【正文】 有互聯(lián)網(wǎng)絡(luò)和 Inter中使用的標(biāo)準(zhǔn) IP版本 號(hào) 是 4（即 IPv4） 。 (7)片偏移 (fragment offset)：長(zhǎng)度為 13位，表示分片相對(duì)于原始 IP數(shù)據(jù)報(bào)有效載荷的偏移量。然后就可以對(duì) TCP/UDP數(shù)據(jù)包進(jìn)行分析了。在一般情況下，應(yīng)用層協(xié)議的 服務(wù)器端在己知的端口上偵聽。是用于保證可靠性的確認(rèn)號(hào)碼。 (9)校驗(yàn)和 (checksum)：一個(gè) 2字節(jié)的字段，為 TCP段提供位級(jí)別的完整性校驗(yàn)。源端口是可選字段。 (4)校驗(yàn)和 — 16 位。當(dāng)某一網(wǎng)絡(luò)客戶端利用其他計(jì)算機(jī)上的服務(wù)程序時(shí)，在根據(jù) IP地址指定服務(wù)計(jì)算機(jī)的同時(shí)，也指定了被分配的服務(wù)程序的公 認(rèn)端口號(hào)。 } } 現(xiàn)在介紹一下 getportname()函數(shù)。這是因?yàn)榈玫降亩丝谔?hào)是短暫端口號(hào)，沒有檢索到它的端口名稱。 測(cè)試結(jié)果評(píng)價(jià) 本設(shè)計(jì)在 Fedora Core 4 環(huán)境試運(yùn)行下，編碼后經(jīng)過多次測(cè)試并將發(fā)現(xiàn)的錯(cuò)誤及時(shí)修改，系統(tǒng)運(yùn)行正常，基本達(dá)到設(shè)計(jì)目標(biāo)，運(yùn)行結(jié)果比較良好。 然后 對(duì)每個(gè)功能模塊進(jìn)行數(shù)據(jù)合法性檢查、數(shù)據(jù)一致性檢查。把端口名稱賦給 s_name。關(guān)鍵代碼如下 void getportname (int portn, char portch[], char *protocol){ if (getservbyport (htons (portn), protocol) != NULL){ strcpy(portch, getservbyport(htons(portn),protocol)s_name)。一種為公認(rèn)端口，另一種為短暫端口。該用戶數(shù)據(jù)報(bào)的八位長(zhǎng)度，包括協(xié)議頭和數(shù)據(jù)。此協(xié)議是面向操作的，未提供提交和復(fù)制保護(hù)。 (8)窗口 (window)：一個(gè) 2字節(jié)的字段，表明該段的發(fā)送方的接收緩沖區(qū)中可供使用的空間有多少字節(jié)數(shù)。利用隨機(jī)值確定初始值，以字節(jié)為單位表示所發(fā)送數(shù)據(jù)的位置。 IP頭中的源地址和 TCP頭中的源端口聯(lián)合起來提供一個(gè)源套接字。 (12)選項(xiàng)和填充：此字段跟在 IP頭之后，但必須是以 4個(gè)字節(jié)為增量單位，以使 IP頭的大小能用報(bào)頭長(zhǎng)度字段表示。 (6)標(biāo)志 (flags)：長(zhǎng)度為 3位，包含兩個(gè)用于分片的標(biāo)志。雖 然很多時(shí)候一個(gè) IP數(shù)據(jù)報(bào)就是一個(gè) IP包，但它們?cè)诟拍钌鲜遣煌?的 實(shí)體。 (6)幀校驗(yàn)序列 (Frame Check Sequence, FCS)： 4字節(jié)長(zhǎng)，提供位級(jí)別的完整性校驗(yàn)，也被稱為循環(huán)冗余校驗(yàn) (CRC)。這個(gè)字段被用來將以太網(wǎng)的有效載荷傳給正確的上層協(xié)議實(shí)體。在以太網(wǎng)內(nèi)的 IP和 ARP數(shù)據(jù)報(bào)或者使用以太網(wǎng) II的或者使用 IEEE： 子網(wǎng)訪問協(xié)議 (SNAP)來封裝數(shù)據(jù)。 對(duì) TCP/IP 模型中各層協(xié)議的分析 前面的內(nèi)容已經(jīng)提到過，我們?cè)趯?duì)數(shù)據(jù)包根據(jù)應(yīng)用層協(xié)議進(jìn)行分析的時(shí)候都需要首先剝離數(shù)據(jù)包中的包頭并且需要根據(jù)包頭信息判斷是何種應(yīng)用層協(xié)議。比如發(fā)送方在數(shù)據(jù)鏈路層通常會(huì)在包頭加上目的 MAC地址、源 MAC地址、其他一些具體網(wǎng)絡(luò)信息及幀定界符，在包尾加上循環(huán)冗余碼，并使用字節(jié)填充或位填充，由接收方數(shù)據(jù)鏈路層去掉包頭與包尾進(jìn)行相關(guān)解釋工作。 第三步通過調(diào)用 pcap_datalink檢查該網(wǎng)卡所在網(wǎng)絡(luò)是不是以太網(wǎng)，如果不是則中止程序。 sockaddr * mask。 sockaddr * mask。 /* number of packets received */ u_int ps_drop。 /*length of portion present*/ bpf_u_int32 len。 如果非空，指向一個(gè)對(duì)設(shè)備的人性化的描述字符串。 struct pcap_addr *addresses。 參數(shù)：這非常直觀，第一個(gè)參數(shù)是會(huì)話句柄，第二個(gè)參數(shù)是被編譯表達(dá)式版本的引用（可推測(cè)出它與 pcap_pile()的第二個(gè)參數(shù)相同）。最后， ebuf 是一個(gè)我們可以存入 任何錯(cuò)誤信息的字符串（就像上面的 errbuf）。在 windows平臺(tái)下，一個(gè)與 Libpcap很類似的函 數(shù)包 winpcap提供捕獲功能，其官方網(wǎng)站是 Libpcap軟件包可從 載，解壓后依此執(zhí)行下列三條命令即可安裝。數(shù)據(jù)包常規(guī)的傳輸路徑依次為網(wǎng)卡、設(shè)備驅(qū)動(dòng)層、數(shù)據(jù)鏈路層、 IP層、傳輸層、最后到達(dá)應(yīng)用程序。端口識(shí)別的優(yōu)點(diǎn)是：簡(jiǎn)單、容易實(shí)現(xiàn)。對(duì)于協(xié)議的識(shí)別需要從下至上進(jìn)行。在 Linux有一個(gè)專門為程序員編寫數(shù)據(jù)包捕獲程序而開發(fā)的庫： Libpcap。 開始進(jìn)行捕獲，并分析數(shù)據(jù)，將數(shù)據(jù)顯示給用戶。對(duì)數(shù)據(jù)包進(jìn)行協(xié)議分析后要把結(jié)果顯示給用戶本程序才結(jié)束。該模塊的主要功能是對(duì)捕獲的數(shù)據(jù)進(jìn)行分析顯示處理。其中包括選擇用于捕獲的網(wǎng)絡(luò)接口和需要過濾的內(nèi)容。 系統(tǒng)的組成結(jié) 構(gòu)和工作流程 系統(tǒng)的結(jié)構(gòu)框圖 基于以上分析，本文設(shè)計(jì)了網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序，圖 21是程序的結(jié)構(gòu)框圖 。 EtherPeek 采用工業(yè)標(biāo)準(zhǔn)，非常容易使用，提供解碼、過濾和診斷網(wǎng)絡(luò)的功能。 