跪求Winsock技术概述

WinSock网络编程实用宝典

一、TCP/IP 体系结构与特点

1、TCP/IP体系结构

TCP/IP协议实际上就是在物理网上的一组完整的网络协议。其中TCP是提供传输层服务，而IP则是提供网络层服务。TCP/IP包括以下协议：

IP： 网间协议(Internet Protocol) 负责主机间数据的路由和网络上数据的存储。同时为ICMP，TCP， UDP提供分组发送服务。用户进程通常不需要涉及这一层。

ARP： 地址解析协议(Address Resolution Protocol)

此协议将网络地址映射到硬件地址。

RARP： 反向地址解析协议(Reverse Address Resolution Protocol)

此协议将硬件地址映射到网络地址

ICMP： 网间报文控制协议(Internet Control Message Protocol)

此协议处理信关和主机的差错和传送控制。

TCP： 传送控制协议(Transmission Control Protocol)

这是一种提供给用户进程的可靠的全双工字节流面向连接的协议。它要为用户进程提供虚电路服务，并为数据可靠传输建立检查。（注：大多数网络用户程序使用TCP）

UDP： 用户数据报协议(User Datagram Protocol)

这是提供给用户进程的无连接协议，用于传送数据而不执行正确性检查。

FTP： 文件传输协议(File Transfer Protocol)

允许用户以文件操作的方式（文件的增、删、改、查、传送等）与另一主机相互通信。

SMTP： 简单邮件传送协议(Simple Mail Transfer Protocol)

SMTP协议为系统之间传送电子邮件。

TELNET：终端协议(Telnet Terminal Procotol)

允许用户以虚终端方式访问远程主机

HTTP： 超文本传输协议(Hypertext Transfer Procotol)

TFTP: 简单文件传输协议(Trivial File Transfer Protocol)

2、TCP/IP特点

TCP/IP协议的核心部分是传输层协议(TCP、UDP)，网络层协议(IP)和物理接口层，这三层通常是在操作系统内核中实现。因此用户一般不涉及。编程时，编程界面有两种形式：一、是由内核心直接提供的系统调用；二、使用以库函数方式提供的各种函数。前者为核内实现，后者为核外实现。用户服务要通过核外的应用程序才能实现，所以要使用套接字(socket)来实现。

二、专用术语

1、套接字

套接字是网络的基本构件。它是可以被命名和寻址的通信端点，使用中的每一个套接字都有其类型和一个与之相连听进程。套接字存在通信区域（通信区域又称地址簇）中。套接字只与同一区域中的套接字交换数据（跨区域时，需要执行某和转换进程才能实现）。WINDOWS 中的套接字只支持一个域——网际域。套接字具有类型。

WINDOWS SOCKET 1.1 版本支持两种套接字：流套接字(SOCK_STREAM)和数据报套接字(SOCK_DGRAM)

2、WINDOWS SOCKETS 实现

一个WINDOWS SOCKETS 实现是指实现了WINDOWS SOCKETS规范所描述的全部功能的一套软件。一般通过DLL文件来实现

3、阻塞处理例程

阻塞处理例程(blocking hook,阻塞钩子)是WINDOWS SOCKETS实现为了支持阻塞套接字函数调用而提供的一种机制。

4、多址广播（multicast，多点传送或组播）

是一种一对多的传输方式，传输发起者通过一次传输就将信息传送到一组接收者，与单点传送

(unicast)和广播(Broadcast)相对应。

一、客户机/服务器模式

在TCP/IP网络中两个进程间的相互作用的主机模式是客户机/服务器模式(Client/Server model)。该模式的建立基于以下两点：1、非对等作用；2、通信完全是异步的。客户机/服务器模式在操作过程中采取的是主动请示方式：

