简介本资源是一个基于QT5与WinPcap开发的轻量级网络抓包工具功能与界面高度仿照Wireshark面向网络工程初学者、协议分析学习者及C/Qt开发实践者解决网络数据包捕获、实时解析、过滤展示与基础统计等核心需求适用于协议教学演示、本地流量调试及网络安全原理验证等场景。压缩包共392个文件含143个HTML帮助文档提供使用说明与API参考、27个C源文件与16个CPP文件构成核心抓包与解析逻辑、28个VCProj/DSP/SLN等项目配置文件支持VS与Qt Creator多环境编译以及PNG/GIF图标资源、UI界面定义文件.ui和可执行程序.exe整体大小为8.15MB。已有196人下载学习读者可直接运行调试完整GUI工程深入理解QT信号槽机制在实时网络监控中的应用掌握WinPcap底层抓包流程与原始数据包解析方法并复用其模块化代码结构开展二次开发。1. 为什么自己写一个“轻量级抓包器”比调 Wireshark 的 GUI 接口更可控QT5 WinPcap 组合在工业现场调试、嵌入式网关日志采集和教学演示中的真实价值你有没有遇到过这些场景在客户现场的工控机上Wireshark 因缺少 .NET Framework 或 Qt 运行时直接打不开想把抓包功能嵌进已有 QT5 工程里但 libpcap 在 Windows 上编译链太重而 Npcap 又强制要求管理员权限、还常和杀毒软件冲突或者带学生做网络协议实验需要屏蔽 Wireshark 里几十个干扰面板只留原始帧十六进制简单过滤栏——这时候“仿 Wireshark 的 Sniffer.zip”就不是玩具项目而是能立刻落地的生产工具。这个基于 QT5 和 WinPcap 实现的网络抓包程序核心目标很明确不追求全协议解析那是 Wireshark 的事而是用最小依赖、最可控线程模型、最易集成的 C/Qt 架构完成「启动即捕获、双击看 Raw、右键设过滤、导出为 pcap」这四件事。它适合三类人需要把抓包能力嵌入自有 QT5 管理界面的设备厂商教计算机网络课、要让学生看清以太网帧结构而非被 Wireshark 的统计图表带偏的教师以及在老旧 Windows 7 工控环境里连 Wireshark 3.0 都装不上的现场工程师。它不替代 Wireshark但当你需要“确定某台 PLC 是否发出了 ARP 请求”“验证 Modbus TCP 报文长度是否超限”“在无外网的产线隔离网里快速确认 DNS 转发路径”时它比打开 Wireshark 再等 8 秒加载插件快得多。2. 从零构建可运行的抓包主窗口QT5 UI 设计与 WinPcap 初始化的耦合要点2.1 主窗口布局必须绕开 QT5 的“拖拽文件玄学”陷阱Wireshark 的拖拽导入 pcap 文件功能在 QT5 中极易翻车——尤其当工程启用了QApplication::setAttribute(Qt::AA_EnableHighDpiScaling)且系统 DPI 100% 时dragEnterEvent()常收不到信号或dropEvent()中event-mimeData()-urls()返回空列表。这不是 bug是 QT5 对 Windows Shell Drag-and-Drop 消息的封装缺陷。正确做法是放弃 drag-drop改用显式按钮触发文件选择// mainwindow.cpp void MainWindow::on_actionOpen_Pcap_triggered() { QString fileName QFileDialog::getOpenFileName( this, tr(Open PCAP File), , tr(PCAP files (*.pcap *.cap);;All files (*)) ); if (!fileName.isEmpty()) { loadPcapFile(fileName); } }提示不要用QFileDialog::getOpenFileNames()多选WinPcap 的pcap_open_offline()一次只支持单文件也不要尝试QFileSystemModel监听目录变化来“模拟拖拽”这会引入额外线程竞争且无法响应用户快捷键CtrlO。UI 布局采用QSplitter分三栏左侧QTreeWidget显示实时包列表列No.、Time、Source、Destination、Protocol、Length、Info中间QTextEdit显示十六进制原始帧禁用编辑启用setLineWrapMode(QTextEdit::NoWrap)右侧QPlainTextEdit显示 ASCII 解码自动换行。关键约束QTreeWidget必须设置setSortingEnabled(false)否则插入新包时排序会打断时间序导致“最新包不在底部”这种反直觉问题。2.2 WinPcap 初始化必须绑定到 QT5 事件循环否则线程死锁WinPcap 的pcap_loop()是阻塞式回调若直接在主线程调用整个 QT5 界面会冻结。常见错误写法是// ❌ 错误在槽函数里直接 pcap_loop void MainWindow::startCapture() { handle pcap_open_live(devices[0].name, 65536, PCAP_OPENFLAG_PROMISCUOUS, 1000, errbuf); pcap_loop(handle, 0, packetHandler, (u_char*)this); // 死锁UI 卡死 }正确解法是创建独立捕获线程并用QMetaObject::invokeMethod()安全线程通信// capturethread.h class CaptureThread : public QThread { Q_OBJECT public: explicit CaptureThread(QObject *parent nullptr); void run() override; void stop(); signals: void packetReceived(const QByteArray rawData, const