网络数据包处理的问题，请赐教！

书上说可以根据格式来检测包比如E－MAIL的IP层（HTTP）可以搜索这些词：“to=","&subject=","& cc=","bcc="&draft="等，那么请问在NDIS这里得到的包是不是就可以搜索了？NDIS应该是在网络层吧，这时包的数据应该都是二进制数据吧？如果是HTTP是不是应该在表示层捕获的包里面的数据就是从浏览器的查看－查看源文件显示的是一样的？