首先服务器方要先启动，并根据请示提供相应服务：（过程如下）

1、打开一通信通道并告知本地主机，它愿意在某一个公认地址上接收客户请求。

2、等待客户请求到达该端口。

3、接收到重复服务请求，处理该请求并发送应答信号。

4、返回第二步，等待另一客户请求

5、关闭服务器。

客户方：

1、打开一通信通道，并连接到服务器所在主机的特定端口。

2、向服务器发送服务请求报文，等待并接收应答；继续提出请求……

3、请求结束后关闭通信通道并终止。

二、基本套接字

为了更好说明套接字编程原理，给出几个基本的套接字，在以后的篇幅中会给出更详细的使用说明。

1、创建套接字——socket()

功能：使用前创建一个新的套接字

格式：SOCKET PASCAL FAR socket(int af,int type,int procotol);

参数：af: 通信发生的区域

type: 要建立的套接字类型

procotol: 使用的特定协议

2、指定本地地址——bind()

功能：将套接字地址与所创建的套接字号联系起来。

格式：int PASCAL FAR bind(SOCKET s,const struct sockaddr FAR * name,int namelen);

参数：s: 是由socket()调用返回的并且未作连接的套接字描述符（套接字号）。

其它：没有错误，bind()返回0，否则SOCKET_ERROR

地址结构说明：

struct sockaddr_in

{

short sin_family;//AF_INET

u_short sin_port;//16位端口号，网络字节顺序

struct in_addr sin_addr;//32位IP地址，网络字节顺序

char sin_zero[8];//保留

}

3、建立套接字连接——connect()和accept()

功能：共同完成连接工作

格式：int PASCAL FAR connect(SOCKET s,const struct sockaddr FAR * name,int namelen);

SOCKET PASCAL FAR accept(SOCKET s,struct sockaddr FAR * name,int FAR * addrlen);

参数：同上

4、监听连接——listen()

功能：用于面向连接服务器，表明它愿意接收连接。

格式：int PASCAL FAR listen(SOCKET s, int backlog);

5、数据传输——send()与recv()

功能：数据的发送与接收

格式：int PASCAL FAR send(SOCKET s,const char FAR * buf,int len,int flags);

int PASCAL FAR recv(SOCKET s,const char FAR * buf,int len,int flags);

参数：buf:指向存有传输数据的缓冲区的指针。

6、多路复用——select()

功能：用来检测一个或多个套接字状态。

格式：int PASCAL FAR select(int nfds,fd_set FAR * readfds,fd_set FAR * writefds,

fd_set FAR * exceptfds,const struct timeval FAR * timeout);

参数：readfds:指向要做读检测的指针

writefds:指向要做写检测的指针

exceptfds:指向要检测是否出错的指针

timeout:最大等待时间

7、关闭套接字——closesocket()

功能：关闭套接字s

格式：BOOL PASCAL FAR closesocket(SOCKET s);

Windows Sockets网络程序设计核心

我们可以开始真正的 Windows Sockets 网络程序设计了。不过我们还是先看一看每个 Windows Sockets 网络程序都要涉及的内容。让我们一步步慢慢走。

1、启动与终止

在所有 Windows Sockets 函数中，只有启动函数 WSAStartup() 和终止函数 WSACleanup() 是必须使用的。

启动函数必须是第一个使用的函数，而且它允许指定 Windows Sockets API 的版本，并获得 SOCKETS的特定的一些技术细节。本结构如下：

int PASCAL FAR WSAStartup(WORD wVersionRequested, LPWSADATA lpWSAData);

其中 wVersionRequested 保证 SOCKETS 可正常运行的 DLL 版本，如果不支持，则返回错误信息。

我们看一下下面这段代码，看一下如何进行 WSAStartup() 的调用

WORD wVersionRequested;// 定义版本信息变量

WSADATA wsaData;//定义数据信息变量

int err;//定义错误号变量

wVersionRequested = MAKEWORD(1,1);//给版本信息赋值

err = WSAStartup(wVersionRequested, wsaData);//给错误信息赋值

if(err!=0)

{

return;//告诉用户找不到合适的版本

}

//确认 Windows Sockets DLL 支持 1.1 版本

//DLL 版本可以高于 1.1

//系统返回的版本号始终是最低要求的 1.1，即应用程序与DLL 中可支持的最低版本号

if(LOBYTE(wsaData.wVersion)!= 1|| HIBYTE(wsaData.wVersion)!=1)

