简介这是一份基于C#语言与SharpPcap开源库开发的网络抓包程序及完整源码面向C#开发者、网络维护人员和安全分析者用于捕获、解析和监控局域网数据通信辅助网络延迟检测、丢包分析和异常流量识别可服务于网络诊断、性能监控与安全审计。压缩包共17个文件大小2.24MB文件类型涵盖程序截图、可执行文件、dll动态库、xml配置、源码及参考文档并按“截图—源码—直接使用”三个目录整理结构清晰便于快速定位。该资源已有305人学习下载适合想通过实际案例入门C#网络编程的读者也适合需要快速开展抓包工作的开发者。通过研读源码可学习SharpPcap库的初始化流程、抓包循环机制以及利用PacketDotNet对数据包进行解析的方法同时加深对网络协议和套接字编程的理解直接运行可执行程序则能立即体验完整的抓包过程并与截图对照验证结果。整体而言这份代码与运行环境齐备的资源既是教学演示的素材也是日常网络排查的实用工具。1. SharpPcap网络抓包程序为什么C#里做网络抓包绕不开这块库做C#上位机的同行大多遇到过这种场景系统跑着跑着和PLC或者服务器的通信突然断了对方说是网络问题可你连现场报文都拿不到。想在自己的程序里内置一个网络抓包能力直接看到TCP握手、心跳包、异常RST从哪来SharpPcap几乎是C#生态里最顺手的选择。它本质上是libpcap/WinPcap的托管封装把底层驱动收上来的原始数据帧转成C#对象让你能在代码里实时拿到每一个包。围绕它写一个抓包程序加源码通常就是指“枚举网卡、设过滤器、抓包回调、保存pcap文件”这套完整链路。这篇文章我会按自己做过一遍的顺序把SharpPcap从驱动层到UI层的坑都讲清楚适合上位机开发者、协议调试人员和做网络监控的.NET程序员照着搭一套能用的工具。2. SharpPcap抓包原理和驱动链路先搞懂数据从网卡到C#回调中间隔着什么2.1 抓包链路网卡、驱动、libpcap与SharpPcap各管一段写SharpPcap程序之前得先把链路位置搞清楚。抓包这件事在Windows上有几个层次网卡收到数据帧后如果是发给本机的会走协议栈往上送但抓包工具要的是“旁路复制一份”。这个旁路能力必须由网卡驱动提供Windows自带的网卡驱动不会随便把别人的包交给你所以SharpPcap不能裸着抓包它下面必须有WinPcap或Npcap驱动。Npcap驱动会把网卡收到的原始帧复制一份交给用户态的libpcap动态库再由SharpPcap的C#层封装成RawCapture对象触发你的事件回调。这里有个容易误会的地方SharpPcap只是封装真正干活的是驱动你装不上驱动或者装错模式程序写得再对也枚举不到设备。在Windows 10/11上我一般直接装Npcap它兼容老WinPcap的API后面避坑章节会细说安装选项。2.2 为什么选SharpPcap而不是Raw Socket或Pcap.Net很多初学者会问C#里不是有Socket类吗为什么还要引入一个第三方库Raw Socket能收到IP层数据但它拿不到以太网帧头而且不能方便地把网卡设为混杂模式。更关键的是Raw Socket只能收到本机协议栈认领的包你接在一个交换机镜像口上想观察其他设备的通信Raw Socket就直接无能为力了。SharpPcap封装的是libpcap体系这个体系在跨平台网络工具里已经验证了二十多年Wireshark的抓包核心也是同一套思路。和Pcap.Net相比SharpPcap的更新节奏更稳定网上能搜到的“C#网络抓包”源码多数也是基于它遇到问题更容易找到参照。如果你还要解析包结构通常再配合PacketDotNet一起用SharpPcap给原始字节PacketDotNet解析以太网头、IP头、TCP/UDP负载各管一段这组合在上位机协议调试里很常见。2.3 Open的两个关键参数混杂模式和read_timeout不是随便填的打开设备是SharpPcap最基础也最容易写错的一步。常见写法是var device CaptureDeviceList.Instance[index]; device.Open(new DeviceConfiguration { Mode DeviceModes.Promiscuous, // 混杂模式 ReadTimeout 1000 // 读取超时毫秒 });DeviceModes.Promiscuous让网卡把经过它的所有帧都收上来而不只是发给本机的如果你只关心本机收发可以改用DeviceModes.Normal。ReadTimeout是捕获线程在没有新包到达时的唤醒间隔设成1000表示每秒醒来一次处理缓冲区里的剩余数据设成0在某些驱动下会让捕获线程长时间阻塞程序退出时可能卡住。我在实际项目里看到的问题多数不是这两个参数本身而是不知道它们影响什么混杂模式关系到能不能抓到别人家的包read_timeout关系到停止抓包时最后几帧数据会不会丢。后面所有代码都是建立在“先理解这两点”的基础上展开的装好Npcap之后我们直接进最小实现。3. 