sniffer使用教程(參考版)
2024-08-25 09:03本頁面
【正文】 下面為 PPPOE 用戶 Radius 認(rèn)證的 Sniffer 捕獲的報(bào)文?？梢?看出在 Radius 認(rèn)證過程中， BAS 設(shè)備將 Challenge 屬性和用戶加密后的密碼發(fā)給 Radius進(jìn)行驗(yàn)證。通過比較可以方便看出 BAS 發(fā)出的 Challenge 值為“ 26fe8768341de68a72a1276771e1c1ca”與 PPPOE 中 CHAP 認(rèn)證過程中 BAS 發(fā)給 PPPOE 用戶的 Challenge值是一致的。 Radius報(bào)文是承載在 UPD協(xié) 議之上的，這里我沒不關(guān)注上層報(bào)文的結(jié)構(gòu)。 從中可以看出對于報(bào)文請求和響應(yīng)是通過 IP 地址 +Radius 協(xié)議域中 ID 號進(jìn)行配對識別的。 報(bào)文 5： BAS 計(jì)費(fèi)結(jié)束報(bào)文。 報(bào)文 3： BAS 計(jì)費(fèi)請求報(bào)文。 報(bào)文 1： BAS 請求 Radius Server 認(rèn)證報(bào)文。 響應(yīng)驗(yàn)證字＝ MD5(Code+ID+Length+請求驗(yàn)證字 +Attributes+Key) Attributes：屬性 圖 10 屬性格式 屬性域是 TLV結(jié)構(gòu)編碼。 該驗(yàn)證字分為兩種： 請求驗(yàn)證字 Request Authenticator 用在請求報(bào)文中 ,必須為全局唯一的隨機(jī)值。 Length： 包長度； 2 字節(jié)；整個包中所有域的長度。 數(shù)據(jù)報(bào)文解碼詳解 59 P P P O E 會話階段P P P O E 協(xié)議頭 6 b y t e sPPP 協(xié)議頭2 b y t e s承載的 IP 協(xié)議報(bào)文P P P O ES e s s io n ID 號會話階段協(xié)議頭協(xié)議頭承載的 協(xié)議報(bào)文號 Radius協(xié)議 Radius 報(bào)文簡介 標(biāo)準(zhǔn) Radius 協(xié)議包結(jié)構(gòu) 圖 9 Radius 包格式 Code：包類型； 1 字節(jié)；指示 RADIUS 包的類型。 PPPOE 發(fā)現(xiàn)階段， PADI報(bào)文， Sniffer 解碼結(jié)構(gòu)如下所示。 PPPOE 用戶 Radius 報(bào)文交互過程分析如下。在 PPPOE的發(fā)現(xiàn)階段時(shí)，該域內(nèi)會填充一些 Tag（標(biāo)記）；而在 PPPOE 的會話階段，該域則攜帶的是 PPP 的報(bào)文。 ? 長度域?yàn)?2 個字節(jié)，用來指示 PPPOE數(shù)據(jù)報(bào)文中凈載荷的長度。 ? 代碼域占用 1個字節(jié)，對于 PPPOE 的不同階段這個域內(nèi)的內(nèi)容也是不一樣的。下圖為 PPPOE 的報(bào)文的格式： 數(shù)據(jù)報(bào)文解碼詳解 57 ? 數(shù)據(jù)報(bào)文最開始的 4 位為版本域，協(xié)議中給出了明確的規(guī)定，這個域的內(nèi)容填充 0x01。 上面為通過 Sniffer解碼的 ARP 請求和應(yīng)答報(bào)文的結(jié)構(gòu)。這是一個可變長度字段，用來定義目標(biāo)的邏輯地址（例如， IP 地址）的長度。對 于 ARP 請求報(bào)文，這個字段是全 0，因?yàn)榘l(fā)送站不知道目標(biāo)的物理地址。這是一個可變長度字段，用來定義目標(biāo)的物理地址的長度。對于 IP 協(xié)議，這個字段是 4 字節(jié)長。 SPA（發(fā)送站協(xié)議地址） 。這是一個可變長度字段，用來定義發(fā)送站的物理地址的長度。已定義了兩種類型： ARP 請求（ 1）， ARP 回答（ 2）。 OPER（操作） 。這是一個 8比特字段，用來定義以字節(jié)為單位的邏輯地址的長 度。例如，對以太網(wǎng)這個值是 6。 HLEN（硬件長度） 。例如，對 IPv4 協(xié)議，這個字段的值是 0800。 PTYPE（協(xié)議類型） 。例如，以太網(wǎng)是類型 1。這是一個 16 比特字段，用來定義運(yùn)行 ARP 的網(wǎng)絡(luò)的類型。其他字段的解碼含義可以與此類似，只要對協(xié)議理解的比較清楚對解碼內(nèi)容的理解將會變的很容易。t Fragment） 數(shù)據(jù)報(bào)文解碼詳解 54 DF=1，不允許分片 DF=0，允許分片 段偏移：分片后的分組在原分組中的相對位置，總共 13 比特，單位為 8 字節(jié) 壽命： TTL（ Time To Live）丟棄 TTL=0 的報(bào)文 協(xié)議：攜帶的是何種協(xié)議報(bào)文 1 ： ICMP 6 ： TCP 17： UDP 89： OSPF 頭部檢驗(yàn)和：對 IP 協(xié)議首部的校驗(yàn) 和 源 IP 地址： IP 報(bào)文的源地址 目的 IP 地址： IP 報(bào)文的目的地址 上圖為 Sniffer 對 IP 協(xié)議首部的解碼分析結(jié)構(gòu)，和 IP 首部各個字段相對應(yīng)，并給出了各個字段值所表示含義的英文解釋。這里給出了 IP協(xié)議頭部的一個結(jié)構(gòu)。并多了 LLC子層。 IP 網(wǎng)絡(luò)來說 Ethertype 字段承載的時(shí)上層協(xié)議的類型主要包括 0x800 為 IP協(xié)議， 0x806 為 ARP 協(xié)議。 源目的 MAC 地址在解碼框中可以將前 3 字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡(luò)上 2 臺設(shè)備 IP 地址設(shè)置沖突，可以通過解碼翻譯出廠商信息方便的將故障設(shè)備找到，如 00e0fc 為華為， 010042 為 Cisco等等。 以太 報(bào)文 結(jié)構(gòu) EtherII以太網(wǎng)幀結(jié)構(gòu) 數(shù)據(jù)報(bào)文解碼詳解 52 Et he r ne t _ I ID MA C S M A C T y p e D A TA /P A D F C S Ether_II以太網(wǎng)幀類型報(bào)文結(jié)構(gòu)為：目的 MAC 地址（ 6bytes）＋源 MAC地址＋（ 6bytes）上層協(xié)議類型（ 2bytes）＋數(shù)據(jù)字段（ 461500bytes)＋校驗(yàn)（ 4bytes）。 Sniffer 可以針對眾多協(xié)議進(jìn)行詳細(xì)結(jié)構(gòu)化解碼分析。 應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層T e ln e t FT P 和 e m a il 等T C P 和 U D PI P I C M P I G M P設(shè)備 驅(qū)動程序及接口卡應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層和 等和設(shè)備 驅(qū)動程序及接口卡 如上圖所示在 Sniffer的解碼表中分別對每一個層次協(xié)議進(jìn)行解碼分析。 數(shù)據(jù)報(bào)文分層 如下圖所示，對于四層網(wǎng)絡(luò)結(jié)
高考資料相關(guān)推薦
鄂ICP備17016276號-1