张 昊 杨 静

（1.铜陵学院，安徽 铜陵 244000；2.安徽工业职业技术学院，安徽 铜陵 244000）

1.概述

网络监听[1]是涉及网络安全的一项重大安全隐患。它是利用计算机的网络接口捕获数据包从而入侵计算机的一种工具，换句话说，监听行为就是网络上的“窃听行为”。它一般工作在网络的底层，能够记录网络中传输的全部数据。网络监听给用户带来的主要危害：（1）捕获口令；（2）捕获专用或者机密的信息；（3）偷窥机密敏感信息；（4）获取更高级别的访问权限。

在现代众多对监听行为进行检测的技术中一种是对网卡工作模式进行检测。因为网卡的工作模式决定了该主机是否被监听，如果是混杂莫是说明主机被监听了。通常使用Ping模式进行检测：当网络实行监听的时候，发出监听的主机网卡必定处于混杂模式，这是可以构造一个伪ICMP数据包向网络中的各个主机发送，网卡为混杂模式就会响应。本文研究的是在Windows平台下利用安全开发包Winpcap取代PING模式的方法，这种方法，更加的方便，准确。

2.Windows平台下网络数据包捕获机制

2.1 Windows操作系统的总体架构

Windows操作系统的总体架构分为两个层次[2][3]，即应用层（或称用户态）和核心层（内核态）。应用层是可以被用户直接接触，在这一层中包括了所有的应用程序与动态链接库（DLL），动态链接库是应用程序的一部分，随时被应用程序调用。传输层即TDI，是传输驱动的接口，负责对信息进行检索、分析、分类、重组等工作，TCP协议就在这一层处理数据包。从物理层到传输层……