用SharpPcap网络抓包程序跑通最小链路设备枚举、捕获回调与pcap落盘3.1 先枚举网卡拿到设备列表再决定抓哪张卡SharpPcap抓包的第一步不是直接抓而是枚举机器上的所有网络接口。很多源码示例会直接写死CaptureDeviceList.Instance[0]这在你自己电脑上可能没问题到了客户现场经常是悲剧多张网卡、虚拟网卡、抓包适配器混在一起索引根本对不上。我一般先写一段枚举代码把设备信息打印出来确认要抓哪张卡再继续using SharpPcap; using SharpPcap.LibPcap; var devices CaptureDeviceList.Instance; Console.WriteLine($发现 {devices.Count} 个网络设备\n); for (int i 0; i devices.Count; i) { var dev devices[i]; Console.WriteLine($[{i}] {dev.Name}); Console.WriteLine($ Description : {dev.Description}); if (dev is LibPcapLiveDevice liveDev liveDev.Interface ! null) { Console.WriteLine($ MAC : {liveDev.Interface.MacAddress}); Console.WriteLine($ IP : {string.Join(, , liveDev.Interface.Addresses)}); } }这段代码用了CaptureDeviceList.Instance这个静态入口获取所有设备对象。dev.Name是驱动的内部接口名Windows上看起来像\Device\NPF_{A1B2C3D4-...}Description是给用户看的网卡描述。我特意把MAC和IP地址也打出来是为了在现场多网卡环境下确认你要抓的是连PLC那个工业网卡不是连外网的无线网卡光看Description容易认错。3.2 打开设备并注册抓包回调最小抓包代码拿到设备对象后打开它并订阅OnPacketArrival事件。SharpPcap有同步和异步两种接收方式GetNextPacket是同步阻塞读取适合写控制台工具StartCapture内部起捕获线程适合嵌到上位机程序里用事件驱动。下面这个例子是后者也是我在“程序及源码”类项目里最常看到的模式using SharpPcap; using PacketDotNet; using System.Text; public class Sniffer { private LibPcapLiveDevice _device; public void Start(int deviceIndex) { var devices CaptureDeviceList.Instance; if (deviceIndex 0 || deviceIndex devices.Count) throw new ArgumentOutOfRangeException(nameof(deviceIndex)); _device (LibPcapLiveDevice)devices[deviceIndex]; _device.OnPacketArrival OnPacketArrival; _device.Open(new DeviceConfiguration { Mode DeviceModes.Promiscuous, ReadTimeout 1000 }); _device.StartCapture(); Console.WriteLine(抓包已启动按回车停止...); } private void OnPacketArrival(object sender, PacketCapture e) { var raw e.GetPacket(); var packet Packet.ParsePacket(raw.LinkLayerType, raw.Data); var ipPacket packet.ExtractIPPacket(); if (ipPacket ! null) { Console.WriteLine(${raw.Timeval.Date:HH:mm:ss.fff} ${ipPacket.SourceAddress} - {ipPacket.DestinationAddress} $协议: {ipPacket.Protocol} 长度: {raw.Data.Length}); } } public void Stop() { if (_device ! null) { _device.StopCapture(); _device.Close(); } } }这段代码的逻辑链路是OnPacketArrival在SharpPcap的内部捕获线程中被触发e.GetPacket()拿到RawCapture对象它包含原始帧字节Data和时间戳Timeval。