{

WSACleanup();//告诉用户找不到合适的版本

return;

}

//Windows Sockets DLL 被进程接受，可以进入下一步操作

关闭函数使用时，任何打开并已连接的 SOCK_STREAM 套接字被复位，但那些已由 closesocket() 函数关闭的但仍有未发送数据的套接字不受影响，未发送的数据仍将被发送。程序运行时可能会多次调用 WSAStartuo() 函数，但必须保证每次调用时的 wVersionRequested 的值是相同的。

2、异步请求服务

Windows Sockets 除支持 Berkeley Sockets 中同步请求，还增加了了一类异步请求服务函数 WSAAsyncGerXByY()。该函数是阻塞请求函数的异步版本。应用程序调用它时，由 Windows Sockets DLL 初始化这一操作并返回调用者，此函数返回一个异步句柄，用来标识这个操作。当结果存储在调用者提供的缓冲区，并且发送一个消息到应用程序相应窗口。常用结构如下：

HANDLE taskHnd;

char hostname="rs6000";

taskHnd = WSAAsyncBetHostByName(hWnd,wMsg,hostname,buf,buflen);

需要注意的是，由于 Windows 的内存对像可以设置为可移动和可丢弃，因此在操作内存对象是，必须保证 WIindows Sockets DLL 对象是可用的。

3、异步数据传输

使用 send() 或 sendto() 函数来发送数据，使用 recv() 或recvfrom() 来接收数据。Windows Sockets 不鼓励用户使用阻塞方式传输数据，因为那样可能会阻塞整个 Windows 环境。

4、出错处理

Windows 提供了一个函数来获取最近的错误码 WSAGetLastError()， 一、服务器端操作 socket（套接字）

1)在初始化阶段调用WSAStartup()

此函数在应用程序中初始化Windows Sockets DLL ，只有此函数调用成功后，应用程序才可以再调用其他Windows Sockets DLL中的API函数。在程式中调用该函数的形式如下：WSAStartup((WORD)((1

int PASCAL FAR listen( SOCKET s, int backlog );

参 数： s：需要建立监听的Socket；

backlog：最大连接个数；

服务器端的Socket调用完listen（）后，如果此时客户端调用connect（）函数提出连接申请的话，Server 端必须再调用accept() 函数，这样服务器端和客户端才算正式完成通信程序的连接动作。为了知道什么时候客户端提出连接要求，从而服务器端的Socket在恰当的时候调用accept()函数完成连接的建立，我们就要使用WSAAsyncSelect（）函数，让系统主动来通知我们有客户端提出连接请求了。该函数调用成功返回0，否则返回SOCKET_ERROR。

int PASCAL FAR WSAAsyncSelect( SOCKET s, HWND hWnd,unsigned int wMsg, long lEvent );

参数： s：Socket 对象；

hWnd ：接收消息的窗口句柄；

wMsg：传给窗口的消息；

lEvent：被注册的网络事件，也即是应用程序向窗口发送消息的网路事件，该值为下列值FD_READ、FD_WRITE、FD_OOB、FD_ACCEPT、FD_CONNECT、FD_CLOSE的组合，各个值的具体含意为FD_READ：希望在套接字S收到数据时收到消息；FD_WRITE：希望在套接字S上可以发送数据时收到消息；FD_ACCEPT：希望在套接字S上收到连接请求时收到消息；FD_CONNECT：希望在套接字S上连接成功时收到消息；FD_CLOSE：希望在套接字S上连接关闭时收到消息；FD_OOB：希望在套接字S上收到带外数据时收到消息。

5）服务器端接受客户端的连接请求

当Client提出连接请求时，Server 端hwnd视窗会收到Winsock Stack送来我们自定义的一个消息，这时，我们可以分析lParam，然后调用相关的函数来处理此事件。为了使服务器端接受客户端的连接请求，就要使用accept() 函数，该函数新建一Socket与客户端的Socket相通，原先监听之Socket继续进入监听状态，等待他人的连接要求。该函数调用成功返回一个新产生的Socket对象，否则返回INVALID_SOCKET。

