【文章內(nèi)容簡介】 無法收取到達的數(shù)據(jù)包。而網(wǎng)絡監(jiān)測器的目的恰恰在于從網(wǎng)卡接收所有經(jīng)過它的數(shù)據(jù)包，這些數(shù)據(jù)包即可以是發(fā)給它的也可以是發(fā)往別處的。顯然，要達到此目的就必須將其設置為混雜模式。這種對網(wǎng)卡混雜模式的設置是通過原始套接字（raw socket）來實現(xiàn)的，這也有別于通常經(jīng)常使用的數(shù)據(jù)流套接字和數(shù)據(jù)報套接字。在創(chuàng)建了原始套接字后，需要通過Setsockopt()函數(shù)來設置 IP 頭操作選項，然后再通過 bind()函數(shù)將原始套接字綁定到本地網(wǎng)卡。為了讓原始套接字能接受所有的數(shù)據(jù)，還需要通過 ioctlsocket()來進行設置，而且還可以指定是否親自處理 IP 頭。至此，實際就可以開始對網(wǎng)絡數(shù)據(jù)包進行監(jiān)測了，對數(shù)據(jù)包的獲取仍通過 recv()函數(shù)來完成。９ / 25第二章　TCP/IP 協(xié)議集　TCP/IP 協(xié)議簡介很多不同的廠家生產(chǎn)各種型號的計算機，它們運行完全不同的操作系統(tǒng)，但 TCP/IP 協(xié)議組件允許它們互相進行通信。TCP/IP 模型是一種層級式（Layering）的結構，每一層都呼叫它的下一層所提供的服務來完成自己的需求。TCP/IP 模型可以分為以下四層：應用層、傳輸層、網(wǎng)絡層、數(shù)據(jù)鏈路層。本章主要對 TCP/IP 協(xié)議組件進行概述?！P 協(xié)議IP 是 TCP/IP 協(xié)議族中最為核心的協(xié)議。所有的 TCP，UDP，ICMP，及 IGMP 數(shù)據(jù)都以IP 數(shù)據(jù)報格式傳輸。與大多數(shù)網(wǎng)絡層協(xié)議不同，IP 協(xié)議一開始就是為了網(wǎng)絡互連的目的而設計的，它的工作是提供一種從源端到目的端傳輸數(shù)據(jù)報的最佳嘗試方法，不管這些機器是否在同一網(wǎng)絡中。我們可以通過分析 IP 數(shù)據(jù)報的頭部來更好的了解 IP 協(xié)議：圖 21 IP 包頭版本（version）：記錄了數(shù)據(jù)報屬于哪一個版本的協(xié)議。IHL 字段：用來告訴頭部有多長，以 32 字節(jié)長度為一個單位，最小值為 5。服務類型（type of service）：使主機告訴子網(wǎng)它想要什么樣的服務。3 個標志位 D，T，R 主機能說明它最關心組合{Delay,Throughput,Reliability}中的哪一項。還有兩位未用。D,T,R 的優(yōu)先級從 0 到 7?？傞L（total length）：包括數(shù)據(jù)報中的所有信息——包括頭部和數(shù)據(jù)。總長１０ / 2565535 字節(jié)。標識(identification): 讓目的主機判斷新來的分段屬于哪個分組，所有屬于同一分組的字段包含同樣的標識值。分段偏移（fragment offset）：說明分段在當前數(shù)據(jù)報的什么位置。除了數(shù)據(jù)報的最后一個分段外，所有分段都要乘以 8 字節(jié)。因為在分段位移前有 3 位，其中兩位是未用的位，然后是兩個 1 位字段，DF 表示不要分段，MF 表示還有進一步的分段。這樣表示分段位移的位只有 13 位，因此每個數(shù)據(jù)報最長是 8192 個分組，這樣最大的數(shù)據(jù)報長度是65536 字節(jié)。生命期（time to life）：是同一個用來限制分組生命周期的計數(shù)器，最長生命周期 255s，它必須在每個節(jié)點都遞減，而且當一個路由器中排隊時間過長可以十倍數(shù)遞減。協(xié)議（protocol）：說明將它送給哪個傳輸進程的，協(xié)議的編號在整個因特網(wǎng)上是全球通用的，它定義于 RFC 1700 中。頭部校驗和（header checksum）：這種算法用來校驗頭部。該算法將頭部所有 16位半字數(shù)據(jù)累加起來，采用補運算，再取其結果的補碼。網(wǎng)由于該算法的原理，當數(shù)據(jù)報到達時其頭部校驗和應該為 0。源地址（source）和目的地址（destination address）：指明了網(wǎng)絡號和主機號?！CP 協(xié)議TCP（傳輸控制協(xié)議），是專門設計用于在不可靠的 inter 上提供可靠的、端到端的字節(jié)流通信的協(xié)議。每臺支持 TCP 的機器均有一個 TCP 傳輸實體，或者是用戶進程，或者負責管理 TCP 流以及與 IP 層接口的核心。TCP 實體從本地進程接受用戶的數(shù)據(jù)流，并將其分為不超過 64 字節(jié)的數(shù)據(jù)片段，并將每個數(shù)據(jù)片段作為單獨的 IP 數(shù)據(jù)報發(fā)送出去。當包含有 TCP 數(shù)據(jù)的 IP 數(shù)據(jù)報到達某臺相連的機器后，他們又被送給該機器內(nèi)的 TCP 實體，被重新組合為原來的數(shù)據(jù)流。IP 層并不能保證將數(shù)據(jù)報正確地傳送到目的端，因此 TCP 實體需要判定是否超時并根據(jù)需要重發(fā)數(shù)據(jù)報。