在linux套接字程式設計中，常見的套接字型別有SOCK_STREAM, SOCK_DGRAM  . 

int socket(int domain, int type, int protocal), 其中 type 欄位的 選項可以是：

    SOCK_STREAM

    SOCK_DGRAM

    SOCK_SEQPACKET

    SOCK_RAW

          Provides raw network protocal access.

    SOCK_RDM

    SOCK_PACKET

原始套接字rawsocket 因其能獲得最底層的IP包，因而有其特殊的作用。其用處，例如：

1. 怎樣傳送一個自定義的IP包 ？

2. 怎樣傳送一個ICMP協議包 ？

3. 怎樣分析所有經過網路的包 ，而不管這包是否是發給自己的？

4. 怎樣偽裝本地IP地址 ？

以上所有這些，原始套接字（SOCK_RAW）， 都可以幫你實現！ ！

（tips: 原始套接字廣泛應用於高階網路程式設計，也是一種廣泛的黑客手段，著名的網路sniffer， 拒絕服務攻擊Dos， IP欺騙 等都可以通過原始套接字實現）

原始套接字的使用，有一點需要注意：只有管理員許可權 (root) 才可使用

在建立套接字時的第三個選項 protocal ， 可以指定獲取某一型別的 rawsocket

    socket(PF_PACKET, SOCK_RAW， int protocal 

protocal 選項：

    - 不能為0

    - 傳引數時需要使用 htons() 轉換

ETH_P_IP : IPv4 資料包

ETH_P_ARP : ARP 資料包

ETH_P_ALL : 任何協議的資料包

下面將介紹一種，最簡單最有效的 rawsocket 應用：抓取ip包

在此之前，有兩點需要了解：一是 乙太網幀結構，二是ip 包報文頭結構

Frame 乙太網幀結構

 從幀首界定符SFD之後, 從 DA 開始 就是 幀結構的幀頭了，這裡介紹一下前導碼

前導碼：

  10101010  10101010 10101010   10101010   10101010   10101010   10101010  10101011 

前導碼的作用是通知接收節點做好接收準備， 接收節點收到 10101011 後就知道幀 開始了

IP報文頭

瞭解以上兩個頭部之後，就可以使用rawsocket了， 這裡給出一個頭部分析的例子

analysis_rawsocket.c 

#include <stdio.h>
#include <stdlib.h>
#include <sys/socket.h>
#include <unistd.h>
#include <sys/types.h>
#include <linux/if_ether.h>
#include <linux/in.h>

#define BUFFER_MAX 2048

int main(int argc, char **argv)
{
	int rawsock;
	char buffer[BUFFER_MAX];
	char * ethhead;
	char * iphead;
	char * phead;

	// create rawsocket
	if ((rawsock = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_IP))) < 0){
		perror("rawsock create error");
		exit(1);
	}

	long framecount = 0;
	while ( 1 ) {
		int readnum = recvfrom(rawsock, buffer, 2048, 0 , NULL, NULL);
		if (readnum < 42) {
			printf("error: head is incomplete! \n");
			exit(1);
		}

		ethhead = (char *)buffer;
		phead = ethhead;
		int ethernetmask = 0XFF;
		framecount++;

		printf("--------------Analysis Packet[%d]-------------\n", framecount);
		// printf src mac and dst mac
		fprintf(stderr, "MAC:");
		int i = 6;
		for (; i <= 11; i++)
			fprintf(stderr, "%.2x:", phead[i]ðernetmask);
		fprintf(stderr, "--------->");
		for (i = 0; i <= 5; i++)
			fprintf(stderr, "%.2x", phead[i]ðernetmask);
		printf("\n");

		iphead = ethhead + 14;
		phead = iphead + 12;

		// print ip address
		printf("IP:");
		for (i = 0; i<= 3; i++) {
			printf("%d", phead[i]ðernetmask);
			if (i !=3) {
				printf(".");
			}
		}
		printf("---------->");
		for (i = 4; i <= 7; i++) {
			printf("%d", phead[i] & ethernetmask);
			if (i != 7) {
				printf(".");
			}
		}
		printf("\n");

		int prototype = (iphead + 9)[0];
		phead = iphead + 20;

		// print Protocal mesg 
		printf("Protocal:");

		switch(prototype) {
			case IPPROTO_ICMP:
				printf("ICMP\n");
				break;
			case IPPROTO_IGMP:
				printf("IGMP\n");
				break;
			case IPPROTO_TCP:
				printf("TCP | source port: %u |", (phead[0]<<8) & 0xFF00 | phead[1] & 0xFF);
				printf("destport: %u\n", (phead[2]<<8) & 0xFF00 | phead[3] & 0xFF);
				int i;
				for (i = 0; i < readnum -54; i++)
					putchar(phead[19 + i]);
				break;

			case IPPROTO_UDP:
				printf("UDP | source port: %u |", (phead[0]<<8) & 0xFF00 | phead[1]&0xFF);
				printf("destport: %u\n", (phead[2]<<8) & 0XFF00 | phead[3] & 0xFF);
				break;
			case IPPROTO_RAW:
				printf("RAW:\n");
				break;
			default:
				printf("Unknow\n");
			

		}
		printf("-------------------------------END-------------------------------\n");
		
		
	}
	return 0;
}

以上rawsocket 可以抓取通過網絡卡的所有資料包， 分析了收到的資料報型別， 並著重就 tcp 報文， 抓取了報文內容並打印出來。

總結與分析：

    使用欄位分析的程式設計方式，原理簡單， 只要對幀頭和ip頭的欄位熟悉， 可以用非常小的程式碼量就寫出抓包工具， 並且方便自定義修改； 

    以上是將擷取到的 資料報 分析出來， 下一次部落格內容將 自定義IP 包， 自己填充ip報文頭， 將資料包發出去，用這種方式可以偽造ip, 寫Ｄｏｓ　攻擊程式等。