TCPIP协议格式.doc

通过连接实例解读TCP/IP协议最近狂补基础，猛看TCP/IP协议。不过，书上的东西太抽象了，没有什么数据实例，看了不 久就忘了。于是，搬来一个sniffer，抓了数据包来看，呵呵，结合书里面得讲解，理解得 比较快。我就来灌点基础知识。 开始吧，先介绍IP协议。 IP协议（Internet Protocol）是网络层协议，用在因特网上，TCP，UDP，ICMP，IGMP数据都是按照IP数据格式发送得。IP协议提供的是不可靠无连接得服务。IP数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到IP协议。 IP数据包头部格式（RFC791）1.jpg (39.03 KB)2007-6-19 08:13Example Internet Datagram Header上面的就是IP数据的头部格式，这里大概地介绍一下。 IP头部由20字节的固定长度和一个可选任意长度部分构成，以大段点机次序传送，从左到 右。 TCP协议 TCP协议（TRANSMISSION CONTROL PROTOCOL）是传输层协议，为应用层提供服务，和UDP不同的是，TCP协议提供的可靠的面向连接的服务。在RFC793中是基本的TCP描述。关于TCP协议的头部格式内容的说明： TCP Header FORMat2.jpg (33.45 KB)2007-6-19 08:15TCP Header FORMat 跟IP头部差不多，基本的长度也是20字节。TCP数据包是包含在一个IP数据报文中的。 好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次FTP的连接，呵呵，是cuteftp默认的cuteftp的FTP站点，IP地址是：1。我的IP地址假设为:。下面的数据就是TCO/IP连接过程中的数据传输。我们可以分析TCP/IP协议数据格式以及TCP/IP连接的三次握手（ThreeWay-Handshake）情况。下面的这些十六进制数据只是TCP/IP协议的数据，不是完整的网络通讯数据。 第一次，我向FTP站点发送连接请求（我把TCP数据的可选部分去掉了）-1 IP头部： 45 00 00 30 52 52 40 00 80 06 2c 23 c0 a8 01 01 d8 03 e2 15 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 来看看IP头部的数据是些什么。 第一字节，“45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为12，IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。 接下来的一个字节“00”是服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的TOS子字段以及1 bit的未用字段（现在为0）构成.4 bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1bit位最多只能有一个为1，本例中都为0，表示是一般服务。 接着的两个字节“00 30”是IP数据报文总长，包含头部以及数据，这里表示48字节。这48字节由20字节的IP头部以及28字节的TCP头构成（本来截取的TCP头应该是28字节的，其中8字节为可选部分，被我省去了）。因此目前最大的IP数据包长度是65535字节。 再是两个字节的标志位（Identification）：“5252”，转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。 下一个字节“40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（Fragment Offset）。 “80”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“80”，转换为十进制就是128了，我用的WIN2000。 继续下来的是“06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。 “2c 23”这个16bit是头校验和（Header Checksum）。 接下来“c0 a8 01 01”，这个就是源地址（Source Address）了，也就是我的IP地址。 转换为十进制的IP地址就是：，同样，继续下来的32位“d8 03 e2 15”是目标地址，1 好了，真累啊，终于看完基本的20字节的IP数据报头了。继续看TCP的头部吧，这个是作为IP数据包的数据部分传输的。 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 一来就是一个两字节段“0d 28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“00 15”表示目标端口，因为我是连接FTP站点，所以，这个就是21啦，十六进制当然就是“00 15”。 接下来的四个字节“50 5f a9 06”是顺序号（Sequence Number），简写为SEQ， SEQ=1348446470下面的四个字节“00 00 00 00”是确认号（Acknowledgment Number），简写为ACKNUM。 