sniffer使用教程-全文預(yù)覽
【正文】 PP 的報文。 PPPOE 發(fā)現(xiàn)階段， PADI報文， Sniffer 解碼結(jié)構(gòu)如下所示。 Length： 包長度； 2 字節(jié)；整個包中所有域的長度。 響應(yīng)驗證字＝ MD5(Code+ID+Length+請求驗證字 +Attributes+Key) Attributes：屬性 圖 10 屬性格式 屬性域是 TLV結(jié)構(gòu)編碼。 報文 3： BAS 計費請求報文。 從中可以看出對于報文請求和響應(yīng)是通過 IP 地址 +Radius 協(xié)議域中 ID 號進(jìn)行配對識別的。通過比較可以方便看出 BAS 發(fā)出的 Challenge 值為“ 26fe8768341de68a72a1276771e1c1ca”與 PPPOE 中 CHAP 認(rèn)證過程中 BAS 發(fā)給 PPPOE 用戶的 Challenge值是一致的。 下面為 PPPOE 用戶 Radius 認(rèn)證的 Sniffer 捕獲的報文。可以 看出在 Radius 認(rèn)證過程中， BAS 設(shè)備將 Challenge 屬性和用戶加密后的密碼發(fā)給 Radius進(jìn)行驗證。 Radius報文是承載在 UPD協(xié) 議之上的，這里我沒不關(guān)注上層報文的結(jié)構(gòu)。 報文 5： BAS 計費結(jié)束報文。 報文 1： BAS 請求 Radius Server 認(rèn)證報文。 該驗證字分為兩種： 請求驗證字 Request Authenticator 用在請求報文中 ,必須為全局唯一的隨機值。 數(shù)據(jù)報文解碼詳解 59 P P P O E 會話階段P P P O E 協(xié)議頭 6 b y t e sPPP 協(xié)議頭2 b y t e s承載的 IP 協(xié)議報文P P P O ES e s s io n ID 號會話階段協(xié)議頭協(xié)議頭承載的 協(xié)議報文號 Radius協(xié)議 Radius 報文簡介 標(biāo)準(zhǔn) Radius 協(xié)議包結(jié)構(gòu) 圖 9 Radius 包格式 Code：包類型； 1 字節(jié)；指示 RADIUS 包的類型。 PPPOE 用戶 Radius 報文交互過程分析如下。 ? 長度域為 2 個字節(jié)，用來指示 PPPOE數(shù)據(jù)報文中凈載荷的長度。下圖為 PPPOE 的報文的格式： 數(shù)據(jù)報文解碼詳解 57 ? 數(shù)據(jù)報文最開始的 4 位為版本域，協(xié)議中給出了明確的規(guī)定，這個域的內(nèi)容填充 0x01。這是一個可變長度字段，用來定義目標(biāo)的邏輯地址（例如， IP 地址）的長度。這是一個可變長度字段，用來定義目標(biāo)的物理地址的長度。 SPA（發(fā)送站協(xié)議地址） 。已定義了兩種類型： ARP 請求（ 1）， ARP 回答（ 2）。這是一個 8比特字段，用來定義以字節(jié)為單位的邏輯地址的長 度。 HLEN（硬件長度） 。 PTYPE（協(xié)議類型） 。這是一個 16 比特字段，用來定義運行 ARP 的網(wǎng)絡(luò)的類型。t Fragment） 數(shù)據(jù)報文解碼詳解 54 DF=1，不允許分片 DF=0，允許分片 段偏移：分片后的分組在原分組中的相對位置，總共 13 比特，單位為 8 字節(jié) 壽命： TTL（ Time To Live）丟棄 TTL=0 的報文 協(xié)議：攜帶的是何種協(xié)議報文 1 ： ICMP 6 ： TCP 17： UDP 89： OSPF 頭部檢驗和：對 IP 協(xié)議首部的校驗 和 源 IP 地址： IP 報文的源地址 目的 IP 地址： IP 報文的目的地址 上圖為 Sniffer 對 IP 協(xié)議首部的解碼分析結(jié)構(gòu)，和 IP 首部各個字段相對應(yīng)，并給出了各個字段值所表示含義的英文解釋。并多了 LLC子層。 源目的 MAC 地址在解碼框中可以將前 3 字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡(luò)上 2 臺設(shè)備 IP 地址設(shè)置沖突，可以通過解碼翻譯出廠商信息方便的將故障設(shè)備找到，如 00e0fc 為華為， 010042 為 Cisco等等。 Sniffer 可以針對眾多協(xié)議進(jìn)行詳細(xì)結(jié)構(gòu)化解碼分析。 數(shù)據(jù)報文分層 如下圖所示，對于四層網(wǎng)絡(luò)結(jié)構(gòu)，其不同層次完成不通功能。通過應(yīng)用軟件可以清楚看到此功能。 發(fā)送模式有兩種：連續(xù)發(fā)送和定量發(fā)送?？傻玫饺缦碌膱笪木庉嫶翱冢? 發(fā)送模式發(fā)送內(nèi)容指定報文長度發(fā)送間隔發(fā)送模式發(fā)送內(nèi)容指定報文長度發(fā)送間隔 首先要指定數(shù)據(jù)幀發(fā)送的長度，然后從鏈路層開始，一個一個將報文填充完成，如果是 NetXray 支持可以解析的協(xié)議，從“ Decode”頁面中，可看見解析后的直觀表示。 在保存過濾規(guī)則條件按鈕“ Profiles”，你可以將你當(dāng)前設(shè)置的過濾規(guī)則，進(jìn)行保存，在捕獲主面板中，你可以選擇你保存的捕獲條件。如果選擇 IP 層捕獲條件則 ARP 等報文將被過濾掉。 統(tǒng)計分析 對于 Matrix， Host Table， Portocol Dist. Statistics 等提供了豐富的按照地址，協(xié)議等內(nèi)容做了豐富的組合統(tǒng)計，比較簡單，可以通過操作很快掌握這 里就不再詳細(xì)介紹了。 對于 MAC 地址， Snffier軟件進(jìn)行了頭部的替 換，如 00e0fc 開頭的就替換成Huawei，這樣有利于了解網(wǎng)絡(luò)上各種相關(guān)設(shè)備的制造廠商信息。對于解碼主要要求分析人員對協(xié)議比較熟悉，這樣才能看懂解析出來的報文。 專家分析系統(tǒng)專家分析系統(tǒng)捕獲報文的圖形分析捕獲報文的其他統(tǒng)計信息專家分析系統(tǒng)專家分析系統(tǒng)捕獲報文的圖形分析捕獲報文的其他統(tǒng)計信息 專家分析 專家分分析系統(tǒng)提供了一個只能的分析平臺，對網(wǎng)絡(luò)上的流量進(jìn)行了一些分析對于分析出的診斷結(jié)果可以查看在線幫助獲得。下圖為在軟件中快捷鍵的位置。該軟件安裝在 Windows 98操作系統(tǒng)上，Sniffer 可以選擇撥號適配器對窄帶撥號進(jìn)行操作。 Sniffer 軟件比 較大，運行時需要的計算機內(nèi)存比較大，否則運行比較慢，這也是它與 Netxray 相比的一個缺點。本文針對用 S
高考資料相關(guān)推薦
鄂ICP備17016276號-1