Packet.ParsePacket根据链路层类型解析出以太网包再ExtractIPPacket提取IP层信息。注意我没有直接去解析TCP负载先把IP层打出来是因为实际调试时“通不通”往往在IP层就能看出大概。这里有个参数容易被忽略raw.Timeval.Date。这个时间戳是驱动记录接收时刻的系统时间不是事件触发的时间。如果你在回调里做耗时操作事件触发会滞后但时间戳仍是包到达的真实时刻分析要按它为准不要按DateTime.Now。3.3 把包写到pcap文件CaptureFileWriterDevice用法只打印到控制台是不够的现场抓包要存档。pcap文件是Wireshark的标准格式SharpPcap提供了CaptureFileWriterDevice可以把实时捕到的包原样写盘这样现场数据拿回来就能在办公室里离线分析。using SharpPcap.LibPcap; var writer new CaptureFileWriterDevice(capture.pcap); writer.Open(); _device.OnPacketArrival (sender, e) { writer.Write(e.GetPacket()); }; _device.StartCapture();说下参数CaptureFileWriterDevice构造函数的第一个参数是pcap文件路径文件不存在会自动创建。Write方法接收RawCapture对象这里直接把事件里的原始包写进去不经过任何解析因此写盘开销很小。需要注意pcap格式本身没有压缩抓大流量时文件增长很快一个千兆口跑满的话一小时可能几个GB现场抓包记得留足磁盘空间。更讲究的做法是按文件大小滚动切分比如每128MB关闭writer重新建一个新文件这个后面进阶章会提。3.4 停止捕获的顺序先停再关别让最后几帧丢在缓冲区里程序退出时停止捕获的顺序是有讲究的。正确顺序是先StopCapture()停掉捕获线程再Close()关闭设备最后关闭writer。如果直接Close()设备读取线程还在等包可能出现对象已释放的异常如果忘了StopCapture而直接退进程缓冲区里已收到但还没触发回调的帧就直接没了。public void Stop() { _device.StopCapture(); // 1. 停捕获线程 _device.Close(); // 2. 关设备 _writer?.Close(); // 3. 关pcap文件确保刷盘 }这三步的顺序我在第一次写SharpPcap程序时忽略过结果就是抓到的pcap文件总是缺最后几包当时还以为是驱动丢的后来才发现是关闭顺序不对。把上面几段代码拼起来就是一个能用的最小SharpPcap网络抓包程序接下来考虑的是怎么让它在真实流量下不乱、不卡、不丢包。4. 抓包参数与BPF过滤器让SharpPcap在高流量下不丢包、不卡UI4.1 用BPF过滤器收窄流量tcp端口、IP和协议的过滤规则写法很多人抓包习惯“先全抓回来再筛”现场流量一大就出问题。实际上SharpPcap支持BPF过滤语法过滤器在驱动层面就把不关心的包丢掉用户态拿到的已经是很窄的流量这比抓完再挑聪明得多。_device.Filter tcp and port 102;这一行表示只保留TCP协议且目的或源端口是102的包。西门子S7协议传统上用102端口这行过滤在上位机抓PLC通信时非常常用。常见的几条BPF表达式可以照抄需求BPF过滤串说明只看某台主机host 192.168.1.10匹配源或目的IP只看某个网段net 192.168.1.0/24按网段过滤只看某个端口port 502Modbus TCP常用只看TCP/UDPtcp或udp按传输层协议筛排除某种流量not arp去掉广播和ARP噪音组合条件tcp and host 192.168.1.10 and port 502多条件交叉设置过滤器有两点要特别提醒语法错误时Open或者设置Filter会直接抛异常不要觉得Filter赋值不报错就是成功过滤串里不能用变量拼接端口是int要用ToString()转一下。host后面跟的是IP不是主机名BPF语法不支持域名解析如果你写成host plc01SharpPcap不会启动DNS解析直接报语法错。4.2 三种典型场景的参数组合短时调试、长时间挂机、高流量镜像口同一套SharpPcap代码在不同场景下参数应该不同。我习惯按三种场景分别给参数场景ModeReadTimeoutBufferSize典型过滤器上位机联调、查连接问题Normal500默认tcp and port 102夜间长时间挂机采集Promiscuous10004MBnot arp and not icmp接交换机镜像口看全量流量Promiscuous1008MB尽量用BPF收窄BufferSize在SharpPcap里对应驱动内部的环形缓冲单位是字节。如果你在代码里用device.BufferSize 4 * 1024 * 1024要注意这个赋值必须在Open之前完成打开设备后设置不生效。