udp原始套接字可绕过内核udp层，直接构造/发送自定义udp包并接收原始ip层数据包，用于端口探测（结合icmp port unreachable判断）、协议指纹识别、异常载荷测试、广播/多播探测及被动响应捕获，但需root权限、手动处理ip/udp头与校验和，并注意跨平台差异。
UDP原始套接字（Raw Socket）允许程序绕过内核协议栈的UDP层封装，直接构造和发送自定义UDP数据包，同时也能接收原始IP层的数据包（包括ICMP、TCP、UDP等）。这在网络探测工具（如端口扫描器、主机发现工具、协议指纹识别器）中非常关键——它提供了对网络通信底层细节的完全控制能力。
实现无状态UDP端口探测
标准UDP socket无法判断目标端口是否开放，因为UDP本身无连接、无响应机制。但通过Raw Socket可手动构造UDP包并结合ICMP错误报文（如“Port Unreachable”）进行间接判断：向目标UDP端口发送一个合法或畸形的UDP包，若收到ICMP Type 3 Code 3（Destination Port Unreachable），说明该端口关闭；若超时未返回，则可能开放或被防火墙静默丢弃。
- 需开启SOCK_RAW + IPPROTO_UDP，并设置IP_HDRINCL选项自行填充IP首部
- 必须以root或管理员权限运行（Linux/Windows均受限）
- 注意校验和计算：若IP_HDRINCL启用，UDP校验和可设为0（禁用），但部分系统或中间设备可能要求正确值
构造自定义UDP载荷用于协议探测
许多服务（如DNS、SNMP、NTP）在UDP上运行，其响应行为具有指纹特征。Raw Socket支持发送任意长度和内容的UDP载荷，便于触发特定响应：
- 向53端口发送最小DNS查询（如仅含Transaction ID和QR=0），观察是否返回格式化响应
- 向161端口发送空SNMP GetRequest PDU，检测SNMP服务是否存在
- 构造异常UDP包（如超长payload、非法字段）测试服务健壮性或WAF识别逻辑
绕过socket API限制进行多播/广播探测
普通UDP socket对广播地址（255.255.255.255）或受限多播组有严格权限检查，而Raw Socket可自由指定目的IP和TTL，适合局域网主动探测：
- 向224.0.0.251（mDNS）发送空UDP包，捕获局域网内设备的mDNS响应
- 设置TTL=1向本地子网广播，配合混杂模式网卡抓包，实现隐蔽式存活探测
- 避免受SO_BROADCAST选项限制，也不依赖系统路由表对广播地址的特殊处理
接收原始UDP响应与ICMP反馈
使用Raw Socket绑定到IPPROTO_IP可接收所有经过本机IP层的数据包，无需依赖目标端口是否监听。这对被动探测至关重要：
- 发送UDP探测包后，监听同一套接字上的ICMP错误报文，解析源IP+端口+类型码定位失败原因
- 可过滤出非本机UDP端口的入向包（如其他进程监听的端口响应），辅助服务映射
- 需自行解析IP头、ICMP头及嵌套的UDP/IP头（因ICMP错误报文携带原始IP包前8字节）
不复杂但容易忽略：Raw Socket的跨平台差异大——Linux需CAP_NET_RAW能力或root，Windows需WSAStartup后调用WSAIoctl启用IP_HDRINCL，且默认禁用ICMP接收；实际开发中建议封装平台适配层，并始终做权限与功能可用性检查。