TcpDump： 顧名思義， TcpDump 可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的 “ 頭 ” 完全截獲下來提供分析。商用軟件：EtherPeek 下面對(duì)這幾種軟件進(jìn)行簡(jiǎn)要的介 紹： Wireshark： Wireshark 是一個(gè)開放源碼的網(wǎng)絡(luò)分析系統(tǒng)，也是是目前最好的開放源碼的網(wǎng)絡(luò)協(xié)議分析器，支持 Linux 和 Windows 平臺(tái)。本文將介紹網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的工作原理以及它的實(shí)現(xiàn)。此類攻擊又可以分為以下兩種：一種是主動(dòng)攻擊，它以各種方式 有選擇地破壞信息的有效性和完整性；另一類是被動(dòng)攻擊，它是在不影響網(wǎng)絡(luò)正常工作的情況下，進(jìn)行截獲、竊取、破譯以獲得重要機(jī)密信息。但由于計(jì)算機(jī)網(wǎng)絡(luò)自身所特具有的特點(diǎn)，比如聯(lián)結(jié)形式 多樣性和網(wǎng)絡(luò)的開放性、互連性等特征，所以導(dǎo)致網(wǎng)絡(luò)易受黑客還有一些病毒的攻擊。 Linux。接著， 介紹 完數(shù)據(jù)包捕獲的相關(guān)背景和 Libpcap函數(shù)庫 后 ，闡述了如何利用 Libpcap函數(shù)庫實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊 。程序的主要功能包括網(wǎng)絡(luò)數(shù)據(jù)包捕獲和常用網(wǎng)絡(luò)協(xié)議分析。 關(guān)鍵詞： Libpcap； Linux； 數(shù)據(jù)包捕獲；應(yīng)用層 ； 協(xié)議識(shí)別 The Design and Development of Network Packet Protocol Analyzing Program Abstract The thesis is an attempt to introduce an implementation of work protocol analyzing program which is based on Libpcap, a famous work packet capture library on Linux. It has a rich feature set which includes capturing work packets and analyzing popular work protocols on Inter. The program is made up of an input/output module, a rules matching module, a packet capturing module and a protocol analyzing module. And the last two modules are key modules. The research work was described as followed. firstly, we introduce the background and concepts about work protocol analyzing programs。 Protocol identification 目 錄 論文總頁數(shù)： 23頁 1 引言 .......................................................................................................................... 1 課題背景 ............................................................................................................ 1 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序簡(jiǎn)介 ............................................................................ 2 國內(nèi)外研究現(xiàn)狀 ................................................................................................. 2 2 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的總體設(shè)計(jì) ......................................................................... 3 網(wǎng)絡(luò)數(shù)據(jù)包協(xié)議分析程序的功能分析 .................................................................. 3 系統(tǒng)的組成結(jié)構(gòu)和工作流程 ................................................................................ 3 系統(tǒng)的結(jié)構(gòu)框圖 .......................................................................................... 3 系統(tǒng)的結(jié)構(gòu)和功能 ....................................................................................... 4 程序的工作流程 .......................................................................................... 5 系統(tǒng)實(shí)現(xiàn)的關(guān)鍵技術(shù)分析 ................................................................................... 6 3 網(wǎng)絡(luò)數(shù)據(jù)包捕獲模塊的實(shí)現(xiàn) ....................................................................................... 7 網(wǎng)絡(luò)數(shù)據(jù)包捕獲簡(jiǎn)介 .......................................................................................... 7 基于 LIBPCAP 的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的實(shí)現(xiàn) ................................................................ 8 Libpcap安裝 ..........