继续两个字节，“70 02”，转换为二进制吧，“0111 0000 0000 0010”。这两个字节,总共16bit，有好多东西呢。第一个4bit“0111”，是TCP头长，十进制为7，表示28个字节（刚才说了，我省略了8字节的option数据，所以你只看见了20字节）。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“00 0010”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍： URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断 ACK：（Acknowledgment fieldsignificant）置1时表示确认号（AcknowledgmentNumber）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。 PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。 RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。 SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。 FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。 这6个标志位，你们自己对号入座吧。本例中SYN=1，ACK=0，当然就是表示连接请求了。我们可以注意下面两个过程的这两位的变换。 后面的“40 00 c0 29 00 00”不讲了，呵呵，偷懒了。后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。 第二次，FTP站点返回一个可以连接的信号。 1- IP头部： 45 00 00 2c c6 be 40 00 6a 06 cd ba d8 03 e2 15 c0 a8 01 01 TCP头部：00 15 0d 28 4b 4f 45 c1 50 5f a9 07 60 12 20 58 64 07 00 00 第三次，我确认连接。TCP连接建立起来。 -1 IP头部： 45 00 00 28 52 53 40 00 80 06 2c 2a c0 a8 01 01 d8 03 e2 15 TCP头部：0d 28 00 15 50 5f a9 07 4b 4f 45 c2 50 10 40 b0 5b 1c 00 00 好，我们看看整个Threeway_handshake过程。 第一步，我发出连接请求，TCP数据为：SEQ=50 5f a9 06，ACKNUM=00 00 00 00，SYN=1，ACK=0。 第二步，对方确认可以连接，TCP数据为：SEQ=4b 4f 45 c1，ACKNUM=50 5f a9 07，SYN=1，ACK=1。 第三步，我确认建立连接。SEQ=50 5f a9 07， ACKNUM=4b 4f45c2，SYN=0，ACK=1。 可以看出什么变化么？正式建立连接了呢，这些东西是什么值？ 我接收从1-的下一个数据包中： SEQ=4b 4f 45 c2，ACKNUM=50 5f a9 07,SYN=0,ACK=1这些都是很基础的东西，对于编写sniffer这样的东西是必须非常熟悉的。这里只讲解了TCP/IP协议的一点点东西，主要是头部数据的格式。 一、Ethernet地址为了标识以太网上的每台主机，需要给每台主机上的网络适配器（网络接口卡）分配一个唯一的通信地址，即Ethernet地址或称为网卡的物理地址、MAC地址。 IEEE负责为网络适配器制造厂商分配Ethernet地址块，各厂商为自己生产的每块网络适配器分配一个唯一的Ethernet地址。因为在每块网络适配器出厂时，其Ethernet地址就已被烧录到网络适配器中。所以，有时我们也将此地址称为烧录地址（Burned-In-Address，BIA）。 Ethernet地址长度为48比特，共6个字节，如图1所示。其中，前3字节为IEEE分配给厂商的厂商代码，后3字节为网络适配器编号。图1Ethernet地址二、CSMA/CD在ISO的OSI参考模型中，数据链路层的功能相对简单。它只负责将数据从一个节点可靠地传输到相邻节点。但在局域网中，多个节点共享传输介质，必须有某种机制来决定下一个时刻，哪个设备占用传输介质传送数据。因此，局域网的数据链路层要有介质访问控制的功能。为此，一般将数据链路层又划分成两个子层：逻辑链路控制LLC（Logic Line Control）子层介质访问控制MAC（Media Access Control）子层图2LLC和MAC子层如图2所示。其中，LLC子层负责向其上层提供服务；MAC子层的主要功能包括数据帧的封装/卸装，帧的寻址和识别，帧的接收与发送，链路的管理，帧的差错控制等。MAC子层的存在屏蔽了不同物理链路种类的差异性。在MAC子层的诸多功能中，非常重要的一项功能是仲裁介质的使用权，即规定站点何时可以使用通信介质。实际上，局域网技术中是采用具有冲突检测的载波侦听多路访问（Carrier Sense Multiple Access / Collision Detection，CSMA/CD）这种介质访问方法的。在这种介质访问方法中规定：在发送数据之前，一个节点必须首先侦听网线上的载波，如果在9.6微秒的时间之内没有检测到载波（说明通信介质空闲），节点才可以发送一帧数据。