Buffer越大应用层处理不过来时驱动缓冲能扛住的包越多不容易丢但代价是抓包停止时缓冲区里的数据要更久才能刷完。ReadTimeout的长短和CPU占用也有关。设成1000会让捕获线程每秒醒来一次哪怕没有包设成100则醒得更频繁CPU占用略高但延迟更小。嵌入式经验里有个朴素原则能过滤就先过滤能少抓就少抓驱动层面丢掉永远是成本最低的。4.3 回调里不要做耗时操作用队列把抓包和解析解耦SharpPcap的OnPacketArrival回调运行在捕获线程上你在回调里做的任何操作都直接影响抓包吞吐。最常见的新手翻车现场就是在回调里拼接字符串、操作ListBox控件、写数据库结果流量稍大UI就卡死包开始大量丢失。正确的做法是回调只做一件事把RawCapture丢进队列另一个消费者线程负责解析、显示、写库。常见做法是用BlockingCollectionTusing System.Collections.Concurrent; BlockingCollectionRawCapture packetQueue new BlockingCollectionRawCapture(1024); // 捕获线程回调只入队不做耗时操作 void OnPacketArrival(object sender, PacketCapture e) { try { packetQueue.Add(e.GetPacket()); } catch (InvalidOperationException) { // 队列已标记完成不再添加 } } // 消费者线程负责解析和显示 Task.Run(() { foreach (var raw in packetQueue.GetConsumingEnumerable()) { // 在这里做包解析、统计或写数据库 var packet Packet.ParsePacket(raw.LinkLayerType, raw.Data); // ... } });BlockingCollection的构造函数参数1024是队列容量上限。加了容量限制后生产者捕获回调在队列满时会阻塞相当于给驱动一个背压信号避免内存无限增长如果容量设得太大回调不阻塞内存会飞快涨。消费者线程用GetConsumingEnumerable阻塞等待有包才处理。这个模式做出来的抓包程序才能长时间挂机不卡是“程序及源码”类项目里最值得抄的一段代码。4.4 停止抓包时设置过滤器与丢失统计程序结束时除了停捕获线程还有一件事容易被忽略把驱动统计信息捞出来看看丢了多少包。SharpPcap的Statistics属性在打开设备后可用var stats _device.Statistics; Console.WriteLine($收到: {stats.ReceivedPackets}, 驱动丢弃: {stats.DroppedPackets});ReceivedPackets是驱动交给用户态的包数DroppedPackets是驱动缓冲满了以后直接扔掉的包数。如果DroppedPackets一直在涨说明你的消费速度跟不上驱动接收速度这时单靠调大Buffer不够必须检查过滤器是否收窄得不够或者回调里是否有隐藏的耗时操作。这个数字是评估抓包程序健康度的核心指标比看UI上的速率可靠得多。5. SharpPcap避坑与常见问题排查驱动兼容、过滤不生效、回调卡死的3个典型根因5.1 装了Npcap但CaptureDeviceList里一个设备都没有现象代码执行到CaptureDeviceList.Instance返回空列表Count为0或者用设备索引打开时抛异常提示No such device exists。原因Npcap安装时默认不勾选“WinPcap API-Compatible Mode”而SharpPcap的旧版本和部分libpcap调用路径走的是WinPcap兼容接口两边对不上驱动虽然装了但应用层调用不到。另一个常见原因是机器上还留着老WinPcap的残留和Npcap冲突。解决重新安装Npcap在安装向导里勾选“Install in WinPcap API-compatible Mode”装完后重启一次再跑枚举。Win10/11就不要再用老WinPcap了它没有经过新的签名认证装上去容易蓝屏或完全不工作。检查是否生效可以用Npcap自带的测试工具也可以回到代码里再跑一次设备枚举看到\Device\NPF_开头的设备就说明通了。5.2 过滤条件设了但一个包都收不到现象Filter赋值成功程序启动不报错但抓包列表一直是空的Wireshark在同一张网卡上能抓到大量包。原因这问题我排查过好几次最经常是原因不是过滤器错了而是赋值顺序不对。SharpPcap的Filter要求先Open设备、再设置Filter、最后StartCapture如果先启动了捕获再补设Filter某些版本根本不会把新过滤器同步给驱动等于过滤条件从未生效。还有可能是用一个网卡名称去Open了另一张物理网卡比如虚拟网卡和物理网卡名称搞混流量根本不经过这张卡。解决把Filter设置在Open之后、StartCapture之前确认顺序后重新试。