【文章內容簡介】 類中捕獲的數(shù)據(jù)包是數(shù)據(jù)鏈路層的幀，而數(shù)據(jù)在網(wǎng)絡中傳遞時是分層依次封裝的，因此需要從鏈路層協(xié)議開始進行分析，一直到應用層的協(xié)議。首先我們來看看互聯(lián)網(wǎng)協(xié)議分層模型。ISO的OSI(開放系統(tǒng)互聯(lián)模型)是分層的，各層功能分離，對其他層次是透明，可獨立設計、實現(xiàn)和測試的。通過SAP(Service Access Point)為上層提供服務。OSI分7層，其它具體的協(xié)議棧都與OSI相對應。應用層在程序之間傳遞信息表示層處理文本格式化，顯示代碼轉換會話層建立、維持、協(xié)調通信傳輸層確保數(shù)據(jù)正確發(fā)送網(wǎng)絡層決定傳輸路由，處理信息傳遞數(shù)據(jù)鏈路層編碼、編址、傳輸信息物理層管理硬件連接應用層Telnet,SNMP,FTP,HTTP,SNTP傳輸層TCP,UDP網(wǎng)絡層IP,ICMP,IGMP鏈路層Ethernet,ARP,RARPOSI模型各層功能總結 TCP/IP各層功能總結 通常，數(shù)據(jù)在協(xié)議棧中傳遞時，每一層在把數(shù)據(jù)傳送到低一層之前都往頭部加入一些附加信息。因此，在網(wǎng)絡中傳輸?shù)膸艘幌盗星短椎念^部。數(shù)據(jù)在協(xié)議棧中的傳輸過程圖示如下:在通常的以太網(wǎng)絡中，使用TCP/IP協(xié)議棧，下面我們依次介紹封裝的各層信息。在數(shù)據(jù)鏈路層，可以獲得以太網(wǎng)的頭部，以太網(wǎng)的頭部長度為14字節(jié)，分別由6字節(jié)的目的以太網(wǎng)地址(琳C)地址、6字節(jié)的源以太網(wǎng)地址及2字節(jié)的幀類型組成。:同步字（8）目的MAC（6）源MAC（6）類型（2）數(shù)據(jù)（46—1500）CRC（4）其中同步字與CRC由硬件產(chǎn)生，由此可定義幀結構為:define ETH_ALEN 6 //以太網(wǎng)地址位數(shù)Struct ether_header{unsigned char h_dest[ETH_ALEN]； //目的地址unsigned ehar h_source[ETH_ALEN]； //源地址unsigned short h_Proto； //幀類型}；幀類型給出了該數(shù)據(jù)幀中所包含的協(xié)議類型，如ARP、RARP、IP、IPX等，它們對應的協(xié)議號分別為(十六進制):0808030800、8137，其中ARP與RARP為數(shù)據(jù)鏈路層協(xié)議，而IP和IPX為網(wǎng)絡層協(xié)議。在本系統(tǒng)中，將對這些協(xié)議進行識別，但主要對IP(0800)和ARP(0806)協(xié)議做進一步的分析。 ARP 數(shù)據(jù)包ARP協(xié)議用于將IP地址轉換為MAC地址，RFC826給出的ARP標準只描述了ARP消息的通用形式，并規(guī)定了對每類網(wǎng)絡硬件怎樣確定細節(jié)。之所以要使A即消息適合于硬件，是由于ARP消息含有硬件地址域，ARP的設計者意識到他們無法為硬件地址域選擇一個固定的尺寸，因為新的網(wǎng)絡技術不斷涌現(xiàn)，使它們的地址尺寸越來越大。所以，在設計ARP消息的開始處引入了一個固定大小的域，這一域對消息所使用的硬件地址尺寸做了規(guī)定。例如，當在以太網(wǎng)中使用ARP時，硬件地址長度定為六個字節(jié)，因為一個以太網(wǎng)地址是48位長。為了增加ARP的通用性，設計者同硬件地址一樣為協(xié)議地址引入一個地址長度域。因此ARP不限于IP地址或特定的物理地址一從理論上說，該協(xié)議也可以用于一個任意的高層地址和一個任意的硬件地址的聯(lián)編。但實際上，ARP的通用性并沒有充分使用，大部分ARP用于IP地址和以太網(wǎng)地址的聯(lián)編。0 15 31硬件地址空間協(xié)議地址空間硬件地址長度協(xié)議地址長度操作代碼這8個字節(jié)即為了通用而定義的地址類型位,下面接著為源硬件地址、協(xié)議地址，目的硬件地址、協(xié)議地址。操作代碼域規(guī)定了此消息是請求(值為l)還是應答(值為2)。[10]由此定義ARP包結構如下:Struct arphdr{unsigned short ar_hrd //format of hardware addressunsigned short ar_pro //format of protocol addressunsigned char ar_hln //length of hardware addressunsigned char ar_pln //length of protocol addressunsigned short ar_op //ARP opcode (mand)}；Struct ether_arp{struct arphdr ea_hdr； //fixedsize headeru_char