如果两个节点同时检测到介质空闲并同时发送出一帧数据，则会导致数据帧的冲突，双方的数据帧均被破坏。一方面，检测到冲突的节点会发送冲突增强信号（32比特的1）通知介质上的每个节点发生了冲突。另一方面，发生冲突的节点在再次发送自己的数据帧之前会各自等待一段随机的时间。随着以太网上节点数量的增加，冲突的数量也随之增加，而整个网段的有效带宽将随之减少。三、以太网帧格式目前，有四种不同格式的以太网帧在使用，它们分别是： Ethernet II即DIX 2.0：Xerox与DEC、Intel在1982年制定的以太网标准帧格式。Cisco名称为：ARPA。 Ethernet 802.3 raw：Novell在1983年公布的专用以太网标准帧格式。Cisco名称为：Novell-Ether。 Ethernet 802.3 SAP：IEEE在1985年公布的Ethernet 802.3的SAP版本以太网帧格式。Cisco名称为：SAP。 Ethernet 802.3 SNAP：IEEE在1985年公布的Ethernet 802.3的SNAP版本以太网帧格式。Cisco名称为：SNAP。在每种格式的以太网帧的开始处都有64比特（8字节）的前导字符，如图3所示。其中，前7个字节称为前同步码（Preamble），内容是16进制数0xAA，最后1字节为帧起始标志符0xAB，它标识着以太网帧的开始。前导字符的作用是使接收节点进行同步并做好接收数据帧的准备。图3以太网帧前导字符除此之外，不同格式的以太网帧的各字段定义都不相同，彼此也不兼容。四、Ethernet II帧格式如图4所示，是Ethernet II类型以太网帧格式。图4Ethernet II帧格式 Ethernet II类型以太网帧的最小长度为64字节（662464），最大长度为1518字节（66215004）。其中前12字节分别标识出发送数据帧的源节点MAC地址和接收数据帧的目标节点MAC地址。（注：ISL封装后可达1548字节，802.1Q封装后可达1522字节）接下来的2个字节标识出以太网帧所携带的上层数据类型，如16进制数0x0800代表IP协议数据，16进制数0x809B代表AppleTalk协议数据，16进制数0x8138代表Novell类型协议数据等。在不定长的数据字段后是4个字节的帧校验序列（Frame. Check Sequence，FCS），采用32位CRC循环冗余校验对从目标MAC地址字段到数据字段的数据进行校验。五、Ethernet 802.3 raw帧格式如图5所示，是Ethernet 802.3 raw类型以太网帧格式。图5Ethernet 802.3 raw帧格式在Ethernet 802.3 raw类型以太网帧中，原来Ethernet II类型以太网帧中的类型字段被总长度字段所取代，它指明其后数据域的长度，其取值范围为：46-1500。接下来的2个字节是固定不变的16进制数0xFFFF，它标识此帧为Novell以太类型数据帧。六、Ethernet 802.3 SAP帧格式如图6所示，是Ethernet 802. 3 SAP类型以太网帧格式。图6Ethernet 802. 3 SAP帧格式从图中可以看出，在Ethernet 802.3 SAP帧中，将原Ethernet 802.3 raw帧中2个字节的0xFFFF变为各1个字节的DSAP和SSAP，同时增加了1个字节的控制字段，构成了802.2逻辑链路控制（LLC）的首部。LLC提供了无连接（LLC类型1）和面向连接（LLC类型2）的网络服务。LLC1是应用于以太网中，而LLC2应用在IBM SNA网络环境中。新增的802.2 LLC首部包括两个服务访问点：源服务访问点（SSAP）和目标服务访问点（DSAP）。它们用于标识以太网帧所携带的上层数据类型，如16进制数0x06代表IP协议数据，16进制数0xE0代表Novell类型协议数据，16进制数0xF0代表IBM NetBIOS类型协议数据等。至于1个字节的控制字段，则基本不使用（一般被设为0x03，指明采用无连接服务的802.2无编号数据格式）。七、Ethernet 802.3 SNAP帧格式如图7所示，是Ethernet 802. 3 SNAP类型以太网帧格式。图7Ethernet 802. 3 SNAP帧格式 Ethernet 802. 3 SNAP类型以太网帧格式和Ethernet 802. 3 SAP类型以太网帧格式的主要区别在于： 2个字节的DSAP和SSAP字段内容被固定下来，其值为16进制数0xAA。 1个字节的控制字段内容被固定下来，其值为16进制数0x03。 增加了SNAP字段，由下面两项组成：新增了3个字节的组织唯一标识符（Organizationally Unique Identifier，OUI ID）字段，其值通常等于MAC地址的前3字节，即网络适配器厂商代码。2个字节的类型字段用来标识以太网帧所携带的上层数据类型。浅谈以太网帧格式用过NetXray之类的抓包软件的人，可能经常会被一些不同的Frame. Header搞糊涂，为何用的Frame的Header是这样的，而另外的又不一样。这是因为在Ethernet中存在几种不同的帧格式，下面就简单介绍一下几种不同的帧格式及他们的差异。一。Ethernet帧格式的发展1980 DEC,Intel,Xerox制订了Ethernet I的标准1982 DEC,Intel,Xerox又制订了Ehternet II的标准