胡昊南，张治中

(重庆邮电大学通信网与测试技术重点实验室，重庆 400065)

网络嗅探器是利用共享式的网络传输介质，能够捕获和解析来自数据链路层、网络层和传输层等底层网络数据包的工具。随着网络需求和网络规模的日益增大，保持网络的高性能运行难度增大，网络嗅探器能够监测网络的运行状况，快速定位和解决网络故障，保证网络高速有效运行。由于嵌入式设备在网络评估和监测中得到了广泛应用，在嵌入式系统中实现网络数据包的捕获和分析具有重要的意义［1－2］。

本文分析了Winpcap(Windows Packet Capture)库函数的架构和网络数据包的传递流程，研究了NDIS(Network Driver Interface Standard)网络驱动程序与该实现方案的联系，给出了一种基于WinCE嵌入式系统网络嗅探器的设计和实现方案，该方案具有良好的兼容性和适用性，能够满足实际网络监测的要求［3－4］。

1 网络嗅探器基本工作原理

1.1 网卡混杂模式

网卡混杂模式是网卡的一种特殊工作模式，在该工作模式下，网卡不对目的地址进行判断，而直接将收到的所有数据包传递给上层进行处理［5］。必须将网卡置于混杂模式才能实现网络嗅探器。

1.2 NDIS网络驱动程序

NDIS是网络驱动程序接口规范的简称。它横跨数据链路层、网络层和传输层，定义了网卡驱动程序与上层协议驱动程序之间的通信接口规范，屏蔽了底层物理硬件的不同所带来的影响，使上层协议驱动程序可以和底层任何型号的网卡进行通信［6］。NDIS支持三种类型的驱动程序，分别为协议驱动程序、中间驱动程序和微端口驱动程序。……