原始套接字--简介

整理网上资源（若有侵权请私信）及自己的笔记

通常情况下程序员接所接触到的套接字(Socket)为两类：

(1)流式套接字(SOCK_STREAM)：一种面向连接的Socket，针对于面向连接的TCP 服务应用;

(2)数据报式套接字(SOCK_DGRAM)：一种无连接的Socket，对应于无连接的UDP 服务应用。

从用户的角度来看，SOCK_STREAM、SOCK_DGRAM 这两类套接字似乎的确涵盖了TCP/IP 应用的全部，因为基于TCP/IP 的应用，从协议栈的层次上讲，在传输层的确只可能建立于TCP 或 UDP协议之上，而SOCK_STREAM、SOCK_DGRAM 又分别对应于TCP和UDP，所以几乎所有的应用都可以用这两类套接字实现。 

但是，当我们面对如下问题时，SOCK_STREAM、SOCK_DGRAM 将显得这样无助：

(1)怎样发送一个自定义的IP 包?

(2)怎样发送一个ICMP 协议包?

(3)怎样分析所有经过网络的包，而不管这样包是否是发给自己的?

(4)怎样伪装本地的IP 地址?

这使得我们必须面对另外一个深刻的主题——原始套接字(SOCK_RAW)。原始套接字广泛应用于高级网络编程，也是一种广泛的黑客手段。著名的网络sniffer(一种基于被动侦听原理的网络分析方式)、拒绝服务攻击(DOS)、IP 欺骗等都可以通过原始套接字实现。

原始套接字(SOCK_RAW)可以用来自行组装数据包，可以接收本机网卡上所有的数据帧(数据包)，对于监听网络流量和分析网络数据很有作用。

原始套接字是基于IP 数据包的编程(SOCK_PACKET 是基于数据链路层的编程)。另外，必须在管理员权限下才能使用原始套接字。

原始套接字(SOCK_RAW)与标准套接字(SOCK_STREAM、SOCK_DGRAM)的区别在于原始套接字直接置“根”于操作系统网络核心(Network Core)，而 SOCK_STREAM、SOCK_DGRAM 则“悬浮”于 TCP 和 UDP 协议的外围。 

流式套接字只能收发 TCP 协议的数据，数据报套接字只能收发 UDP 协议的数据，原始套接字可以收发内核没有处理的数据包。

原始套接字的创建：
int socket ( int family, int type, int protocol );
参数：
family：协议族 这里写 PF_PACKET
type： 套接字类，这里写 SOCK_RAW
protocol：协议类别，指定可以接收或发送的数据包类型，不能写 “0”，取值如下，注意，传参时需要用 htons() 进行字节序转换。
ETH_P_IP：IPV4数据包
ETH_P_ARP：ARP数据包
ETH_P_ALL：任何协议类型的数据包
返回值：
成功( >0 )：套接字，这里为链路层的套接字
失败( <0 )：出错

混杂模式

　　默认的情况下，我们接收数据，目的地址是本地地址，才会接收。有时候我们想接收所有经过网卡的所有数据流，而不论其目的地址是否是它，这时候我们需要设置网卡为混杂模式。网卡的混杂模式一般在网络管理员分析网络数据作为网络故障诊断手段时用到，同时这个模式也被网络黑客利用来作为网络数据窃听的入口。在 Linux 操作系统中设置网卡混杂模式时需要管理员权限。在 Windows 操作系统和 Linux 操作系统中都有使用混杂模式的抓包工具，比如著名的开源软件 Wireshark。通过命令给 Linux 网卡设置混杂模式(需要管理员权限)

混杂模式

ifconfig eth0 promisc

ifconfig eth0 -promisc（关闭）

 

 

 

常用的数据结构如下
1.物理地址结构位于netpacket/packet.h
struct sockaddr_ll
{
    unsigned short int sll_family;
    unsigned short int sll_protocol;
    int sll_ifindex;
    unsigned short int sll_hatype;
    unsigned char sll_pkttype;
    unsigned char sll_halen;
    unsigned char sll_addr[8];
};
sll_ifindex是网络(网卡)接口索引，代表从这个接口收发数据包

2.网络(网卡)接口数据结构位于net/if.h
struct ifreq
{
# define IFHWADDRLEN    6
# define IFNAMSIZ    IF_NAMESIZE
    union
      {
   　　　　 char ifrn_name[IFNAMSIZ];    /* Interface name, e.g. "en0".  */
      } ifr_ifrn;

    union
      {
    struct sockaddr ifru_addr;
    struct sockaddr ifru_dstaddr;
    struct sockaddr ifru_broadaddr;
    struct sockaddr ifru_netmask;
    struct sockaddr ifru_hwaddr;
    short int ifru_flags;
    int ifru_ivalue;
    int ifru_mtu;
    struct ifmap ifru_map;
    char ifru_slave[IFNAMSIZ];    /* Just fits the size */
    char ifru_newname[IFNAMSIZ];
    __caddr_t ifru_data;
      } ifr_ifru;
};
该结构里面包含2个union，第一个是接口名，如：eth0，wlan0等。可以通过ioctl()函数来获取对应的接口信息，ip地址，mac地址，接口索引等。

3.以太网首部结构位于net/ethernet.h
struct ether_header
{
  u_int8_t  ether_dhost[ETH_ALEN];    /* destination eth addr    */
  u_int8_t  ether_shost[ETH_ALEN];    /* source ether addr    */
  u_int16_t ether_type;                /* packet type ID field    */
} __attribute__ ((__packed__));
ether_type帧类型：常见的有IP，ARP，RARP，都有对应的宏定义

4.arp包结构位于netinet/if_ether.h
struct    ether_arp {
    struct    arphdr ea_hdr;        /* fixed-size header */
    u_int8_t arp_sha[ETH_ALEN];    /* sender hardware address */
    u_int8_t arp_spa[4];        /* sender protocol address */
    u_int8_t arp_tha[ETH_ALEN];    /* target hardware address */
    u_int8_t arp_tpa[4];        /* target protocol address */
};
#define    arp_hrd    ea_hdr.ar_hrd
#define    arp_pro    ea_hdr.ar_pro
#define    arp_hln    ea_hdr.ar_hln
#define    arp_pln    ea_hdr.ar_pln
#define    arp_op    ea_hdr.ar_op

上面的ether_arp结构还包含一个arp首部，位于net/if_arp.h
struct arphdr
{
    unsigned short int ar_hrd;        /* Format of hardware address.  */
    unsigned short int ar_pro;        /* Format of protocol address.  */
    unsigned char ar_hln;        /* Length of hardware address.  */
    unsigned char ar_pln;        /* Length of protocol address.  */
    unsigned short int ar_op;        /* ARP opcode (command).  */
}