用C#下的Raw Socket编程实现网络封包监视(如何具体实现，请高手指点!)
用C#下的Raw   Socket编程实现网络封包监视

谈起socket编程，大家也许会想起QQ和IE，没错。还有许多网络工具如P2P、NetMeeting等在应用层实现

的应用程序，也是用socket来实现的。Socket是一个网络编程接口，实现于网络应用层，Windows   Socket

包括了一套系统组件，充分利用了Microsoft   Windows   消息驱动的特点。Socket规范1.1版是在1993年1月

发行的，并广泛用于此后出现的Windows9x操作系统中。Socket规范2.2版（其在Windows平台上的版本是

Winsock2.2，也叫Winsock2）在   1996   年   5   月发行，Windows   NT   5.0及以后版本的Windows系统支持

Winsock2，在Winsock2中，支持多个传输协议的原始套接字，重叠I/O模型、服务质量控制等。

本文向大家介绍Windows   Sockets的一些关于用C#实现的原始套接字(Raw   Socket)的编程，以及在此基础

上实现的网络封包监视技术。同Winsock1相比，Winsock2最明显的就是支持了Raw   Socket套接字类型，使

用Raw   Socket，可把网卡设置成混杂模式，在这种模式下，我们可以收到网络上的IP包，当然包括目的不

是本机的IP包，通过原始套接字，我们也可以更加自如地控制Windows下的多种协议，而且能够对网络底

层的传输机制进行控制。

在本文例子中，我在nbyte.BasicClass命名空间实现了RawSocket类，它包含了我们实现数据包监视的核

心技术。在实现这个类之前，需要先写一个IP头结构，来暂时存放一些有关网络封包的信息：


[StructLayout(LayoutKind.Explicit)]
  public   struct   IPHeader
  {
    [FieldOffset(0)]   public   byte         ip_verlen;                 //I4位首部长度+4位IP版本号
    [FieldOffset(1)]   public   byte         ip_tos;                         //8位服务类型TOS
    [FieldOffset(2)]   public   ushort     ip_totallength;   //16位数据包总长度（字节）
    [FieldOffset(4)]   public   ushort     ip_id;                           //16位标识
    [FieldOffset(6)]   public   ushort     ip_offset;               //3位标志位
    [FieldOffset(8)]   public   byte         ip_ttl;                         //8位生存时间   TTL
    [FieldOffset(9)]   public   byte         ip_protocol;         //8位协议(TCP,   UDP,   ICMP,   Etc.)
    [FieldOffset(10)]   public   ushort   ip_checksum;   //16位IP首部校验和
    [FieldOffset(12)]   public   uint       ip_srcaddr;           //32位源IP地址
    [FieldOffset(16)]   public   uint       ip_destaddr;       //32位目的IP地址
  }

这样，当每一个封包到达时候，可以用强制类型转化把包中的数据流转化为一个个IPHeader对象。
下面就开始写RawSocket类了，一开始，先定义几个参数，包括：
    private   bool   error_occurred;                     //套接字在接收包时是否产生错误
    public   bool   KeepRunning;                             //是否继续进行
    private   static   int   len_receive_buf;   //得到的数据流的长度
    byte   []   receive_buf_bytes;                     //收到的字节
    private   Socket   socket   =   null;               //声明套接字
还有一个常量：
const   int   SIO_RCVALL   =   unchecked((int)0x98000001);//监听所有的数据包

这里的SIO_RCVALL是指示RawSocket接收所有的数据包，在以后的IOContrl函数中要用，在下面的构造函

数中，实现了对一些变量参数的初始化：

    public