浅谈在Linux系统中以太网数据帧的监昕与分析

　　摘要:以大网数据传输通过广播实现，在同-I吗段的所有的卡事实上都可以访问在共享的物理介质上传输的所有数据但在系统正常工作时电一个合法的网络接口应只响应两种数据帧一是帧的目标MAC地址与本地MAC地址相符;二是'1负的目标地址是广播地址若要监听所有流经网卡的数据帧，当用于监听的主和L连接在共享型以太间集线器上时，采用"混杂"模式可以监听到同一冲突域上传输的数据帧:但当监听的主机连接在交换机上时.可以利用交换机的揣口统像(Port Mi町oring)功能实现监听

　　关键词.数据帧;MAC丁地址;混杂"模式:揣口佼像

　　1引言

　　叮今网给技术的飞速发展.网络安全问题撞发1'1，!，~_ IE坦白网络'II，吟ft!息迸f J传播的时候，可以利川J I具，将网络中正在传播的信息截获或者捕获于I]，从1M i圭行攻I七日前绝大多数网纳都是采用~~A:同结构，尔文通过具体分析以大|叫小数据的传输与接收原理来市大家理解网络的安全性问题

　　2监昕的实施

　　以大网数据传输通过f播实圳， tf问 l叫段的liji{J网1、')1'兰、|占IIJlf['J.iJjI'll]在共字的物理介质I传输的所{J主义据f且在系统正常I作Ilt，--个合法的网络接IJr，v:只晌j，;i I均种数据帧· iit制l的LJ卡'J; MAC地址lj木地明气仁地划相衍;一是帧的目标地址是广播地址噜除此之外数据帧将被丢弃不作处理~监昕ifLff川仁的不同fJ'iL'.主忧的数据，笔耕文化推荐期刊，必须绕过系统IE常J'作的处理机制，直接访问

　　网络底层 a

　　{t一个实际的系统叶I数据的收发是It I闷在未完成的.闷卡拔收到传输来的数据，1叫卡内的E'(l.片程序接4ll数据帧的目的MAι 地址.根据计算机I'.的网卡驱动程序设置的战收愤式判断该不i交接收.认为i亥楼收就战收盯产生巾断信号通知CPU，认为不i亥接收就丢掉不管.所以不i亥接收的数据网卡就战断了.计算机拟本就不知迫 CPU得到小断信LJ产生巾断，操作系统就根据网卡的驱动科If设置的|叶卡巾断程序地址洲Hi !ll< lJJ f'，l I于战收数据. !11~ ih f'l' I忖主q让数据I，~-放入信号堆棱il操作系统处理丽对于网卡来说一般有四种接收懊式:

　　广播中莫式: i炙愤式F的网k能够拔收|吗绍'I' (I\JJ' 1:品f，'j忠、组播模式:设置{I: i亥模式F的网卡能够战收到J函数据

　　直接模式:在这种倾式下.只有fI的网长斗能战收i去数据itf.;)号帧式:在这种侦式下的问仁能够战4ll . l/J@过它的数据，1(11七位二战数据是严?是传给它的

　　吁用于11昕的i工机连撞在j仁宇咛!以k网fu纹~~ I H.J，来If!" j~f.朵"侦式可以监i听到l，iJ- -III'突域|一传输的数据帧;但吁监听的主机连战{I交换机1.1l、t，由F交挽机通常不会将数据帧j'桥1、IJI可「千f端川1(1徐II二在交快机的MAC1-也址端U映射去l付找不到相应的表项)，闪WI不能利用以太l叫绵的j' tl特性进行l~lll，斤一这IIJ，Il]以利用交换机的11最IJ饶像(Port Mirroring)功能实现监l听，端门镜像可以il用户斗守所有的流挝从一个特定的端II复11Jij主IJ-个饶(象端Ll例如I:

　　飞端iLIA和瑞:一仁] B之rllj建古镜像关系.jytff端门扎的所有{言忠、流将liiJ时通过端j IJ B输:-H电从而口J以在瑞II B:iiill厅主IJ;甘，jU气的数以

　　3以太网数据帧格式4在Linux系统中编程实现的要点

　　推荐阅读：《计算机科学》

　　4.1设置套接口以捕获链路帧

　　在LimlX系统Ij'编刀网络lKi II厅程序.比较简单的力u~· JJ二(IJij级Ifjj"愤式卡.平IjlH类明为SOCK P气CKET的套撞II (s时kt'l的数)来捕获链路中。1为此.市t: ijIJHr:列文f'i::

　　domain参数:去/J~所使用的协议簇:

　　1、PI'参数:去/J\套J在川的类刑;

　　proto川l参数:去以所使HJ的协议簇It'某个村屯的I;hi史

　　如果的数惦l川I)比r}J.套接门的描述衍(H一负?在数)就11沟的数的返1"1 Ott，仰自II i豆Inll1C"J -I.就表明有错误发叶飞

　　LimlX C扩展(j'('t在rIm数.增ill门'创)(]\. PACKET类:刑.他之"I以片lfl!;[11斤链路层的数据。rrJi，进而得以分析各层的协议数据 单元使川阴阳，ket的数捕获链路层数据帧.domain参数I，:r:-t吕定为AI-' INET协议簇.表尽采用internet协议簇;type参数指定为SOCK]ACKET. t乏不if~JIll链跻层数据.不何处用; 1(lj pmtncol参数禾ilj htons (Ox0003).表不使用的特定协议是截取所有类驯的数据 帧二这里htons的数川于句号在数的于jY顺序转拟 il饲机敬如{{fin {11JJ.j1'/'宇'I) I尤'尤lI[ij[ If.:高校字节优先和f床位宁11'1优先Internet L数据以高价'齐'ti优先lIirill卡在网络|传输.所以~，t HI一内部是l'J(仄(117口优先力式存储数据的机器.在Internet t传输数据时就需要进行转换，[Ii则就会tH现!数据不到(下面是IL个宁rJ顺序转掀E的敦:

　　htonl():把32拉伯从仨机'r: WI于转换成网络'j-: 'I'i I卡; htons():把16位值从L机'{: 'r'j序转换成|柑l绢'j-: 'I丁吁:

　　ntohl():把32(J.ft{从网络字节!于转根IN:十二矶'f: 'I'ilf; ntohs():把16f.'l伯从网络字节厅，转损Ill(:主机'F'rJ Ii' 阶l听H，t socket的数i闲时形式为:

　　int fd;

　　fd=恼。('ket(气F I到ET. SOCK P气CKE'[\ht，川、(Ox003) );

　　安设置问卡Iii T勺Ii朵"模式. N! ilj i川、tl的数.I~\气'J([II卡:

　　lilt I仰tl(int d. int rp<jllest.…..)