(nèi)所有主機(jī)所發(fā)送的數(shù)據(jù)包,數(shù)據(jù)包捕獲程序就是在這種模式下運(yùn)行的,這樣就可以達(dá)到對所有數(shù)據(jù)包進(jìn)行捕獲的目的。

2.2 WinPcap工作原理

2.2.1 Winpcap組成

WinPcap為數(shù)據(jù)包捕獲提供了Windows下的一個(gè)平臺,它是由伯克利分組捕獲庫派生而來的分組捕獲庫,它是在Win32平臺上來實(shí)現(xiàn)對底層包的捕獲,它的體系結(jié)構(gòu)是由一個(gè)核心的包過濾驅(qū)動程序,一個(gè)底層的動態(tài)連接庫Packet.dll和一個(gè)高層的獨(dú)立于操作系統(tǒng)的庫(Wpcap.dll)組成[6]。

2.2.2 Winpcap捕獲過程

捕獲過程按先后順序具體可分為以下幾個(gè)步驟,即尋找系統(tǒng)中可用的接口列表、打開接口準(zhǔn)備捕捉、編譯和設(shè)置過濾器、讀取捕捉數(shù)據(jù)包、關(guān)閉捕獲套接字下面以一個(gè)具體的事例來說明各函數(shù)是如何使用的,至于所用函數(shù)的原形可查閱相關(guān)的WinPcap資料[7]。實(shí)驗(yàn)室電腦分別用網(wǎng)線與HUB相連。利用WinPcap函數(shù)進(jìn)行如下編程操作,寫一個(gè)捕獲數(shù)據(jù)包過程函數(shù)getpacket()調(diào)用了如下函數(shù):

主要函數(shù)說明:

1)pcap_findalldevs_ex(pcap_src_if_sting,null,&alldevs,errbuf)

能返回遠(yuǎn)程適配器信息和一個(gè)位于所給的本地文件夾的pcap文件列表。

2)pcap_t*pcap_open_live(const char*device,int snaplen,int promisc,intto_ms,char*ebuf)

函數(shù)功能:用于打開device監(jiān)聽設(shè)備,并得到設(shè)備描述符。

參數(shù)說明:device為監(jiān)聽設(shè)備,snaplen為設(shè)定的捕獲數(shù)據(jù)的最大長度,promis為混雜模式,to_ms為設(shè)定的超時(shí)時(shí)間,ebuf用于傳遞錯(cuò)誤信息。

3)int pcap_compile(pcap_*P,struct bpf_Program*fp,char*str,int optimize,bpf_u_int32 netmask)

函數(shù)功能:對過濾字符串進(jìn)行編譯。

參數(shù)說明:p為得到的設(shè)備描述符,fp用于存放編譯結(jié)果,str為過濾字符串,optimize用于設(shè)定是否對編譯后的代碼進(jìn)行優(yōu)化,netmask為本地網(wǎng)絡(luò)的網(wǎng)絡(luò)掩碼。

4)int pcap_setfilter(pcap*p,struct bpf_program*fp)

函數(shù)功能:用于設(shè)置過濾器。

參數(shù)說明:fp存放著經(jīng)pcap_compile()編譯后的代碼。

5)pcap_dumper_t*pcap_dump_open(pcap_t*p,char*fname)

函數(shù)功能:打開用于保存捕獲信息的文件。

參數(shù)說明:p為設(shè)備描述符,fname為要打開的文件名。

6)int pcap_loop(pcap_t*p,int cnt,pcap_handler callback,u_char*user)

函數(shù)功能:捕獲并處理每一個(gè)數(shù)據(jù)包。

參數(shù)說明:cnt用于設(shè)定最多處理的數(shù)據(jù)包數(shù),-1表示處理所有數(shù)據(jù)包;callback為回調(diào)函數(shù),該回調(diào)函數(shù)帶有三個(gè)參數(shù),第一個(gè)參數(shù)為pcap_loop()的第四個(gè)參數(shù)user,第二個(gè)參數(shù)為指向數(shù)據(jù)包頭部的指針pcap_pkthdr*ptrPktHdr,第三個(gè)參數(shù)為指向數(shù)據(jù)包的指針化char*ptrPkt。在本模塊中,使用void pcap_dump(u_char*user,struct pcap_kthdr*h,u_char*sp)作為回調(diào)函數(shù),該函數(shù)用于將捕獲的數(shù)據(jù)包記錄到指定的捕獲文件中。

