【正文】 有互聯(lián)網(wǎng)絡(luò)和 Inter中使用的標(biāo)準(zhǔn) IP版本 號 是 4（即 IPv4） 。 (7)片偏移 (fragment offset)：長度為 13位，表示分片相對于原始 IP數(shù)據(jù)報有效載荷的偏移量。然后就可以對 TCP/UDP數(shù)據(jù)包進行分析了。在一般情況下，應(yīng)用層協(xié)議的 服務(wù)器端在己知的端口上偵聽。是用于保證可靠性的確認(rèn)號碼。 (9)校驗和 (checksum)：一個 2字節(jié)的字段，為 TCP段提供位級別的完整性校驗。源端口是可選字段。 (4)校驗和 — 16 位。當(dāng)某一網(wǎng)絡(luò)客戶端利用其他計算機上的服務(wù)程序時，在根據(jù) IP地址指定服務(wù)計算機的同時，也指定了被分配的服務(wù)程序的公 認(rèn)端口號。 } } 現(xiàn)在介紹一下 getportname()函數(shù)。這是因為得到的端口號是短暫端口號，沒有檢索到它的端口名稱。 測試結(jié)果評價 本設(shè)計在 Fedora Core 4 環(huán)境試運行下，編碼后經(jīng)過多次測試并將發(fā)現(xiàn)的錯誤及時修改，系統(tǒng)運行正常，基本達(dá)到設(shè)計目標(biāo)，運行結(jié)果比較良好。 然后 對每個功能模塊進行數(shù)據(jù)合法性檢查、數(shù)據(jù)一致性檢查。把端口名稱賦給 s_name。關(guān)鍵代碼如下 void getportname (int portn, char portch[], char *protocol){ if (getservbyport (htons (portn), protocol) != NULL){ strcpy(portch, getservbyport(htons(portn),protocol)s_name)。一種為公認(rèn)端口，另一種為短暫端口。該用戶數(shù)據(jù)報的八位長度，包括協(xié)議頭和數(shù)據(jù)。此協(xié)議是面向操作的，未提供提交和復(fù)制保護。 (8)窗口 (window)：一個 2字節(jié)的字段，表明該段的發(fā)送方的接收緩沖區(qū)中可供使用的空間有多少字節(jié)數(shù)。利用隨機值確定初始值，以字節(jié)為單位表示所發(fā)送數(shù)據(jù)的位置。 IP頭中的源地址和 TCP頭中的源端口聯(lián)合起來提供一個源套接字。 (12)選項和填充：此字段跟在 IP頭之后，但必須是以 4個字節(jié)為增量單位，以使 IP頭的大小能用報頭長度字段表示。 (6)標(biāo)志 (flags)：長度為 3位，包含兩個用于分片的標(biāo)志。雖 然很多時候一個 IP數(shù)據(jù)報就是一個 IP包，但它們在概念上是不同 的 實體。 (6)幀校驗序列 (Frame Check Sequence, FCS)： 4字節(jié)長，提供位級別的完整性校驗，也被稱為循環(huán)冗余校驗 (CRC)。這個字段被用來將以太網(wǎng)的有效載荷傳給正確的上層協(xié)議實體。在以太網(wǎng)內(nèi)的 IP和 ARP數(shù)據(jù)報或者使用以太網(wǎng) II的或者使用 IEEE： 子網(wǎng)訪問協(xié)議 (SNAP)來封裝數(shù)據(jù)。 對 TCP/IP 模型中各層協(xié)議的分析 前面的內(nèi)容已經(jīng)提到過，我們在對數(shù)據(jù)包根據(jù)應(yīng)用層協(xié)議進行分析的時候都需要首先剝離數(shù)據(jù)包中的包頭并且需要根據(jù)包頭信息判斷是何種應(yīng)用層協(xié)議。比如發(fā)送方在數(shù)據(jù)鏈路層通常會在包頭加上目的 MAC地址、源 MAC地址、其他一些具體網(wǎng)絡(luò)信息及幀定界符，在包尾加上循環(huán)冗余碼，并使用字節(jié)填充或位填充，由接收方數(shù)據(jù)鏈路層去掉包頭與包尾進行相關(guān)解釋工作。 第三步通過調(diào)用 pcap_datalink檢查該網(wǎng)卡所在網(wǎng)絡(luò)是不是以太網(wǎng)，如果不是則中止程序。 sockaddr * mask。 sockaddr * mask。 /* number of packets received */ u_int ps_drop。 /*length of portion present*/ bpf_u_int32 len。 如果非空，指向一個對設(shè)備的人性化的描述字符串。 struct pcap_addr *addresses。 參數(shù)：這非常直觀，第一個參數(shù)是會話句柄，第二個參數(shù)是被編譯表達(dá)式版本的引用（可推測出它與 pcap_pile()的第二個參數(shù)相同）。最后， ebuf 是一個我們可以存入 任何錯誤信息的字符串（就像上面的 errbuf）。在 windows平臺下，一個與 Libpcap很類似的函 數(shù)包 winpcap提供捕獲功能，其官方網(wǎng)站是 Libpcap軟件包可從 載，解壓后依此執(zhí)行下列三條命令即可安裝。數(shù)據(jù)包常規(guī)的傳輸路徑依次為網(wǎng)卡、設(shè)備驅(qū)動層、數(shù)據(jù)鏈路層、 IP層、傳輸層、最后到達(dá)應(yīng)用程序。端口識別的優(yōu)點是：簡單、容易實現(xiàn)。對于協(xié)議的識別需要從下至上進行。在 Linux有一個專門為程序員編寫數(shù)據(jù)包捕獲程序而開發(fā)的庫： Libpcap。 開始進行捕獲，并分析數(shù)據(jù)，將數(shù)據(jù)顯示給用戶。對數(shù)據(jù)包進行協(xié)議分析后要把結(jié)果顯示給用戶本程序才結(jié)束。該模塊的主要功能是對捕獲的數(shù)據(jù)進行分析顯示處理。其中包括選擇用于捕獲的網(wǎng)絡(luò)接口和需要過濾的內(nèi)容。 系統(tǒng)的組成結(jié) 構(gòu)和工作流程 系統(tǒng)的結(jié)構(gòu)框圖 基于以上分析，本文設(shè)計了網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序，圖 21是程序的結(jié)構(gòu)框圖 。 EtherPeek 采用工業(yè)標(biāo)準(zhǔn)，非常容易使用，提供解碼、過濾和診斷網(wǎng)絡(luò)的功能。 TcpDump： 顧名思義， TcpDump 可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的 “ 頭 ” 完全截獲下來提供分析。商用軟件：EtherPeek 下面對這幾種軟件進行簡要的介 紹： Wireshark： Wireshark 是一個開放源碼的網(wǎng)絡(luò)分析系統(tǒng)，也是是目前最好的開放源碼的網(wǎng)絡(luò)協(xié)議分析器，支持 Linux 和 Windows 平臺。