我想监视 Mac OS X 中特定端口上的数据包。能够读取它们的内容并有时更改它们的内容（如果可能的话）。我想知道是否可以通过编写 KEXT 或者我可以在应用程序中执行此操作并立即显示结果。我将不胜感激有关我可以用来实现这一目标的库和方法的任何信息。
【问题讨论】：
标签： macos cocoa packet-sniffers packets kernel-extension
“监控数据包”是什么意思？
如果您的意思是“查看特定 TCP 或 UDP 端口发送或接收的数据包”或“特定网络接口上发送或接收的数据包”，您将使用 pcap library，就像在其他 UN*Xes 上一样. libpcap/WinPcap 是 Wireshark 和 tcpdump 使用的库；在 OS X 上，它使用的底层内核机制是 BPF（伯克利包过滤器），它内置在 XNU 中（它是开源的 - 请参阅 bsd/net/bpf.c 和 bsd/net/bpf_filter.c 文件，以及它们包含的头文件，在XNU 源）并且不需要 kext。 （Wireshark 没有自己的 kext；它使用 libpcap/WinPcap，因此它可以在 Linux 和 OS X 和 *BSD 和 Solaris 和 HP-UX 和 AIX 和 Tru64 UNIX 和 IRIX 等等，以及在 Windows 上运行，如果WinPcap 已安装，因此在 OS X 和 *BSD 上，它最终使用 BPF。）
Libpcap/WinPcap 不允许您使用一个“句柄”在所有接口上捕获，除了在 Linux 上；您必须使用pcap_findalldevs() 来查找所有当前可用的接口，然后为每个接口打开单独的句柄。如果“端口”是指“网络端口”，那么一个“端口”是您的以太网端口，另一个是您的 Wi-Fi 适配器，您必须单独打开要捕获的所有“端口”。
如果“端口”是指 TCP 或 UDP 端口，并且您只想查看进出特定端口的流量，则必须指定“过滤器”表达式，使用 @987654327 将其转换为“BPF 代码” @，然后使用 pcap_setfilter() 使其成为特定 libpcap/WinPcap 句柄的过滤器。
如果你想为 pcap 使用 Cocoa 包装器，我不久前进行的 Google 搜索发现 packetsniffer 和 CapKit；我没有用过这两个，所以我不能推荐一个。
【讨论】：
u_char *packet，由于 IP 数据包和...，我发现它很难阅读，是否有任何适当的方法可以使用 pcap 提取 HTTP 请求和响应?
你见过Apple's overview documentation on Network Kernel Extensions吗？这应该让你开始。
this book 的可下载源代码还包含一些网络堆栈不同级别的包过滤示例 NKE。 （这本书当然也在第 13 章中详细解释了这些东西）
您还可以重新使用现有的开源 kext 进行纯监控：Wireshark 应用程序已经这样做了，您应该能够挂钩到它的 kext。要实际修改数据包流，您可能必须纯粹在内核中进行。
【讨论】：
因为 OS X 和 iOS 是 Unix 而 Objective-C 是 C，所以答案是，“就像你在 C 中的 Unix 上做的一样” - Cocoa 是高级的，而你想做的是低级的。我在 SO 上找不到问题，但有人建议查看 MenuMeters 的来源作为网络监控的示例。
【讨论】：