此函數(shù)還可以使捕包程序性能的調(diào)整,如調(diào)整函數(shù)pcap_open_live()中的讀操作等待時(shí)間值。通常出于效率可將該值設(shè)置的比較大:但當(dāng)對響應(yīng)時(shí)間要求比較高時(shí),應(yīng)將該值改小[8]。對應(yīng)用層數(shù)據(jù)包的抓獲,可對pcap_compile()函數(shù)第三個(gè)參數(shù)設(shè)置過濾條件。

3 監(jiān)控FTP上傳和下載文件及還原文件的分析與設(shè)計(jì)

3.1 系統(tǒng)框架

整個(gè)系統(tǒng)的設(shè)計(jì)分為兩個(gè)部分,一個(gè)FTP監(jiān)聽部分,監(jiān)聽機(jī)運(yùn)行在Windows系統(tǒng)下,目的是截獲網(wǎng)絡(luò)中的F TP文件數(shù)據(jù)包。另一個(gè)是FTP解析和管理部分,主要目的是對截獲的上傳和下載的文件進(jìn)行解析,還原成原來的文件類型和內(nèi)容,并對還原后的文件進(jìn)行閱讀查看、刪除等管理操作,可以運(yùn)行在監(jiān)聽機(jī)上也可以運(yùn)行在其它機(jī)器上。系統(tǒng)的總體框架如圖1所示。

圖1 系統(tǒng)的總體框架

3.2 FTP協(xié)議分析和還原算法及流程圖

FTP是基于TCP/IP的文件傳送協(xié)議,為用戶提供一種在兩個(gè)主機(jī)之間傳送文件的標(biāo)準(zhǔn)方法,典型應(yīng)用是,用戶連接上一個(gè)遠(yuǎn)程計(jì)算機(jī)(計(jì)算機(jī)上運(yùn)行FTP服務(wù)器程序),查看遠(yuǎn)程計(jì)算機(jī)有哪些文件,然后把文件從遠(yuǎn)程計(jì)算機(jī)上傳送到本地計(jì)算機(jī),或把本地計(jì)算機(jī)的文件送到遠(yuǎn)程計(jì)算機(jī)去。下面我們先介紹FTP協(xié)議,然后用面向應(yīng)用層協(xié)議的數(shù)據(jù)分析還原模型,實(shí)現(xiàn)TFP協(xié)議的分析還原。

FTP協(xié)議位于OS1網(wǎng)絡(luò)七層模型的應(yīng)用層,同時(shí)也是TCP/IP協(xié)議族的一部分。FTP協(xié)議的原始設(shè)計(jì)目標(biāo)有4個(gè):1)促進(jìn)文件(包括程序和數(shù)據(jù))的共享;2)鼓勵(lì)間接地或隱式地(通過程序)來使用遠(yuǎn)程計(jì)算機(jī);3)使得不同主機(jī)的不同文件存儲系統(tǒng)對用戶來講是透明的;4)高效可靠地傳輸數(shù)據(jù)[9]。

3.2.1 FTP協(xié)議傳輸文件過程

FTP傳輸有兩種模式,即Port模式和Passive模式。FTP根據(jù)不同的模式,使用不同的TCP端口號。下面以FTP Port模式為例,說明FTP步驟如下:

1)客戶端發(fā)送一個(gè)TCP SNY(TCP同步)包給服務(wù)器段眾所周知的FTP控制端口21,客戶端使用暫時(shí)的端口作為它的源端口;

2)服務(wù)器端發(fā)送SNY AKC(同步確認(rèn))包給客戶端,源端口為21,目的端口

為客戶端上使用的暫時(shí)端口;

3)客戶端發(fā)送一個(gè)ACK(確認(rèn))包:客戶端使用這個(gè)連接來發(fā)送PORT命令,服務(wù)器端使用這個(gè)連接來發(fā)送FTP應(yīng)答;

4)當(dāng)用戶請求一個(gè)列表(List)請求或者發(fā)起一個(gè)要求發(fā)送或者接受文件的請求,客戶端軟件使用PORT命令,這個(gè)命令包含了一個(gè)暫時(shí)的端口,客戶端希望服務(wù)器在打開一個(gè)數(shù)據(jù)連接時(shí)候使用這個(gè)暫時(shí)端口:POTR命令也包含了一個(gè)IP地址,這個(gè)IP地址通常是客戶自己的IP地址,而且TFP也支持第三方(third-party)模式,第三方模式是客戶端告訴服務(wù)器端打開與另臺主機(jī)的連接;

5)服務(wù)器端發(fā)送一個(gè)SNY包給客戶端的暫時(shí)端口,源端口為20,暫時(shí)端口為客戶端在PORT命令中發(fā)送給服務(wù)器端的暫時(shí)端口號;