二、客户端Socket的操作

1）建立客户端的Socket

客户端应用程序首先也是调用WSAStartup() 函数来与Winsock的动态连接库建立关系，然后同样调用socket() 来建立一个TCP或UDP socket（相同协定的 sockets 才能相通，TCP 对 TCP，UDP 对 UDP）。与服务器端的socket 不同的是，客户端的socket 可以调用 bind() 函数，由自己来指定IP地址及port号码；但是也可以不调用 bind()，而由 Winsock来自动设定IP地址及port号码。

2）提出连接申请

客户端的Socket使用connect()函数来提出与服务器端的Socket建立连接的申请，函数调用成功返回0，否则返回SOCKET_ERROR。

int PASCAL FAR connect( SOCKET s, const struct sockaddr FAR *name, int namelen );

参 数：s：Socket 的识别码；

name：Socket想要连接的对方地址；

namelen：name的长度

三、数据的传送

虽然基于TCP/IP连接协议（流套接字）的服务是设计客户机/服务器应用程序时的主流标准，但有些服务也是可以通过无连接协议（数据报套接字）提供的。先介绍一下TCP socket 与UDP socket 在传送数据时的特性：Stream (TCP) Socket 提供双向、可靠、有次序、不重复的资料传送。Datagram (UDP) Socket 虽然提供双向的通信，但没有可靠、有次序、不重复的保证，所以UDP传送数据可能会收到无次序、重复的资料，甚至资料在传输过程中出现遗漏。由于UDP Socket 在传送资料时，并不保证资料能完整地送达对方，所以绝大多数应用程序都是采用TCP处理Socket，以保证资料的正确性。一般情况下TCP Socket 的数据发送和接收是调用send() 及recv() 这两个函数来达成，而 UDP Socket则是用sendto() 及recvfrom() 这两个函数，这两个函数调用成功发挥发送或接收的资料的长度，否则返回SOCKET_ERROR。

int PASCAL FAR send( SOCKET s, const char FAR *buf,int len, int flags );

参数：s：Socket 的识别码

buf：存放要传送的资料的暂存区

len buf：的长度

flags：此函数被调用的方式

对于Datagram Socket而言，若是 datagram 的大小超过限制，则将不会送出任何资料，并会传回错误值。对Stream Socket 言，Blocking 模式下，若是传送系统内的储存空间不够存放这些要传送的资料，send()将会被block住，直到资料送完为止；如果该Socket被设定为 Non-Blocking 模式，那么将视目前的output buffer空间有多少，就送出多少资料，并不会被 block 住。flags 的值可设为 0 或 MSG_DONTROUTE及 MSG_OOB 的组合。

int PASCAL FAR recv( SOCKET s, char FAR *buf, int len, int flags );

参数：s：Socket 的识别码

buf：存放接收到的资料的暂存区

len buf：的长度

flags：此函数被调用的方式

对Stream Socket 言，我们可以接收到目前input buffer内有效的资料，但其数量不超过len的大小。

TCP/IP Winsock编程要点

利用Winsock编程由同步和异步方式，同步方式逻辑清晰，编程专注于应用，在抢先式的多任务操作系统中(WinNt、Win2K)采用多线程方式效率基本达到异步方式的水平，应此以下为同步方式编程要点。

VC++编程实现网络嗅探器

从事网络安全的技术人员和相当一部分准黑客（指那些使用现成的黑客软件进行攻击而不是根据需要去自己编写代码的人）都一定不会对网络嗅探器（sniffer）感到陌生，网络嗅探器无论是在网络安全还是在黑客攻击方面均扮演了很重要的角色。通过使用网络嗅探器可以把网卡设置于混杂模式，并可实现对网络上传输的数据包的捕获与分析。此分析结果可供网络安全分析之用，但如为黑客所利用也可以为其发动进一步的攻击提供有价值的信息。可见，嗅探器实际是一把双刃剑。 虽然网络嗅探器技术被黑客利用后会对网络安全构成一定的威胁，但嗅探器本身的危害并不是很大，主要是用来为其他黑客软件提供网络情报，真正的攻击主要是由其他黑软来完成的。而在网络安全方面，网络嗅探手段可以有效地探测在网络上传输的数据包信息，通过对这些信息的分析利用是有助于网络安全维护的。权衡利弊，有必要对网络嗅探器的实现原理进行介绍。