struct pcap_pkthdr *header); private: pcap_t *handle; bool m_stopRequested; }; // capturethread.cpp void CaptureThread::run() { handle pcap_open_live(deviceName.toStdString().c_str(), 65536, PCAP_OPENFLAG_PROMISCUOUS, 1000, errbuf); if (!handle) return; while (!m_stopRequested) { struct pcap_pkthdr *header; const u_char *pkt_data; int res pcap_next_ex(handle, header, pkt_data); if (res 1) { QByteArray data(pkt_data, header-len); emit packetReceived(data, header); // 信号跨线程安全传递 } } pcap_close(handle); }注意pcap_open_live()的timeout_ms参数必须设为 10001秒不能为 0。设为 0 会导致pcap_next_ex()在无包时无限等待m_stopRequested标志永远无法检查设为 1000 则每秒至少检查一次退出标志响应延迟可控。2.3 设备枚举必须过滤虚拟网卡和环回适配器WinPcap 枚举出的设备列表常包含Npcap Loopback Adapter、VirtualBox Host-Only Ethernet Adapter等无效项直接让用户选择会引发pcap_open_live()失败。需在初始化时预筛// mainwindow.cpp void MainWindow::enumerateDevices() { pcap_if_t *alldevs; char errbuf[PCAP_ERRBUF_SIZE]; if (pcap_findalldevs(alldevs, errbuf) -1) return; for (pcap_if_t *d alldevs; d ! nullptr; d d-next) { // 过滤条件必须有描述符非空、非环回、非虚拟 if (d-description !strstr(d-description, Loopback) !strstr(d-description, Virtual) !strstr(d-description, Hyper-V)) { deviceList.append(QString::fromLocal8Bit(d-name)); deviceDesc.append(QString::fromLocal8Bit(d-description)); } } pcap_freealldevs(alldevs); }提示pcap_findalldevs()返回的d-name是 Windows 内部设备名如\\Device\\NPF_{A1B2C3D4-E5F6-7890-G1H2-I3J4K5L6M7N8}不能直接用于界面显示必须用d-description如 “Intel(R) Ethernet Connection I219-V”但pcap_open_live()必须传d-name这是 WinPcap 的硬性约定。3. 抓包数据的实时渲染与协议简析如何让十六进制视图真正“可读”3.1 十六进制视图必须按 16 字节分组并同步 ASCII 列Wireshark 的十六进制面板之所以易读在于它严格对齐每行 16 字节左侧地址偏移0000, 0010…中间十六进制每 2 字节空格分隔右侧 ASCII不可见字符用.替代。QT5 的QTextEdit默认不支持等宽对齐需手动格式化// utils.cpp QString formatHexDump(const QByteArray data) { QString result; for (int i 0; i data.size(); i 16) { QString line; // 地址偏移 line QString(%1).arg(i, 4, 16, QChar(0)).toUpper() ; // 十六进制区16 字节 for (int j 0; j 16; j) { if (i j data.size()) { line QString(%1).arg((uchar)data[ij], 2, 16, QChar(0)).toUpper() ; } else { line ; } } // ASCII 区 line ; for (int j 0; j 16; j) { if (i j data.size()) { uchar c data[ij]; line (c 0x20 c 0x7E) ? QString(c) : .; } else { line ; } } result line \n; } return result; } // mainwindow.cpp void MainWindow::displayPacket(const QByteArray rawData) { ui-hexView-setPlainText(formatHexDump(rawData)); }关键细节QTextEdit::setPlainText()比insertPlainText()更可靠避免光标跳动ASCII 区判断c 0x20 c 0x7E是标准可打印 ASCII 范围比QChar::isPrint()更精准后者会包含 Unicode 符号。3.2 协议简析只需定位关键字段不必全协议栈解析教学和现场调试最常查的是源/目的 MAC、IP 地址、端口号、ICMP 类型、TCP 标志位。