黑客之旅――原始套接字透析之前言

大多数程序员所接触到的套接字（Socket）为两类：

　　（1）流式套接字（SOCK_STREAM）：一种面向连接的Socket，针对于面向连接的TCP服务应用；

　　（2）数据报式套接字（SOCK_DGRAM）：一种无连接的Socket，对应于无连接的UDP服务应用。

　　从用户的角度来看，SOCK_STREAM、SOCK_DGRAM这两类套接字似乎的确涵盖了TCP/IP应用的全部，因为基于TCP/IP的应用，从协议栈的层次上讲，在传输层的确只可能建立于TCP或UDP协议之上（图1），而SOCK_STREAM、SOCK_DGRAM又分别对应于TCP和UDP，所以几乎所有的应用都可以用这两类套接字实现。

图1 TCP/IP协议栈

　　但是，当我们面对如下问题时，SOCK_STREAM、SOCK_DGRAM将显得这样无助：

　　（1） 怎样发送一个自定义的IP包？

　　（2） 怎样发送一个ICMP协议包？

　　（3） 怎样使本机进入杂糅模式，从而能够进行网络sniffer？

　　（4） 怎样分析所有经过网络的包，而不管这样包是否是发给自己的？

　　（5） 怎样伪装本地的IP地址？

　　这使得我们必须面对另外一个深刻的主题――原始套接字（Raw Socket）。Raw Socket广泛应用于高级网络编程，也是一种广泛的黑客手段。著名的网络sniffer、拒绝服务攻击（DOS）、IP欺骗等都可以以Raw Socket实现。

　　Raw Socket与标准套接字（SOCK_STREAM、SOCK_DGRAM）的区别在于前者直接置"根"于操作系统网络核心（Network Core），而SOCK_STREAM、SOCK_DGRAM则"悬浮"于TCP和UDP协议的外围，如图2所示：

图2 Raw Socket与标准Socket

　　当我们使用Raw Socket的时候，可以完全自定义IP包，一切形式的包都可以"制造"出来。因此，本文事先必须对TCP/IP所涉及IP包结构进行必要的交待。

　　目前，IPv4的报头结构为：

　　对其进行数据结构封装：

　　或者将上述定义中的第一字节按位拆分：

　　更加严格地讲，上述定义中h_len、ver字段的内存存放顺序还与具体CPU的Endian有关，因此，更加严格的IP_HEADER可定义为：

　　TCP报头结构为：

　　对应数据结构：

　　同样地，TCP头的定义也可以将位域拆分：

　　UDP报头为：

　　对应的数据结构为：

　　ICMP协议是网络层中一个非常重要的协议，其全称为Internet Control Message Protocol（因特网控制报文协议），ICMP协议弥补了IP的缺限，它使用IP协议进行信息传递，向数据包中的源端节点提供发生在网络层的错误信息反馈。ICMP报头为：

　　常用的回送与或回送响应ICMP消息对应数据结构为：

　　常用的ICMP报文包括ECHO-REQUEST（响应请求消息）、ECHO-REPLY（响应应答消息）、Destination Unreachable（目标不可到达消息）、Time Exceeded（超时消息）、Parameter Problems（参数错误消息）、Source Quenchs（源抑制消息）、Redirects（重定向消息）、Timestamps（时间戳消息）、Timestamp Replies（时间戳响应消息）、Address Masks（地址掩码请求消息）、Address Mask Replies（地址掩码响应消息）等，是Internet上十分重要的消息。后面章节中所涉及到的ping命令、ICMP拒绝服务攻击、路由欺骗都与ICMP协议息息相关。

　　另外，本系列文章中的部分源代码参考了一些优秀程序员的开源项目，由于篇幅的关系我们不能一一列举，在此一并表示感谢。

　　So, let's go.