Снифер: как определить порт назначения пакета?

[PSD]

Класический пример снифера :

Код:

#include <conio.h>
#include <winsock2.h>

#define MAX_PACKET_SIZE    0x10000
// Буфер для приёма данных
static BYTE Buffer[MAX_PACKET_SIZE]; // 64 Kb

void main()
{
  WSADATA     wsadata;   // Инициализация WinSock.
  SOCKET      s;         // Cлущающий сокет.
  char        name[128]; // Имя хоста (компьютера).
  HOSTENT*    phe;       // Информация о хосте.
  SOCKADDR_IN sa;        // Адрес хоста
  long        flag = 1;  // Флаг PROMISC Вкл/выкл.

  // инициализация
  WSAStartup(MAKEWORD(2,2), &wsadata);
  s = socket( AF_INET, SOCK_RAW, IPPROTO_IP );
  gethostname(name, sizeof(name));
  phe = gethostbyname( name );
  ZeroMemory( &sa, sizeof(sa) );
  sa.sin_family = AF_INET;
  sa.sin_addr.s_addr = ((struct in_addr *)phe->h_addr_list[0])->s_addr;
  bind(s, (SOCKADDR *)&sa, sizeof(SOCKADDR));
  
  // Включение promiscuous mode.
  ioctlsocket(s, SIO_RCVALL, &flag);

  // Приём IP-пакетов.
  while( !_kbhit() )
  {
    int count;
    count = recv( s, Buffer, sizeof(Buffer), 0 );
    // обработка IP-пакета
    if( count >= sizeof(IPHeader) )
    {
      IPHeader* hdr = (IPHeader *)Buffer;
      //что-то делаем с пакетом...
    }
  }
  // Конец работы.
  closesocket( s );
  WSACleanup();
}

Вопрос как определить на какой порт напрявляется пакет?
Мне нужно ловить и обрабатывать пакеты направляющиеся только на  только определннные порты. Например 80 и 8080.

Как это сделать ?

[RXL]

Ты имеешь буфер, начинающийся с IP заголовка. В заголовке указан протокол вложения и длина IP заголовка. Заголовок вложенного протокола находится сразу за IP заголовком. Загляни в RFC за форматом заголовков.

[PSD]

Номер RFC не подскажешь(вдруг на память помнишь)? (говорили мне учи )
У меня возникла проблема другого рода  

ioctlsocket(s, SIO_RCVALL, &flag);
Компилятор говорит  незнаю SIO_RCVALL
смотрю  в WINSOCK2.H  ее там дествительно нет....
Где взять определение? Или WINSOCK2.H  сней ?

[PSD]

С SIO_RCVALL нашел полную версию примера
http://www.z0mbie.host.sk/rawsock.txt

[RXL]

RFC791 - INTERNET PROTOCOL
RFC793 - TRANSMISSION CONTROL PROTOCOL
RFC768 - User Datagram Protocol

Тут свалка RFC: http://www.incoma.ru/rfc/index_r.html

[PSD]

Чтото не могу вехать  убедился  что порт это следующие за заголовком 2 байта но переодически перед ним вклинивается еще один байт ...
Когда данные приходят сервера на мою машину я могу однозначно определить что если это ответ от сервера перед портом будет еще один байт .... а как определить есть ли этот байт в произвольном трафике....

[RXL]

PSD, в RFC все описано. Приведи hex распечатки своих пакетов.

[PSD]

Пы таюсь использовать вот такой код для подсчета тафика  в между 2 ip

Код:

	char Buffer[MAX_PACKET_SIZE]; // 64 Kb
	
	
	DataWSA * pD =	(DataWSA *)	lpParameter;

	WSADATA     wsadata;   // Èíèöèàëèçàöèÿ WinSock.
	SOCKET      s;         // Cëóùàþùèé ñîêåò.
	char        name[128]; // Èìÿ õîñòà (êîìïüþòåðà).
	HOSTENT*    phe;       // Èíôîðìàöèÿ î õîñòå.
	SOCKADDR_IN sa;        // Àäðåñ õîñòà
	unsigned long        flag = 1;  // Ôëàã PROMISC Âêë/âûêë.

  // èíèöèàëèçàöèÿ
  WSAStartup(MAKEWORD(2,2), &wsadata);
  s = socket( AF_INET, SOCK_RAW, IPPROTO_IP );
  gethostname(name, sizeof(name));
  phe = gethostbyname( name );
  ZeroMemory( &sa, sizeof(sa) );
  sa.sin_family = AF_INET;
  //DWORD d=*(DWORD*)pD->Interfase.m_IP.IP;;
//DWORD d1= ((struct in_addr *)phe->h_addr_list[0])->s_addr;;

  sa.sin_addr.s_addr = *(DWORD*)pD->Interfase.m_IP.IP;//phe->h_addr_list[0])->s_addr;
  bind(s, (SOCKADDR *)&sa, sizeof(SOCKADDR));




  // Âêëþ÷åíèå promiscuous mode.
  ioctlsocket(s, SIO_RCVALL, &flag);


  // Ïðè¸ì IP-ïàêåòîâ.

  while( !pD->stopWSA  )
  {
    int count;
    count = recv( s, Buffer, sizeof(Buffer), 0 );
    // îáðàáîòêà IP-ïàêåòà
	
    if( count >= sizeof(IPHeader) )
    {
      IPHeader* hdr = (IPHeader *)Buffer;
//Пробегаем по спbску IP

		for (int i=0 ;i< pD->m_IP_data.GetSize();i++)
		{	 
	  
			  if (
				  (*(long*)hdr->src.IP==*(long*)pD->m_IP_data[i].m_IP.IP)&&
				(*(long*)hdr->dest.IP==*(long*)pD->m_SrvIP.m_IP.IP)
				)
			{
				pD->m_IP_data[i].m_Out +=count;

			  }
			  if (
				(*(long*)hdr->dest.IP==*(long*)pD->m_IP_data[i].m_IP.IP)&&
				(*(long*)hdr->src.IP==*(long*)pD->m_SrvIP.m_IP.IP)
				)
			{
				pD->m_IP_data[i].m_In +=count; 

			}
		} //ip

    }
  }

На w2000 (где разрабатывал) результаты похожи на правду ....
При установке на штатное место    (XP+Firewall+UserGate) программа начинает ошибаться в разы.....