我应该往哪个方向发展（libraries、documents）？
更新
有人可以说明如何使用 winpcap 来完成这项工作吗？
更新 2
如何验证数据包是否为 HTTP 数据包？
【问题讨论】：
如果你所说的“劫持”是指嗅探数据包，那么你应该用 WinPcap 做什么：
找到您要使用的设备 - See WinPcap tutorial。
使用pcap_open打开设备
// Open the device
char errorBuffer[PCAP_ERRBUF_SIZE];
pcap_t *pcapDescriptor = pcap_open(source, // name of the device
snapshotLength, // portion of the packet to capture
// 65536 guarantees that the whole packet will be captured on all the link layers
attributes, // 0 for no flags, 1 for promiscuous
readTimeout, // read timeout
NULL, // authentication on the remote machine
errorBuffer); // error buffer
使用从描述符中读取数据包的函数，例如pcap_loop
int result = pcap_loop(pcapDescriptor, count, functionPointer, NULL);
这将循环直到发生错误或使用特殊方法调用中断循环。它会为每个数据包调用functionPointer。
在函数指向的实现解析数据包的东西，它应该看起来像pcap_handler：
typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *,
const u_char *);
现在剩下的就是解析缓冲区位于const u_char* 中且长度位于pcap_pkthdr 结构caplen 字段中的数据包。
假设您有基于 TCP 的 HTTP GET over IPv4 over Ethernet 数据包，您可以：
数据包的其余部分应该是 HTTP 文本。第一个和第二个空格之间的文本应该是 URI。如果太长，您可能需要进行一些 TCP 重建，但大多数 URI 都足够小，可以放入一个数据包中。
更新：在代码中看起来是这样的（我没有测试就写了）：
int tcp_len, url_length;
uchar *url, *end_url, *final_url, *tcp_payload;
... /* code in http://www.winpcap.org/docs/docs_40_2/html/group__wpcap__tut6.html */
/* retireve the position of the tcp header */
ip_len = (ih->ver_ihl & 0xf) * 4;
/* retireve the position of the tcp payload */
tcp_len = (((uchar*)ih)[ip_len + 12] >> 4) * 4;
tcpPayload = (uchar*)ih + ip_len + tcp_len;
/* start of url - skip "GET " */
url = tcpPayload + 4;
/* length of url - lookfor space */
end_url = strchr((char*)url, ' ');
url_length = end_url - url;
/* copy the url to a null terminated c string */
final_url = (uchar*)malloc(url_length + 1);
strncpy((char*)final_url, (char*)url, url_length);
final_url[url_length] = '\0';
您还可以通过创建和设置 BPF 仅过滤 HTTP 流量。 See WinPcap tutorial。您可能应该使用过滤器"tcp and dst port 80"，它只会为您提供计算机发送到服务器的请求。
如果您不介意使用 C#，您可以尝试使用 Pcap.Net，它会更轻松地为您完成所有这些工作，包括解析数据包的以太网、IPv4 和 TCP 部分。
【讨论】：
pcap_handler内的HTTP数据包？
这听起来可能有点矫枉过正，但 Web 代理/缓存服务器 Squid 正是这样做的。几年前，我的公司使用它，我不得不在本地调整代码以在访问某些 URL 时提供一些特殊警告，这样我就知道它可以做你想做的事。您只需要找到您想要的代码并将其用于您的项目。我使用了 2.X 版本，我看到它们现在已经达到 3.X，但我怀疑代码的这方面在内部没有太大变化。
您没有说 Windows 是“要求”还是“偏好”，但根据该网站： http://www.squid-cache.org/ 两者都可以。
【讨论】：
【讨论】：
您可能想查看tcpdump 的源代码以了解它是如何工作的。 tcpdump 是一个 Linux 命令行实用程序，用于监视和打印网络活动。不过，您需要对机器具有 root 访问权限才能使用它。
【讨论】：