arp_sha[ETH_ALEN]； //sender hardware addressu_char arp_spa [4]； //sender protocol addressu_char arp_tha[ETH_ALEN]； //target hardware addressu_char arp_tpa [4]； //target protocol address}；define arp_hrd define arp_pro define arp_hln hlndefine arp_p1n define arp_op IP數(shù)據(jù)報根據(jù)RFC791里的定義，沒有選擇項時，1P包頭的長度為20字節(jié)，主要包含以下內容:源IP地址、目的IP地址、分片標志和偏移、及IP負載的協(xié)議類型(長度為l字節(jié))。IP包內的協(xié)議類型指明該IP包負載的協(xié)議類型，即TCP、UDP或ICMP，其協(xié)議號分別為17和1。IP協(xié)議格式如下:0 15 31版本4頭長4服務類型8總長16標識16標志3片偏移13生存周期8協(xié)議（號）8頭標校驗和16源IP地址32目的IP地址32數(shù)據(jù)選擇項（可變）0——32填充項數(shù)據(jù) IP數(shù)據(jù)報頭部里的每個域都有固定的大小。數(shù)據(jù)報以4位的協(xié)議版本號(當前版本號4)和4位的頭部長度開始，頭部長度指出以32位字長為單位的頭部長度。服務類型(SERVICE TYPE)域包含的值指明發(fā)送方是否希望以一條低延遲的路徑或是以一條高吞吐率的路徑來傳送該數(shù)據(jù)報，當一個路由器知道多條通往目的地的路徑時，就可以靠這個域對路徑加以選擇。總長(TOTAL LENGTH)域為16位的整數(shù)，說明以字節(jié)計的數(shù)據(jù)報總長度，包括頭部長度和數(shù)據(jù)長度。標識(IDENTIFICATION)域用于標識數(shù)據(jù)單元的地址即分片號，由發(fā)送方入。當一個路由器對一個數(shù)據(jù)報分段時，就會將這一標識數(shù)復制到每一段中，接收方就可利用收到的段的標識數(shù)和IP源地址來確定該段屬于那個數(shù)據(jù)報。標志域3位，用了2位，標識數(shù)據(jù)源是否分片，片是否結束(0:片未完，1:不分片，2:不用)。另外，段偏移((FRAGMENT OFFSET)域可以告訴接收方各段的次序。生存周期(TIME TO LIVE)域用來阻止數(shù)據(jù)報在一條包含環(huán)路的路徑上永遠地傳送。當軟件發(fā)生故障或管理人員錯誤地配置路由器時，就會產(chǎn)生這樣的路徑。發(fā)送方負責初始化生存時間域，這是一個從1到255之間的整數(shù)。每個路由器處理數(shù)據(jù)報時，會將頭部里的生存時間減1，如果達到0，數(shù)據(jù)報將被丟棄，一個出錯消息被發(fā)回給源主機。頭部校驗和(HEADER CHECKSUM)域確保頭部在傳送過程中不被改變。發(fā)送方對除了校驗和域的頭部數(shù)據(jù)每16位對1求補，所有結果累加，并將和的補放入頭部校驗和域中。接收方進行同樣計算，但包括了校驗和域。如果校驗和正確，則結果應該為0(數(shù)學上，1的求補是一個逆加，因此將一個值加到它自身的補上將得到零)。[10]由此我們可定義IP頭結構:struct iphdr{u_char ip_hl:4； //頭長ip_v:4； //版本u_char ip_tos； //服務類型short ip_len； //總長u_short ip_id； //標識short ip_off； //段偏移define IP_RF 0x8000 //reserved fragment flagdefine IP_DF 0x4000 //dont fragment flagdefine IP_MF 0x2000 //more fragments flagdefine IP_OFFMASK Oxlfff //mask for fragmenting bits u_char ip_ttl； //生存周期 u_char ip_p； //協(xié)議 u_short ip_sum； //校驗和 struct in_addr ip_ src,ip_dst； //源、目的IP地址}； TCP 數(shù)據(jù)報TCP協(xié)議對應于150/051參考模型的第4層即“傳輸層”，實現(xiàn)端對端即主機到主機的通信。它是TCP/1P協(xié)議系列中主要的傳輸協(xié)議，為應用程序提供了一個可靠的、可流控的、全雙工的流傳輸服務。在請求TCP建立一個連接之后，一個應用程序能使用這一連接發(fā)送和接收數(shù)據(jù)，TCP確保數(shù)據(jù)按序傳遞而無重復。最終，當兩個應用結束使用一個連接時，它們請求終止連接。TCP對所有的消息采用了一種簡單的格式，包括攜帶數(shù)據(jù)的消息、確認以及三次握手中用于創(chuàng)建和終止一個連接的消息。TCP使用段(segment)來指明一個消息，RFC793文檔里定義的段格式如下:0