C# - come annusare i pacchetti in un'app senza fare affidamento su WinPCap?

Question

BACKGROUND: Ora capisco come scrivere un'applicazione C# in grado di monitorare i pacchetti che entrano/escono dalla scheda di rete sul PC su cui è in esecuzione l'applicazione. L'approccio che conosco si basa su http://www.winpcap.org/ già installato sul PC e quindi utilizzo un wrapper C# come http://pcapdotnet.codeplex.com/ o http://sourceforge.net/projects/sharppcap/.

DOMANDA: La mia domanda tuttavia, che cosa dovrei fare per essere in grado di avere un'applicazione C# in grado di fiutare pacchetti che NON richiedono un'applicazione/driver di terze parti da preinstallare?

PRECISAZIONE: Cioè voglio veramente l'applicazione Al momento ho, ma senza alcun requisito per me di dire all'utente di dover andare e scaricare/installare XYZ prima di essere in grado di utilizzare l'applicazione. Ai fini della domanda, supponiamo che non sia consentito neanche automatizzare il download e l'installazione di un'applicazione/driver di terze parti. (Con WinPCap non sono sicuro se si può racchiudere, però credo che non dovresti in ogni caso purtroppo)

grazie

Answer 1

Personalmente avrei attenersi a WinPCap. Ma dal momento che hai chiesto, è possibile annusare i pacchetti dalla rete usando il seguente codice per abilitare i socket grezzi.

Socket s = new Socket(AddressFamily.InterNetwork, SocketType.Raw, ProtocolType.IP); 
s.Bind(new IPEndPoint(IPAddress.Parse("<IP Address Here of NIC to sniff>"), 0)); 
s.SetSocketOption(SocketOptionLevel.IP, SocketOptionName.HeaderIncluded, 1); 
byte[] inBytes = new byte[] { 1, 0, 0, 0 }; 
byte[] outBytes = new byte[] { 0, 0, 0, 0 }; 
s.IOControl(IOControlCode.ReceiveAll, inBytes, outBytes); 

Una volta fatto questo, è possibile utilizzare Socket.Receive o Socket.BeginReceive di leggere i pacchetti IP grezzi.

Answer 2

C'è un modo per acquisire pacchetti in entrata/in uscita su .NET usando solo l'implementazione standard di winsocks. Ho visto un blog con un esempio di come, ma non ho più il collegamento.

Per farla breve, si tratta di un caso limite estremo perché non è quello per cui è stato progettato WinSocks (il driver di rete standard di Windows).

Il motivo per cui Pcap è solitamente necessario per acquisire i pacchetti è che utilizza il proprio driver di rete NDIS che sblocca tutte le funzionalità della scheda NIC. Inoltre, fornisce anche un modo semplice per impostare i filtri per limitare la quantità di pacchetti catturati nell'interfaccia specificata.

IE, il driver ignorerà i pacchetti di un tipo specifico a livello di kernel invece del livello usermode. Pertanto, sarete in grado di filtrare i pacchetti in modo molto più efficiente e catturare con carichi più grandi sulla rete.

In .NET, per filtrare i pacchetti, è necessario fornire il proprio schema di filtraggio dei pacchetti del livello dell'applicazione che sarebbe molto meno efficiente.

Windows blocca l'accesso a protocolli non standard per 'motivi di sicurezza' in modo che in realtà non supportano l'utilizzo di pacchetti RAW per il networking (anche se il codice può esistere per renderlo possibile). I pacchetti RAW sono sempre stati pensati per la ricerca di nuovi protocolli, non per uso generale.

Per tutti questi motivi è di solito una buona idea raccogliere Winpcap e un wrapper per la lingua specifica per implementare qualsiasi tipo di applicazione di acquisizione.

Nota: Personalmente preferisco SharpPcap, ma sono anche prevenuto mentre eseguo lo sviluppo del progetto. Pcap.net è molto simile nella sua implementazione quando si tratta di catturare, si discosta principalmente quando si tratta di come i pacchetti vengono analizzati.