到達的數(shù)據(jù)也可能是按照錯誤的順序傳到的，這也需要由 TCP 實體按正確的順序重新將這些數(shù)據(jù)報組裝成報文?！CP 服務模型通過在發(fā)送方和接收方分別創(chuàng)建稱為 Socket 的通信端點可以獲得 TCP 服務。每個套接字序號包含主機的 IP 地址以及一個主機本地的 16 位號碼，稱為端口。為了獲得 TCP 服務，１１ / 25必須在發(fā)送方的 Socket 和接收方的 Socket 之間明確的建立連接。一個套接字可以被多個連接同時使用。序號小于 256 的端口稱為通用端口。所有的TCP 連接均是全雙工的和點到點的，TCP 不支持多點播送或廣播。TCP 連接是字節(jié)流而非報文流，報文邊界并不按頭尾銜接方式保存。當一個應用程序把數(shù)據(jù)送給 TCP 實體時，TCP根據(jù)自己的判斷，可能會立刻將其發(fā)送出去或者將其緩存起來。有時候用戶為了立刻發(fā)送數(shù)據(jù)可以使用 PUSH 標志來通知 TCP 不能耽擱數(shù)據(jù)的發(fā)送。TCP 服務的另一個特點就是緊急數(shù)據(jù)功能。當一個用戶按下 DEL 或者 CTRL＋C 中斷一個已經(jīng)開始的遠程計算時，發(fā)送方應用程序在數(shù)據(jù)流中放入一些控制信息并將其與 URGENT 標志一起交給 TCP，當緊急數(shù)據(jù)到達目的端之后，接受方應用程序被中斷，然后去讀取數(shù)據(jù)并進而發(fā)現(xiàn)了緊急數(shù)據(jù)?！CP 數(shù)據(jù)段頭發(fā)送和接收方 TCP 實體以數(shù)據(jù)段（segment）的形式交換數(shù)據(jù)。一個數(shù)據(jù)段包含一個固定的 20 字節(jié)的頭，后面跟著以 0 字節(jié)或多字節(jié)的數(shù)據(jù)。對于數(shù)據(jù)段的大小有兩個限制條件：（1）每個數(shù)據(jù)段必須適合 IP 的載荷能力，不能超過 65535 字節(jié)。（2）要求每個數(shù)據(jù)段必須適合最大傳送單位 MTU。TCP 實體所用的基本協(xié)議是滑動窗口協(xié)議。當發(fā)送方傳送一個數(shù)據(jù)段時，它要啟動計時器。當數(shù)據(jù)段到達目的地后，接受方的 TCP 實體向回發(fā)送一個數(shù)據(jù)段，包含確認序號，希望收到下一個數(shù)據(jù)段的順序號。如果確認號超時，則發(fā)送方將重發(fā)。TCP 數(shù)據(jù)段每段均以固定格式的 20 字節(jié)的頭開始，固定的頭后面可能是頭的一些可選項。在可選項后面最多有 65535－20－20＝65495 數(shù)據(jù)字節(jié)，第一個 20 指 IP 頭，第二個20 指 TCP 頭。不帶任何數(shù)據(jù)的數(shù)據(jù)段也是合法的，一般用于確認報文和控制報文。以下介紹一下 TCP 數(shù)據(jù)段頭中每個字段的含義：１２ / 25圖 22 TCP 頭源端口和目的端口字段標識出本地和遠端的連接點。每個主機都可以自行決定如何分配自己的端口（從 256 開始）。順序號和確認號字段執(zhí)行它的通用功能。確認號指希望接收下一個字節(jié)而不是前面已經(jīng)正確接收的字節(jié)。TCP 頭長表明在 TCP 頭中包含多少個 32 位字。由于可選項字段是變長的，因此 TCP頭也是變長的，它實際上是指明了數(shù)據(jù)在數(shù)據(jù)段中的開始位置。接下來有 6 個未用的位。接下來是六個 1 位的標志：（1）URG 位是應急指針標志，當用到了應急指針，則 URG 置 1。應急指針指從當前順序號到緊急數(shù)據(jù)位置的偏移量。（2）ACK 位置 1 表明確認號是合法的。ACK 為 0 表示數(shù)據(jù)段不包括確認信息。（3）PSH 偽表示是帶有 PUSH 位標志的數(shù)據(jù)。（4）RST 位用于復位由于主機崩潰或其他原因而出現(xiàn)錯誤的連接。（5）SYN 位用于建立連接。在連接請求中，SYN＝1，ACK＝0，表示捎帶確認字段無效。連接響應數(shù)據(jù)段應帶有確認，因此 SYN＝1，ACK＝1。（6）FIN 位用于釋放連接，它表明發(fā)送方已經(jīng)沒有數(shù)據(jù)發(fā)送了，然而當斷開連接后，進程還可以繼續(xù)接收數(shù)據(jù)。窗口大小字段表示在確認了字節(jié)之后還可以發(fā)送多個字節(jié)，由于 TCP 中的流量控制是通過滑動窗口來處理的。窗口大小為 0 也是合法的，表示它已經(jīng)收到了包括當前字段的所有數(shù)據(jù)段，但當前接收方急需暫停，希望不要發(fā)數(shù)據(jù)。１３ / 25校驗和也是為了確保高可靠性而設置的。它校驗頭部，數(shù)據(jù)和偽 IP 頭（如下圖）之和。當接收方對整個數(shù)據(jù)段，包括校驗和字段進行運算時，結果應是 0。圖 23 TCP 偽頭　TCP 協(xié)議的建立TCP 連接的建立使用三次握手協(xié)議，在此過程中雙方要互報自己的初始序號，這樣就可以保證包的接收順序和發(fā)送順序相一致。(B) [SYN] (A)假如服務器 A 和客戶機 B 通訊. 當 A 要和 B 通信時， B 首先向 A 發(fā)一個 SYN (Synchron