6)客戶端以源端口為暫時(shí)端口,目的端口為20發(fā)送一個(gè)SNY ACK包:

7)服務(wù)器端發(fā)送一個(gè)AKC包;

8)發(fā)送數(shù)據(jù)的主機(jī)以這個(gè)連接來發(fā)送數(shù)據(jù),數(shù)據(jù)以 TCP段(注:segmnet,第4層的UDP)形式發(fā)送(一些命令,如STOR表示客戶端要發(fā)送數(shù)據(jù),RETR表示服務(wù)器段發(fā)送數(shù)據(jù)),這些TCP段都需要對方進(jìn)行AKC確認(rèn)(注:因?yàn)門CP協(xié)議是一個(gè)面向連接的協(xié)議);

9)當(dāng)數(shù)據(jù)傳輸完成以后,發(fā)送數(shù)據(jù)的主機(jī)以一個(gè)FNI命令來結(jié)束數(shù)據(jù)連接,這個(gè)FIN命令需要另一臺主機(jī)以AKC確認(rèn),另一臺主機(jī)也發(fā)送一個(gè)FIN命令,這個(gè)FNI命令同樣需要發(fā)送數(shù)據(jù)的主機(jī)以ACK確認(rèn);

10)客戶端能在控制連接上發(fā)送更多的命令,這可以打開和關(guān)閉另外的數(shù)據(jù)連接;有時(shí)候客戶端結(jié)束后,客戶端以FIN命令來關(guān)閉一個(gè)控制連接,服務(wù)器端以ACK包來確認(rèn)客戶端的FIN,服務(wù)器同樣也發(fā)送它的FIN,客戶端用ACK來確。

FTP和網(wǎng)絡(luò)應(yīng)用程序的不同的是,它在主機(jī)之間使用了兩個(gè)并行的TCP連接來傳送文件,一條連接用于數(shù)據(jù)傳送,而另一條端口用于傳送控制信息(命令和響應(yīng))。把命令與數(shù)據(jù)的傳送分開使得FTP效率更高。FTP協(xié)議規(guī)定,使用端口21作為控制連接,在會話過程中分配一個(gè)端口作為數(shù)據(jù)連接,在實(shí)際應(yīng)用中,數(shù)據(jù)傳輸端口可以有公式計(jì)算(下面表給以說明)。

客戶端數(shù)據(jù)一般包含以下三個(gè)部分:命令行、用戶名和密碼以及文件數(shù)據(jù)。對客戶端數(shù)據(jù)以行為單位進(jìn)行分析,即可提取出FTP的命令字段。如表1所示。

表1 常用到的一些FTP命令

3.2.2 FTP還原總流程圖及還原算法

從上面的FTP介紹知道,FT P除了具有命令方式外,還會根據(jù)數(shù)據(jù)傳輸情況產(chǎn)生新的數(shù)據(jù)傳輸方式。因此,TFP協(xié)議的應(yīng)用層分析和還原包括兩部分:

1)FTP命令的還原,即將客戶端訪問FTP服務(wù)器的命令及FTP服務(wù)器的響應(yīng)進(jìn)行還原,進(jìn)而實(shí)現(xiàn)FTP操作過程的重組。

2)F TP傳輸內(nèi)容的還原,即將客戶端和服務(wù)器之間傳遞的文件進(jìn)行保存,和還原,進(jìn)而實(shí)現(xiàn)FTP傳輸數(shù)據(jù)的重組。

FTP命令非常簡單,這里我們不再介紹。下面我們介紹如何使用面向應(yīng)用層協(xié)議的數(shù)據(jù)分析還原總流程圖2所示。

下面分析思路:為了提高運(yùn)行速度,防止丟包現(xiàn)象,及還原文件效率,優(yōu)化程序,作者創(chuàng)建三個(gè)線程分別實(shí)現(xiàn)不同的作用,主進(jìn)程是WinPcap抓包,這是主線,整個(gè)系統(tǒng)貫徹這主線的基礎(chǔ)上才有下面的研究,對網(wǎng)絡(luò)層,傳輸層和應(yīng)用層的分析,線程1是協(xié)議分析,網(wǎng)絡(luò)通信有很多協(xié)議,因此協(xié)議分析是關(guān)鍵,針對不同的協(xié)議有不同的分析方法,這是還原文件的前提,同時(shí)也是提高監(jiān)聽速度,線程1不是本文的重點(diǎn),就不詳細(xì)介紹了,本文是對FTP上傳和下載文件的分析并還原,因此當(dāng)有FTP數(shù)據(jù)包時(shí),我們打開線程2,不過這時(shí)是休眠狀態(tài),可能客服端只是對FTP服務(wù)器的一般訪問,沒有具體的操作,即可能沒有什么下載或上傳文件的動機(jī),因此要仔細(xì)觀察和分析整個(gè)F TP交互過程,在FTP服務(wù)器和客戶端的會話過程,如果客戶希望服務(wù)器下載文件或者目錄或者向服務(wù)器上傳一個(gè)文件時(shí),觸發(fā)并打開線程2,這時(shí)作者設(shè)計(jì)了FTP文件還原子流程圖如圖3所示。