本文將介紹網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的工作原理以及它的實現(xiàn)。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式 有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網(wǎng)絡(luò)正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。但由于計算機網(wǎng)絡(luò)自身所特具有的特點，比如聯(lián)結(jié)形式 多樣性和網(wǎng)絡(luò)的開放性、互連性等特征，所以導(dǎo)致網(wǎng)絡(luò)易受黑客還有一些病毒的攻擊。 Linux。接著， 介紹 完數(shù)據(jù)包捕獲的相關(guān)背景和 Libpcap函數(shù)庫 后 ，闡述了如何利用 Libpcap函數(shù)庫實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊 。程序的主要功能包括網(wǎng)絡(luò)數(shù)據(jù)包捕獲和常用網(wǎng)絡(luò)協(xié)議分析。 關(guān)鍵詞： Libpcap； Linux； 數(shù)據(jù)包捕獲；應(yīng)用層 ； 協(xié)議識別 The Design and Development of Network Packet Protocol Analyzing Program Abstract The thesis is an attempt to introduce an implementation of work protocol analyzing program which is based on Libpcap, a famous work packet capture library on Linux. It has a rich feature set which includes capturing work packets and analyzing popular work protocols on Inter. The program is made up of an input/output module, a rules matching module, a packet capturing module and a protocol analyzing module. And the last two modules are key modules. The research work was described as followed. firstly, we introduce the background and concepts about work protocol analyzing programs。 Protocol identification 目 錄 論文總頁數(shù)： 23頁 1 引言 .......................................................................................................................... 1 課題背景 ............................................................................................................ 1 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序簡介 ............................................................................ 2 國內(nèi)外研究現(xiàn)狀 ................................................................................................. 2 2 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的總體設(shè)計 ......................................................................... 3 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的功能分析 .................................................................. 3 系統(tǒng)的組成結(jié)構(gòu)和工作流程 ................................................................................ 3 系統(tǒng)的結(jié)構(gòu)框圖 .......................................................................................... 3 系統(tǒng)的結(jié)構(gòu)和功能 ....................................................................................... 4 程序的工作流程 .......................................................................................... 5 系統(tǒng)實現(xiàn)的關(guān)鍵技術(shù)分析 ................................................................................... 6 3 網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊的實現(xiàn) ....................................................................................... 7 網(wǎng)絡(luò)數(shù)據(jù)包捕獲簡介 .......................................................................................... 7 基于 LIBPCAP 的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的實現(xiàn) ................................................................ 8 Libpcap安裝 ..........