与其啃 RFC 实现完整解析不如用偏移硬编码快速提取协议层字段偏移字节提取逻辑EthernetSrc MAC0rawData.mid(0,6).toHex(:)EthernetDst MAC6rawData.mid(6,6).toHex(:)IPSrc IP26QHostAddress(rawData.mid(26,4)).toString()IPDst IP30QHostAddress(rawData.mid(30,4)).toString()TCPSrc Port34qFromBigEndianquint16(rawData.data()34)TCPDst Port36qFromBigEndianquint16(rawData.data()36)ICMPType34rawData[34]IPv4 头长固定 20 字节ICMP 在 IP 后// packetparser.cpp void PacketParser::parseBasicInfo(const QByteArray rawData, PacketInfo info) { if (rawData.size() 14) return; // 至少 Ethernet 头 quint16 ethType qFromBigEndianquint16(rawData.data()12); if (ethType 0x0800) { // IPv4 if (rawData.size() 34) return; info.srcIp QHostAddress(rawData.mid(26,4)).toString(); info.dstIp QHostAddress(rawData.mid(30,4)).toString(); quint8 ipHeaderLen (rawData[14] 0x0F) * 4; // IHL 字段 quint8 protocol rawData[23]; if (protocol 6 rawData.size() 34 ipHeaderLen) { // TCP info.protocol TCP; info.srcPort qFromBigEndianquint16(rawData.data()34ipHeaderLen); info.dstPort qFromBigEndianquint16(rawData.data()36ipHeaderLen); } else if (protocol 1 rawData.size() 34 ipHeaderLen) { // ICMP info.protocol ICMP; info.icmpType rawData[34ipHeaderLen]; } } }血泪经验qFromBigEndianquint16()必须传rawData.data()offset不能传rawData.mid(offset,2).data()—— 后者返回的指针可能未对齐导致 x86_64 下 SIGBUS 崩溃。4. 过滤器与导出功能的工程化实现BPF 过滤语法与 pcap 文件写入的边界处理4.1 BPF 过滤器必须预编译避免运行时语法错误中断捕获Wireshark 的过滤框输入ip.addr 192.168.1.100很方便但 WinPcap 的pcap_compile()不支持高级语法只认经典 BPF如host 192.168.1.100。若用户输错pcap_compile()返回 -1但不会告诉你哪错了。必须做两层防护前端校验用正则预筛明显非法字符后端 fallback编译失败时自动降级为“全量捕获 应用层过滤”// mainwindow.cpp bool MainWindow::compileBpfFilter(const QString filterStr) { // 1. 前端校验禁止括号嵌套、SQL 注入特征 QRegExp illegal([;\\\\\\\(\\)]); if (illegal.indexIn(filterStr) ! -1) { QMessageBox::warning(this, Filter Error, Filter contains illegal characters); return false; } // 2. 尝试编译 struct bpf_program fp; char errbuf[PCAP_ERRBUF_SIZE]; if (pcap_compile(handle, fp, filterStr.toLocal8Bit().constData(), 1, PCAP_NETMASK_UNKNOWN) -1) { // 3. 降级记录警告继续捕获后续用应用层过滤 qWarning() BPF compile failed: filterStr , using app-level filter; bpfCompiled false; return true; // 不中断捕获 } bpfCompiled true; if (pcap_setfilter(handle, fp) -1) { pcap_freecode(fp); return false; } pcap_freecode(fp); return true; }注意pcap_setfilter()必须在pcap_open_live()之后、pcap_loop()或pcap_next_ex()之前调用否则无效且每次更换过滤器都必须重新pcap_freecode()否则内存泄漏。4.2 导出 pcap 文件必须严格遵循 pcap 文件头格式很多“仿 Wireshark”项目导出的 pcap 文件 Wireshark 打不开根本原因是文件头 magic number 错误或时间戳精度不匹配。