23、网络数据包捕获工具安装指南

网络数据包捕获工具安装指南

1. 数据包捕获驱动概述

当计算机接入网络时，网卡负责接收和传输数据到其他主机。网络应用程序通过套接字等方法建立和维护连接，底层操作系统处理底层细节并提供通信协议栈。然而，有些程序需要直接访问原始网络数据，不受协议栈干扰，数据包捕获驱动就能满足这一需求，它可以捕获原始网络数据包，还能捕获共享网络架构上的所有数据，无论预期接收者是谁，这使得像Wireshark这样的程序可以被动监控网络流量。

1.1 常见的数据包捕获驱动

有两个非常著名且广泛使用的数据包捕获驱动：libpcap及其Windows版本WinPcap。
- libpcap ：是一个免费的开源数据包捕获库，最初由加利福尼亚的劳伦斯伯克利国家实验室开发，现在由www.tcpdump.org上的多位作者维护。它不仅能捕获数据，还能根据用户指定的条件过滤数据，再将其传递给应用程序。
- WinPcap ：由www.winpcap.org上的一组开发者维护，它使用了libpcap的部分代码以及一些新添加的代码。

许多程序都使用libpcap和WinPcap库，如TCPDump、WinDump、Snort、Ettercap、Dsniff、Nmap、tcpflow和TCPstat等。使用libpcap的程序通常是网络监控器、协议分析器、流量记录器、网络入侵检测系统和其他各种安全工具。

1.2 TCPDump和Windump

TCPDump是另一种协议分析器，类似于Wireshark，可用于监控网络流量。它是一个运行在Unix系统上的命令行应用程