經過上一篇部落格的總結，我知道到了原始套接字接收到的字串的開始欄位是IP資料報的首部，所以我想除了之前利用win_pcap可以捕獲資料包以外，理論上來說原始套接字也可以實現對IP資料報的捕獲。思路也很簡單，捕獲到字串以後轉換成指向IP首部結構體的指標，再列印相關資訊就可以了。

當然由於網絡卡會預設丟掉不屬於本機的資料包，所以需要將套接字設定為接收所有資料。win_pcap是直接對網絡卡進行設定。ioctlsocket( )函式用於控制套接字上的I/O行為，同時獲取與那個套接字上掛起的網路I/O操作的有關資訊。

int ioctlsocket(
SOCKET s,//套接字
long cmd,//對s的命令
 

u_long* argp//命令引數指標
)//如果成功的話返回0，如果失敗的話返回錯誤程式碼

u_long flag=1;
ioctlsocket(s,SIO_RCVALL,&flag);

於是有了以下一段程式碼：

#include "stdafx.h"
#include <winsock2.h>
#include <ws2tcpip.h> 
#include "mstcpip.h"     //自定義
#include <stdio.h>
#pragma comment(lib, "ws2_32.lib")

struct IPHEADER
{
	unsigned char h_verlen; //4位首部長度,4位IP版本號 
	unsigned char tos; //8位服務型別TOS 
	unsigned short total_len; //16位總長度（位元組） 
	unsigned short ident; //16位標識 
	unsigned short frag_and_flags; //3位標誌位 
	unsigned char ttl; //8位生存時間 TTL 
	unsigned char proto; //8位協議 (TCP, UDP 或其他) 
	unsigned short checksum; //16位IP首部校驗和 
	in_addr sourceIP; //32位源IP地址 
	in_addr destIP; //32位目的IP地址 
};

#define BUFSIZE 256
#define RECVBUF 1520

int analyzeIP(IPHEADER *pip, int buflen)
{
	if (buflen < 20)
	{
		printf("此包不完整！\n");
	}
	printf("版本號：%d\n", pip->h_verlen >> 4);
	printf("首部長度(位元組)：%d\n", (pip->h_verlen & 0x0f)*4);
	printf("總長度：%d\n", pip->total_len);
	printf("協議型別：%d\n", pip->proto);
	printf("源地址：%s\n", inet_ntoa(pip->sourceIP));
	printf("目的地址：%s\n", inet_ntoa(pip->destIP));
	return 0;
}

int main()
{
	SOCKET s;
	WSADATA wsa;
	int retval;
	retval = WSAStartup(MAKEWORD(2, 2), &wsa);
	if (retval == SOCKET_ERROR)
	{
		printf("startup failed\n");
		WSACleanup();
		return 0;
	}
	s = socket(AF_INET, SOCK_RAW, IPPROTO_IP);
	if (s == INVALID_SOCKET)
	{
		printf("socket error\n");
		WSACleanup();
		return 0;
	}
	sockaddr_in addr;
	char hostname[BUFSIZE] = { 0 };
	int namelen;
	namelen = gethostname(hostname, BUFSIZE);//取得本機名，存放在hostname裡面
	hostent *ph = gethostbyname(hostname);
	if (ph == NULL)
	{
		printf("gethostbyname failed\n");
		WSACleanup();
		closesocket(s);
		return 0;
	}
	addr.sin_family = AF_INET;
	addr.sin_port = htons(0);
	memcpy(&(addr.sin_addr), ph->h_addr, ph->h_length);
	retval = bind(s, (sockaddr*)&addr, sizeof(sockaddr_in));
	if (retval == SOCKET_ERROR)
	{
		printf("bind error\n");
		closesocket(s);
		WSACleanup();
		return 0;
	}
	unsigned long flag = 1;
	retval = ioctlsocket(s, SIO_RCVALL, &flag);//將網絡卡設定為混雜
	if (retval != 0)
	{
		printf("ioctlsocket error\n");
		closesocket(s);
		WSACleanup();
		return 0;
	}
	char recvbuf[RECVBUF];
	size_t size;
	IPHEADER *p_ipheader;
	int cnt = 0;
	while (1)
	{
		size = recv(s, recvbuf, RECVBUF, 0);
		if (size == 0 || size == SOCKET_ERROR)
		{
			printf("recv error\n");
			closesocket(s);
			WSACleanup();
			continue;
		}
		cnt++;
		printf("第 %d 個包\n", cnt);
		p_ipheader = (IPHEADER*)recvbuf;
		analyzeIP(p_ipheader, size);
		memset(recvbuf, 0, sizeof(recvbuf));
	}
	WSACleanup();
	closesocket(s);
	return 0;
}
 

但當我把這個程式和win_pcap的程式一起執行的時候，發現這個程式捕獲的包沒有win_pcap的程式捕獲得多，而且這個程式捕獲的包部分資訊也很奇怪，比如源地址，目的地址等，於是我猜想這可能是windows處於安全原因對原始套接字的使用也做出了限制。