WinPcap 要求文件头 24 字节0xa1b2c3d4小端或0xd4c3b2a1大端Windows 默认用0xa1b2c3d4纳秒时间戳但 Wireshark 期望微秒需在pcap_pkthdr中转换// filewriter.cpp bool PcapWriter::writeHeader(QFile file) { const quint32 magic 0xa1b2c3d4; // native byte order const quint16 versionMajor 2; const quint16 versionMinor 4; const quint32 thiszone 0; const quint32 sigfigs 0; const quint32 snaplen 65536; const quint32 network 1; // DLT_EN10MB QDataStream out(file); out.setByteOrder(QDataStream::LittleEndian); out magic versionMajor versionMinor thiszone sigfigs snaplen network; return file.error() QFile::NoError; } bool PcapWriter::writePacket(QFile file, const QByteArray data, const struct pcap_pkthdr *header) { // WinPcap 时间戳是微秒级但 pcap 文件头声明为纳秒需保持一致 // 直接写 header-ts.tv_sec 和 header-ts.tv_usecWireshark 兼容 QDataStream out(file); out.setByteOrder(QDataStream::LittleEndian); out header-ts.tv_sec header-ts.tv_usec header-caplen header-len; file.write(data); return file.error() QFile::NoError; }关键点pcap_pkthdr中的caplen是实际捕获长度可能 lenlen是原始包长二者必须如实写入否则 Wireshark 解析时会丢包。5. 避坑指南WinPcap 在 Windows 10/11 上的 4 个致命兼容性问题及修复方案5.1 现象程序启动时报错 “Unable to load WinPcap DLL: wpcap.dll not found”原因WinPcap 已停止维护其wpcap.dll与 Windows 10 1809 的内核签名策略冲突系统默认阻止加载。Npcap 虽兼容但Sniffer.zip原始代码链接的是 WinPcap。解决方案 A推荐替换为 Npcap下载npcap-sdk-1.00.zip将Include/和Lib/替换原工程目录链接Packet.lib和wpcap.libNpcap 兼容 WinPcap API方案 B在 Windows 组策略中启用“允许加载未签名驱动”路径计算机配置 → 管理模板 → 系统 → 驱动程序安装 → 设备驱动程序的代码签名→ 设为“忽略”5.2 现象选择网卡后pcap_open_live()返回 NULLerrbuf提示 “Error opening adapter: The system cannot find the path specified.”原因WinPcap/Npcap 安装时未勾选“WinPcap 4.1.3 Compatible API”导致pcap_findalldevs()枚举的设备名无法被pcap_open_live()识别。解决重装 Npcap安装向导中务必勾选“Install Npcap in WinPcap API-compatible Mode”若已安装运行C:\Windows\SysWOW64\npcap\install.exe /winpcap_mode管理员权限5.3 现象抓包时 CPU 占用率 100%pcap_next_ex()返回速度极慢原因pcap_open_live()的snaplen参数设得过大如 65536且网卡流量大时WinPcap 内核缓冲区溢出导致频繁重填。解决将snaplen从65536降至1500以太网 MTU教学和调试足够在pcap_open_live()后立即调用pcap_setmintocopy(handle, 1024)减少内核到用户态拷贝次数5.4 现象导出的 pcap 文件 Wireshark 打开后显示 “Packet size limited during capture”原因pcap_open_live()的snaplen设为 1500但某些协议如 Jumbo Frame实际包长超限Wireshark 误判为截断。解决在 UI 中添加“最大捕获长度”下拉框默认 1500提供 9000Jumbo Frame选项导出时在 pcap 文件注释区写入实际snaplen值供后续分析参考// 写入自定义注释需修改 pcap 文件头略复杂此处省略实现 // 更务实做法在导出对话框标题栏显示 “Snaplen1500, may truncate jumbo frames”6. 让抓包器真正“可用”的三个进阶技巧离线分析加速、协议着色规则、一键复制原始帧6.1 离线 pcap 分析必须预加载索引避免滑动卡顿当加载一个 500MB 的 pcap 文件时QTreeWidget::addTopLevelItem()逐条插入 20 万条目UI 会卡死 30 秒以上。解决方案是预建内存索引 懒加载// pcaploader.cpp struct PcapIndexEntry { qint64 fileOffset; // 在 pcap 文件中的偏移 quint32 tsSec; // 时间戳秒 quint32 tsUsec; // 时间戳微秒 quint32 capLen; // 捕获长度 }; class PcapIndex { public: QVectorPcapIndexEntry entries; QFile pcapFile; bool buildIndex(const QString filePath) { pcapFile.setFileName(filePath); if (!pcapFile.open(QIODevice::ReadOnly)) return false; // 跳过 pcap 文件头24 字节 pcapFile.seek(24); entries.clear(); while (!pcapFile.atEnd()) { PcapIndexEntry entry; QByteArray hdrBuf pcapFile.read(16); // pcap_pkthdr 16 字节 if (hdrBuf.size() 16) break; QDataStream ds(hdrBuf); ds.setByteOrder(QDataStream::LittleEndian); ds entry.tsSec entry.tsUsec entry.capLen; entry.fileOffset pcapFile.pos(); entries.append(entry); pcapFile.skipRawData(entry.capLen); // 跳过包数据 } return true; } QByteArray loadPacket(int index) { if (index 0 || index entries.size()) return QByteArray(); pcapFile.seek(entries[index].fileOffset); return pcapFile.read(entries[index].capLen); } };使用时先buildIndex()再ui-treeWidget-setRowCount(index.entries.size())最后在QTreeWidget::itemDoubleClicked信号中调用loadPacket(row)—— 用户滚动时才加载数据首屏 0.2 秒。6.2 协议着色规则用 QBrush 实现比 Wireshark 更灵活Wireshark 的着色规则需写 Lua 脚本而 QT5 可直接用QTreeWidgetItem::setBackground()动态着色// mainwindow.cpp void MainWindow::colorizePacketItem(QTreeWidgetItem *item, const PacketInfo info) { if (info.protocol TCP info.tcpFlags TH_SYN) { item-setBackground(0, QBrush(Qt::yellow)); // SYN 包高亮 } else if (info.protocol ICMP info.icmpType 8) { item-setBackground(0, QBrush(Qt::green)); // Ping 请求 } else if (info.srcIp 192.168.1.1 || info.dstIp 192.168.1.1) { item-setBackground(0, QBrush(Qt::red)); // 标记网关流量 } }进阶技巧把着色规则存为 JSON 配置文件支持用户自定义{protocol:TCP,flags:SYN,color:#FFD700}重启即生效。6.3 一键复制原始帧适配不同分析场景右键菜单加三项Copy Hex String→00112233445566778899aabbccddeeff...无空格便于粘贴到在线解析器Copy Hex with Spaces→00 11 22 33 44 55 66 77 88 99 aa bb cc dd ee ff ...Wireshark 兼容格式Copy as C Array→static uint8_t pkt[] {0x00,0x11,0x22,...};嵌入式开发直接用// mainwindow.cpp void MainWindow::on_treeWidget_customContextMenuRequested(const QPoint pos) { QMenu menu; QAction *copyHex menu.addAction(Copy Hex String); QAction *copyHexSpaced menu.addAction(Copy Hex with Spaces); QAction *copyCArray menu.addAction(Copy as C Array); QAction *selected menu.exec(ui-treeWidget-viewport()-mapToGlobal(pos)); if (!selected) return; QByteArray raw getCurrentPacketRawData(); if (selected copyHex) { QApplication::clipboard()-setText(QString(raw.toHex())); } else if (selected copyHexSpaced) { QString hex raw.toHex( ); QApplication::clipboard()-setText(hex); } else if (selected copyCArray) { QString cArray static uint8_t pkt[] {; for (int i 0; i raw.size(); i) { cArray QString(0x%1).arg((uchar)raw[i], 2, 16, QChar(0)); if (i raw.size()-1) cArray ,; } cArray };; QApplication::clipboard()-setText(cArray); } }我带过的三个工业项目里客户最终都没用 Wireshark —— 因为他们的 HMI 系统就是 QT5 写的直接把Sniffer的CaptureThread和PacketParser拆出来集成进设备诊断页点击“抓包”按钮5 秒内就能看到 Modbus TCP 事务的原始帧。这比教客户装 Wireshark、找网卡、设过滤器、导出再分析效率高十倍。真正的工程价值从来不是“功能多”而是“嵌入成本低”。希望帮到你。本文还有配套的精品资源点击获取