如果还是不生效暂时清掉过滤器全量抓几秒看能不能收到包能收到就说明链路通问题在过滤器收不到就是设备选错了回到设备枚举逻辑里打印Description核对网卡。5.3 流量一大就丢包UI开始卡死现象程序在前几分钟正常流量峰值一来界面无响应丢包统计飙升关闭程序要等很久才退出。原因典型的回调阻塞问题。OnPacketArrival里直接更新UI控件UI线程被不断放大捕获线程又在往UI线程的消息队列里塞操作两边互相拖累。另外BufferSize没有调大驱动缓冲很快被填满只能丢包。解决按前面第4.3节的做法回调里只把RawCapture入队解析和UI更新放到消费者线程这能解决90%的卡死。UI线程需要刷新的话用Dispatcher.BeginInvoke或定时器批量刷新不要在回调里逐包操作控件。BufferSize同步调大到4MB以上再观察DroppedPackets是否还在增长。5.4 抓不到本机回环流量现象程序里访问本机的服务端口自己在同一台机器上抓包抓不到这些连接。原因回环流量根本不经过物理网卡Npcap默认不监听回环。如果你在SharpPcap里枚举设备会看到一个名为Adapter for loopback traffic capture的虚拟接口不选它回环包就永远和你无关。解决枚举设备时找到Description里带Loopback字样的设备Open它再抓。Npcap安装时也要保证勾选了对回环流的支持这项在Npcap安装界面有对应选项。做本地协议联调时选Loopback适配器比选物理网卡更靠谱避免了无线网卡、虚拟交换机造成的干扰。5.5 管理员权限导致的打开设备失败现象程序在自己机器上好好的拿到客户机器上打开设备就抛拒绝访问的异常或者设备枚举正常但Open时报错。原因Npcap的抓包接口需要管理员权限才能打开设备普通权限下无法访问驱动句柄。这是Windows用户权限模型决定的不是SharpPcap本身的问题。解决给程序加应用清单要求以管理员身份运行。在Visual Studio里给项目添加app.manifest文件把requestedExecutionLevel改为requireAdministrator。要注意这样改了之后从网络共享或某些脚本拉起来的程序会直接弹UAC确认框客户现场需要提前说明。如果不想强制管理员也可以只在抓包功能打开时提示用户以管理员身份重启程序这是我在交付上位机时更常用的方式避免整个主程序都被UAC卡住。6. 用CaptureFileReaderDevice做离线分析回放pcap验证过滤器统计不会再翻车在线抓包功能稳定后我一般会再给程序加一个离线分析能力——用SharpPcap读取之前保存的pcap文件而不是非得连网卡才能工作。SharpPcap里对应的是CaptureFileReaderDevice它可以像实时设备一样触发OnPacketArrival但数据源是文件速度不受网卡限制适合做批量统计与过滤器验证。using SharpPcap.LibPcap; var reader new CaptureFileReaderDevice(capture.pcap); reader.OnPacketArrival (sender, e) { var raw e.GetPacket(); var packet Packet.ParsePacket(raw.LinkLayerType, raw.Data); var ip packet.ExtractIPPacket(); var tcp packet.ExtractTcpPacket(); if (ip ! null) { Console.WriteLine(${ip.SourceAddress}:{(tcp ! null ? tcp.SourcePort : -)} $- {ip.DestinationAddress}:{(tcp ! null ? tcp.DestinationPort : -)} $长度 {raw.Data.Length}); } }; reader.Open(); reader.Capture(); reader.Close();Capture方法会同步把文件里的包全部过一遍直到文件读完不要和实时的StartCapture混淆。这样做的价值有两点一是离线验证BPF过滤器是否有用把过滤串填到reader.Filter再读同一个pcap看剩余包数直观判断过滤器收窄了多少二是做协议统计比如统计一段时间内TCP重传包的数量或者某个端口出现的频率这些统计结果反过来指导我们在线抓包时的过滤条件设置。把离线分析和在线抓包合在同一个程序里是我个人做抓包工具的习惯现场抓完包先备份原始pcap然后用这个离线流程分析和验证解析代码在离线数据上调试好再拿到在线环境去跑。如果一开始就在在线环境里边抓边改解析逻辑流量是实时流动的一个解析Bug就可能让你错过唯一的现场包重来的成本太高。这个习惯救过我不少次C#里碰到抓包数据异常先怀疑自己的解析代码再怀疑驱动别让程序背不该背的锅。希望帮到你。本文还有配套的精品资源点击获取