圖2 還原FTP上傳和下載文件數(shù)據(jù)總體流程圖

掌握FTP還原流程,就可以實(shí)現(xiàn)還原FTP協(xié)議的傳輸文件,下面分析FTP還原算法描述:

第一步:首先,確定會話開始標(biāo)志

TFP協(xié)議傳輸內(nèi)容的會話開始標(biāo)志出現(xiàn)在PORT命令中。這個(gè)命令包含了一個(gè)暫時(shí)的端口,客戶端希望服務(wù)器在打開一個(gè)數(shù)據(jù)連接時(shí)候使用這個(gè)暫時(shí)端口。

設(shè)置會話開始標(biāo)志為POTR。

第二步:確定會話結(jié)束標(biāo)志

FTP協(xié)議在會話結(jié)束時(shí)通常沒有專用的標(biāo)志(部分特殊應(yīng)用除外),因此,可以使用TCP的斷開連接標(biāo)志位來作為FTP會話結(jié)束標(biāo)志.例如,使用數(shù)據(jù)包的TCP RST標(biāo)志和TCP FIN標(biāo)志。

第三步:還原步驟

下面是應(yīng)用層數(shù)據(jù)重組的策略也是文件還原系統(tǒng)的核心:

1)根據(jù)PORT命令的參數(shù),提取臨時(shí)端口,然后與控制端口21結(jié)合來分析服務(wù)器與客服端之間的交互過程;

2)對數(shù)據(jù)包數(shù)據(jù)進(jìn)行匹配,當(dāng)匹配的字符串是STOR時(shí),說明客服端要向FTP服務(wù)器上傳資料,這時(shí)打開線程進(jìn)行監(jiān)聽,捕獲上傳文件,跳至3);當(dāng)匹配的字符串是RET R時(shí),說明客服端要向FTP服務(wù)器下載資料,這時(shí)打開線程進(jìn)行監(jiān)聽,捕獲下載文件,跳至1);其他命令時(shí),跳至10);

圖3 FTP還原子流程圖

3)如果是第一個(gè)數(shù)據(jù)包,獲取響應(yīng)包附帶的參數(shù),初始化流狀態(tài)的部分狀態(tài)值,獲得當(dāng)前序列碼為sequence和數(shù)據(jù)偏移量data_len,下一個(gè)包的序列碼為next_seq_num。其大小為:next_seq_num=sequence+data_len;是為了在多文件上傳時(shí)確保不會導(dǎo)致接收數(shù)據(jù)混亂,并采取一邊獲取數(shù)據(jù)包一邊寫入文件的形式還原重組文件,此時(shí)跳至8);

4)當(dāng)實(shí)驗(yàn)環(huán)境是在Internet Explorer下載文件時(shí),跳至5);當(dāng)實(shí)驗(yàn)環(huán)境是在Windows資源管理器界面下載文件時(shí),跳至6);

5)當(dāng)下載方式是Windows系統(tǒng)自帶的下載方式即“另存為”,則調(diào)用函數(shù)f1處理數(shù)據(jù)包,這里主要是對下載目錄技巧問題的處理,則跳至7);

6)下載方式是把文件用復(fù)制方式保存在客服端目標(biāo)主機(jī)上,調(diào)用函數(shù)f2分析數(shù)據(jù)包,并還原文件內(nèi)容,跳至7);

7)開始獲得下載文件數(shù)據(jù)包的當(dāng)前序列碼即為sequence和數(shù)據(jù)偏移量data-len,并設(shè)下一個(gè)包的序列碼為 next_seq_num。其值為:next_seq_num=sequence+data_len,當(dāng)下一個(gè)數(shù)據(jù)包的序列碼等于next_seq_num時(shí),則為該文件的數(shù)據(jù),不等則丟棄,這樣的目的是為了在多文件上傳時(shí)確保不會導(dǎo)致接收文件數(shù)據(jù)時(shí)混亂;

