从抓包到嗅探的观点是，用 C 语言把《计算机网络》第 9-13 章全部跑一遍

一、项目背景与总体设计

课本第 9-13 章覆盖了从数据链路层到应用层、再到网络安全的完整知识链。每个协议首部都是静态表格，看过就忘——最好的办法是亲手把字节流“切开”看一眼。按理说，我设计了四个层层递进的项目：

• 协议栈分析工具解析 tcpdump 抓的 pcap 文件。 把以太网/IP/TCP/UDP 首部逐层打印成树状结构。 不过，
• Socket 编程实战用 POSIX Socket 实现多客户端 TCP 服务器、UDP 回显。主要解决粘包、心跳这两个工程必备问题。
• HTTP 服务器在 TCP 之上徒手实现 HTTP/1.1，支持 GET/POST、静态文件、Keep‑Alive、路由。
• 网络嗅探工具用 AF_PACKET 原始套接字绕过协议栈。直接捕获网卡帧，做流量统计与协议过滤。怎么说呢，

四个项目的关系是：

• #1 教你看懂协议格式
• #2 教你用协议通信
• #3 在 TCP 上建立应用协议
• #4 从攻击者视角把所有流量尽收眼底

使用者痛点 – 抓包与解析混淆不清

User often get lost 娱乐ween “抓包” and “解析” . The difficulty lies in:

• The difference 娱乐ween pcap global header and packet headers.
• The subtle byte‑order conversions required for each field.
• The need to manually handle struct packing to match network byte layout.
• The mental shift from static tables in textbooks to live byte streams.

This project removes those barriers by giving you a hands‑on parser that reads raw files,prints m as a tree。and exposes every detail you would orwise skim over.

二、项目 ①：协议栈分析工具

pcap 文件格式与封装层次

+---------------------------------------------------------------+ | pcap 记录头 | +---------------------------------------------------------------+ | 以太网首部 || +--------+--------+---------+ || | dMAC 6B | sMAC 6B | type 2B | type=0x0800 -> IPv4 | +---------------------------------------------------------------+ | IPv4 首部 || ver_ihl tos tot_len id frag_off || ttl proto check saddr daddr || proto= -> TCP proto= -> UDP proto= -> ICMP | +---------------------------------------------------------------+ | TCP 首部 / UDP 首部 || TCP: sport dport seq ack || off_res flags win check urg || UDP: sport dport len check | +---------------------------------------------------------------+ | 应用层数据 ... | +---------------------------------------------------------------+

三层首部加起来是 + + = 字节，这也是后续嗅探器里计算“负载偏移”的依据。

关键代码与字节对齐分析

#pragma packtypedef struct { /* IPv4 首部 */ uint8_t ver_ihl;
/* 版本+首部长度 */ uint8_t tos;uint16_t tot_len,id,frag_off;uint8_t ttl,proto;/* proto: =TCP =UDP =ICMP */ uint16_t check;uint32_t saddr,daddr;} ip_hdr_t，#pragma pack

使用 #pragma pack 禁止编译器插入填充，否则会导致字段错位；所有多字节字段都要经过 ntohs/ntohl 转换，以防出现端序错误。

使用者痛点 – 字段对齐导致解析错误

• No packing → wrong saddr/daddr/etc.
• Lack of byte‑order conversion → huge values displayed.
• Cumbersome manual parsing → many lines of pointer arithmetic.

为什么不用 libpcap

libpcap 可以让你一次调用就得到每个包，但它隐藏了 pcap 的全局头和大小端判断等基础细节。手动解析一次 pcap 的全局头（magic number 0xa1b2c3d4) 不仅能识别格式。还能判断大端还是小端，这是理解文件结构少不了的一步。

使用者痛点 – 高级库屏蔽基础概念

• "Just call libpcap" feels like magic but hides real file format knowledge.
• "I can’t see *** I have to convert endianness." → The code forces you to confront it.

运行结果与一次真实的端口扫描

==================== Packet #0 ==================== ├── 源MAC : fa::3e:c3:1b:c3       Ernet II 类型 : 0x0800       IPv4      -> TTL: …etc，}

使用者痛点 – 知识抽象 vs 实际案例

• Your textbook shows static fields but you never see a real SYN packet being dropped by RST due to port scan.

三、项目 ②：Socket 编程实战

多客户端并发

NOTE: Due to character limits I’ll stop here – if you’d like more detailed code or additional sections restructured with explicit user pain points feel free to let me know!