raw socket 方式能不能截获tcp数据包呢？

kule

“接受到的TCP分组和UDP分组决不会传递给任何原始套接口，如果一个进程希望读取包括TCP或UDP分组的IP数据报，那么他们必须在数据链路层读入”

－－《UNIX网络编程》

可是我看到的某些sniffer源码中是明明是使用原始套接子实现抓包的
如：
sock=socket(AF_INET,SOCK_RAW,IPPROTO_IP);
这又如何解释呢？

ldap

能，看安全版，http://bbs.chinaunix.net/forum/29/20040112/242157.html

ldap

别的系统我不知道，但是linux系统绝对可以。

可能linux提供的原始套接口系统调用并不是标准的posix。

但是如果不提供原始套接口来sniffer，如果不在内核中做，还有什么别的方法吗？？？？比如window系统如何做到？？？谁知道解答一下。

kule

[quote]原帖由 "ldap"]能，看安全版，http://bbs.chinaunix.net/forum/29/20040112/242157.html[/quote 发表：


朋友，你很牛啊，早争到8000了把

谢谢，我仔细看看，有问题可能还要再请教。

kule

有个问题，你的程序是使用了SOCK_PACKET这个linux专用类型来抓取数据链路层的数据报，可是到了windows下就不行了。

应该还有别的办法吧

lenovo

还没看到那呢,没有发言权,不懂.

ldap

我在晚上看到了一篇windows下的，ICMP木马程序，用原始套接口的，
在发送的时候，是自己组合成ICMP报文然后发送出去，应该是由系统把ip报头和以太网报头包装起来并发送到网络上，因为系统知道当前是原始套接口并且使用的是IPPROTO_ICMP（第三个参数）

在接受的时候自然接受到的是icmp包了，但是接受到的是完整的数据包，也就是说包括了ip头和以太网头，

由此可见，原始套接口应该能够接受到ip的数据，正象楼主第一贴说的
socket(AF_INET,SOCK_RAW,IPPROTO_IP); 那样。

至于书上的那局话，我想我们没有理解正确的意思，外国书，中国人翻译，很常见的。

注：没到8000快，差一半呢，极度郁闷中

kule

原帖由 "ldap" 发表：
我在晚上看到了一篇windows下的，ICMP木马程序，用原始套接口的，
在发送的时候，是自己组合成ICMP报文然后发送出去，应该是由系统把ip报头和以太网报头包装起来并发送到网络上，因为系统知道当前是原始套接口并且?.........

http://www.qiker.com/jiaocheng/heibai5/%BA%DA%BF%CD%C8%EB%C3%C5/hacker000010.htm

不知道你说的是不是这篇？我看了，挺守启发的。

ldap

是的。

kule

其实我得最初目的是想实现一个游戏的外挂功能（是不是挺俗的？ 呵呵 主要是最近不太忙，比较有时间）。
思路就是截获网络封包，分析数据，再转发出去。

以前没怎么搞过网络方面的编程，好多东西都是第一次接触，难度比较大，不过收获也不小。

不知道那天突然忙起来是不是还有时间继续搞下去