嗅探器设计原理

嗅探器作为一种网络通讯程序，也是通过对网卡的编程来实现网络通讯的，对网卡的编程也是使用通常的套接字（socket）方式来进行。但是，通常的套接字程序只能响应与自己硬件地址相匹配的或是以广播形式发出的数据帧，对于其他形式的数据帧比如已到达网络接口但却不是发给此地址的数据帧，网络接口在验证投递地址并非自身地址之后将不引起响应，也就是说应用程序无法收取到达的数据包。而网络嗅探器的目的恰恰在于从网卡接收所有经过它的数据包，这些数据包即可以是发给它的也可以是发往别处的。显然，要达到此目的就不能再让网卡按通常的正常模式工作，而必须将其设置为混杂模式。

本文介绍的以原始套接字方式对网络数据进行捕获的方法实现起来比较简单，尤其是不需要编写VxD虚拟设备驱动程序就可以实现抓包，使得其编写过程变的非常简便，但由于捕获到的数据包头不包含有帧信息，因此不能接收到与 IP 同属网络层的其它数据包, 如 ARP数据包、RARP数据包等。在前面给出的示例程序中考虑到安全因素，没有对数据包做进一步的分析，而是仅仅给出了对一般信息的分析方法。通过本文的介绍，可对原始套接字的使用方法以及TCP/IP协议结构原理等知识有一个基本的认识。本文所述代码在Windows 2000下由Microsoft Visual C++ 6.0编译调试通过。

希望对你有所帮助

黑客的原理是什么？

熟练掌握 C语言，汇编语言

基本上黑客新手都要学到disassemble（反汇编），就是通过一个程序运行的汇编套路来分析其源代码。并用c语言进行测试。汇编要掌握到（stack，protected mode，data segmentESPEBP...）,C语言（bit-field, stdcall...）

2.计算机原理

分析程序数据没有十进制，只有2进制和16进制（就是0101 0010或0xFF...），要懂得基本运算。还有big/little-endian等基本术语，会用WinHex/UltraEdit或VS的dempbin分析程序。

3.网络：TCP/IP（TCP，UDP，ICMP，DNS，IP等许多协议），会截取数据包，还有分析frame，结合telnet/ftp/c语言的socket等命令进行网络打劫！这部分最难最枯燥，建议看understanding TCP/IP这本书

4.系统的认知！了解Windows内部API，sockets编程，IP proxy（IPv6最好也学），真正的黑客是几乎漏不出马脚的！

这些就是基础，然后熟练掌握各种操作流程，可以强行进行telnet，或进行TCP hijack，或夺取远程sid等。。。还有很多要学，根本数不完。

推荐你看一下几本书（我看过许多书，走过弯路，这是整理后的最优选择）

1.Assembly language step-by-step

掌握汇编语言，和CPU运行机制，内存模式等

2.the C programming language

C语言的灵魂制作

3.（C++可以了解一下）C++ from ground up或C++ premier

C++在底层其实代替不了C

4.Understanding TCP/IP

TCP/IP网络的精髓

windows脚本语言中不重要，从 程序员和黑客的角度来说

从一个脚本小子的角度讲，Windows脚本语言很重要。比如有时候你要在系统开机的时候默认开启一个Admin帐户，没有就创建。这样的动作，用程序不仅不方便而且容易被K，但是在Boot.ini里面指向一个你写好的Bat文件，情况就大不一样了

另外，我不同意2L和3L观点：

2L：网页攻击仅仅是黑客的一小部分，一个小分支

3L：黑客是深入系统底层，精通各种系统函数关系的程序员，但是程序员不一定要去深入研究DLL注入，系统溢出等技术

脚本语言做大的优越就是方便，不用编辑成二进制文件，只要写好代码，宿主（Host）就会解析它。但是缺点是反应速度慢，文件体积大。但是方便性是不言而喻的