gopacket免安装Pcap实现驱动层流量抓包流程步骤

Go  /  管理员 发布于 2年前   725

gopacket的文档丰富，使用gopacket依赖软件：

1.在Linux上需要提前安装Npcap;

2.在Windows上则需要提前安装 Winpcap;

否则无法使用，会提示缺少相关的动态链接库，这对于一些有洁癖的人来说就不太友好了，

他们并不想去安装多余的软件，后面我们就来研究一下如何解决这个问题。

应用层抓包我们可以使用 Fiddler、Httpdebugger、Charles 等工具，

如果需要获取更底层网卡的数据，就没法实现了，我们就需要使用谷歌的 gopacket 包。

进入步骤：

首先我们不安装任何工具，看一下错误提示，我这里使用的是 Windows 系统：

couldn't load wpcap.dll

提示我们没有找到 wpcap.dll，这很好理解，我们的确没有，先来看看 dll 在系统内的加载顺序：

EXE所在目录
    ↓
当前目录GetCurrentDirectory()；
    ↓
系统目录GetSystemDirectory()；
    ↓
WINDOWS目录GetWindowsDirectory()；
    ↓
环境变量PATH所包含的目录。

那解决办法就很简单了，去下载一个 wpcap.dll 放到 exe 所在目录不就行了吗，但事实证明这样并不行，还是提示没有找到链接库。

随后，我又调用了一些 Windows 的接口，手动设置 dll 的目录：

package main

import (
    "fmt"
    "github.com/google/gopacket/pcap"
    "golang.org/x/sys/windows"
    "os"
    "path/filepath"
    "unsafe"
)

func main() {
    kernel32, err := windows.LoadDLL("kernel32.dll")
    if err != nil {
        fmt.Println(err.Error())
        return
    }
    proc, err := kernel32.FindProc("AddDllDirectory")
    if err != nil {
        fmt.Println(err.Error())
        return
    }
    
    // 获取绝对路径
    absolute,err := os.Executable()
    if err != nil {
        fmt.Println(err.Error())
        return
    }
    absolute = filepath.Join(absolute,"../")
    utf16Ptr, err := windows.UTF16FromString(absolute)
    if err != nil {
        fmt.Println(err.Error())
        return
    }
    r1, r2, err := proc.Call(uintptr(unsafe.Pointer(&utf16Ptr[0])))
    fmt.Println(r1, r2, err)
    version := pcap.Version()
    fmt.Println(version)
}

结果还是找不到链接库，到这里，我们能用的方法都失效了。

在谷歌上，也有类似的问题，但是没人能给出解决方案，都是让我们安装 Winpcap，问题好像无解。

解决方案

使用 dependency 查看内部依赖

在折腾了几个小时候，找到了一个解决方案：

将 wpcap.dll 复制一份到 system32 目录
将 packet.dll 复制一份到 system32 目录
将 npf.sys 驱动复制一份到 system32 下的 drivers 目录

现在就不需要安装任何软件也可以调用 gopacket

fmt.Println(pcap.Version())

输出

WinPcap version 4.1.3 (packet.dll version 4.1.0.2980), based on libpcap version 1.0 branch 1_0_rel0b (20091008)