8)根據(jù)數(shù)據(jù)包的長度和數(shù)據(jù)偏移,將包的應(yīng)用層數(shù)據(jù)部分保存到文件中。用面向應(yīng)用層協(xié)議的數(shù)據(jù)分析還原模型,然后在會話標(biāo)志集中設(shè)置好的標(biāo)志、策略,即可實(shí)現(xiàn)PTP協(xié)議的還原重組;

9)當(dāng)發(fā)送數(shù)據(jù)的主機(jī)以一個(gè)FNI命令來結(jié)束數(shù)據(jù)連接,這個(gè)FNI命令需要另一臺主機(jī)以AKC確認(rèn),表明數(shù)據(jù)傳輸結(jié)束則跳至10);否則跳至7);

10)關(guān)閉文件,關(guān)閉線程,結(jié)束則停止FTP還原子程序。

從還原算法可以得出,要獲取有用的數(shù)據(jù)需要對數(shù)據(jù)包進(jìn)行解碼。從鏈路層協(xié)議開始進(jìn)行解碼分析,一直到應(yīng)用層的協(xié)議,重點(diǎn)是應(yīng)用層對應(yīng)用層數(shù)據(jù)的還原,在分析過程中,可以知道下載方式的不同,客戶端和服務(wù)器交互過程是不同的,響應(yīng)的關(guān)鍵字也有所不同,但傳輸數(shù)據(jù)原理是相同的,這里針對不同的情況進(jìn)行分析,還原出原文件。文件是以原文件的格式保存,保存在硬盤上方便查看和驗(yàn)證。

4 結(jié)語

面向應(yīng)用層協(xié)議的數(shù)據(jù)分析還原算法建立在基于Winpcap基礎(chǔ)之上,因此,其保留了基于Winpcap的抓包的特點(diǎn),同時(shí)克服了部分不足。主要體現(xiàn)在以下兩點(diǎn):

1)進(jìn)一步提高了分析的速度,同時(shí)大大提高分析的準(zhǔn)確性。基于應(yīng)用層字符串的協(xié)議分析主要用在基于會話的網(wǎng)絡(luò)協(xié)議的分析上。比如,假設(shè)一次會話有100個(gè)報(bào)文通訊,而真正產(chǎn)生應(yīng)用層數(shù)據(jù)的數(shù)據(jù)包在第5到第90個(gè)之間,則我們只關(guān)心這個(gè)會話的第5到第90個(gè)報(bào)文,只有這些報(bào)文才存在著有用信息,而對于這次會話的其他報(bào)文我們就沒有必要去分析和處理。這就使得我們分析的報(bào)文數(shù)量下降了。

2)節(jié)約了協(xié)議分析時(shí)間。實(shí)踐證明,使用本模型分析應(yīng)用層協(xié)議,可以大大提高效率。在該監(jiān)聽系統(tǒng),作者開了三個(gè)線程,有針對性的處理不同的問題,特意有一個(gè)線程是用來分析協(xié)議的。

該系統(tǒng)在局域網(wǎng)內(nèi)能正常運(yùn)行,性能良好,當(dāng)然,系統(tǒng)還有一些方面的改進(jìn)和優(yōu)化,以便擴(kuò)充與增強(qiáng)系統(tǒng)的性能。

[1]李亞恒,唐毅.網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)[J].計(jì)算機(jī)工程,2001,27(4):127～129

[2]Gerhard Steinke.Data privacy approaches from US and EU perspectives[J].Telematics and Infoematics,2002(19):193～200

[3]譚國亮.監(jiān)聽與隱藏[M].北京:人民郵電出版社,2002

[4]秦根建,張秉權(quán).網(wǎng)絡(luò)數(shù)據(jù)包截獲機(jī)制研究[J].兵工自動化,2003,22(6):2～3

[5]Behrouz A Forouzan,Sophia Chung Fegan.TCP/IP協(xié)議族[M].謝希仁,譯.北京:清華大學(xué)出版社,2006:24～29

[6]張偉,王韜,潘艷輝,等.基于WinPcap的數(shù)據(jù)包捕獲及應(yīng)用[J].計(jì)算機(jī)工程與設(shè)計(jì),2008,29(7):1649～1651

[7]循序漸進(jìn)學(xué)習(xí)使用WinPcap.中國協(xié)議分析網(wǎng)[EB/OL].http://www.cnpaf.net/,2005

[8]李雪瑩,劉寶旭,許榕生.基于WinPcap的網(wǎng)絡(luò)監(jiān)控系統(tǒng)性能優(yōu)化[J].計(jì)算機(jī)工程,2004,30(1):8～9

[9]羅軍舟,波濤.TCP/PI協(xié)議及網(wǎng)絡(luò)編程技術(shù)[M].北京:清華大學(xué)出版社:111～114