sniffer 數(shù)據(jù)報(bào)文解碼詳解

1、1Sniffer數(shù)據(jù)報(bào)文解碼詳解數(shù)據(jù)報(bào)文解碼詳解本章主要對(duì)：數(shù)據(jù)報(bào)文分層、以太報(bào)文結(jié)構(gòu)、IP協(xié)議、ARP協(xié)議、PPPOE協(xié)議、Radius協(xié)議等的解碼分析做了簡(jiǎn)單的描述，目的在于介紹Sniffer軟件在協(xié)議分析中的功能作用并通過解碼分析對(duì)協(xié)議進(jìn)一步了解。對(duì)其其他協(xié)議讀者可以通過協(xié)議文檔和Sniffer捕獲的報(bào)文對(duì)比分析。數(shù)據(jù)報(bào)文分層如下圖所示，對(duì)于四層網(wǎng)絡(luò)結(jié)構(gòu)，其不同層次完成不通功能。每一層次有眾多協(xié)議組成。如上圖所示在Sniffer的

2、解碼表中分別對(duì)每一個(gè)層次協(xié)議進(jìn)行解碼分析。鏈路層對(duì)應(yīng)“DLC”；網(wǎng)絡(luò)層對(duì)應(yīng)“IP”；傳輸層對(duì)應(yīng)“UDP”；應(yīng)用層對(duì)對(duì)應(yīng)的是“B”等高層協(xié)議。Sniffer可以針對(duì)眾多協(xié)議進(jìn)行詳細(xì)結(jié)構(gòu)化解碼分析。并利用樹形結(jié)構(gòu)良好的表現(xiàn)出來。以太報(bào)文結(jié)構(gòu)EtherII以太網(wǎng)幀結(jié)構(gòu)Ether_II以太網(wǎng)幀類型報(bào)文結(jié)構(gòu)為：目的MAC地址（6bytes）＋源MAC地址＋（6bytes）上層協(xié)議類型（2bytes）＋數(shù)據(jù)字段（461500bytes)＋校驗(yàn)（4b

3、ytes）。Sniffer自動(dòng)添加時(shí)間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer自動(dòng)添加時(shí)間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer會(huì)在捕獲報(bào)文的時(shí)候自動(dòng)記錄捕獲的時(shí)間，在解碼顯示時(shí)顯示出來，在分析問題時(shí)提供了很好的時(shí)間記錄。源目的MAC地址在解碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡(luò)上2臺(tái)設(shè)備IP地址設(shè)置沖突，可以通過解碼翻譯出廠商信息方便的將故障設(shè)備找到，如00e0fc為華為，01

4、0042為Cisco等等。如果需要查看詳細(xì)的MAC地址用鼠標(biāo)在解碼框中點(diǎn)擊此MAC地址，在下面的表格中會(huì)突出顯示該地址的16進(jìn)制編碼。IP網(wǎng)絡(luò)來說Ethertype字段承載的時(shí)上層協(xié)議的類型主要包括0x800為IP協(xié)議，0x806為ARP協(xié)議。應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設(shè)備驅(qū)動(dòng)程序及接口卡應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設(shè)備驅(qū)動(dòng)

5、程序及接口卡Ether_IIDMACSMACTypeDATAPADFCSEther_IIDMACSMACTypeDATAPADFCS3上圖為Sniffer對(duì)IP協(xié)議首部的解碼分析結(jié)構(gòu)，和IP首部各個(gè)字段相對(duì)應(yīng)，并給出了各個(gè)字段值所表示含義的英文解釋。如上圖報(bào)文協(xié)議（Protocol）字段的編碼為0x11，通過Sniffer解碼分析轉(zhuǎn)換為十進(jìn)制的17，代表UDP協(xié)議。其他字段的解碼含義可以與此類似，只要對(duì)協(xié)議理解的比較清楚對(duì)解碼內(nèi)容的理解

6、將會(huì)變的很容易。ARP協(xié)議以下為ARP報(bào)文結(jié)構(gòu)ARP分組具有如下的一些字段：HTYPE（硬件類型）。這是一個(gè)16比特字段，用來定義運(yùn)行ARP的網(wǎng)絡(luò)的類型。每一個(gè)局域網(wǎng)基于其類型被指派給一個(gè)整數(shù)。例如，以太網(wǎng)是類型1。ARP可使用在任何網(wǎng)絡(luò)上。PTYPE（協(xié)議類型）。這是一個(gè)16比特字段，用來定義協(xié)議的類型。例如，對(duì)IPv4協(xié)議，這個(gè)字段的值是0800。ARP可用于任何高層協(xié)議。HLEN（硬件長(zhǎng)度）。這是一個(gè)8比特字段，用來定義以字節(jié)為單

7、位的物理地址的長(zhǎng)度。例如，對(duì)以太網(wǎng)這個(gè)值是6。PLEN（協(xié)議長(zhǎng)度）。這是一個(gè)8比特字段，用來定義以字節(jié)為單位的邏輯地址的長(zhǎng)度。例如，對(duì)IPv4協(xié)議這個(gè)值是4。OPER（操作）。這是一個(gè)16比特字段，用來定義分組的類型。已定義了兩種類型：ARP請(qǐng)求（1），ARP回答（2）。SHA（發(fā)送站硬件地址）。這是一個(gè)可變長(zhǎng)度字段，用來定義發(fā)送站的物理地址的長(zhǎng)度。例如，對(duì)以太網(wǎng)這個(gè)字段是6字節(jié)長(zhǎng)。SPA（發(fā)送站協(xié)議地址）。這是一個(gè)可變長(zhǎng)度字段，用來定