protocol_analysis(协议分析)

协议分析协议分析 ARP 协议解码详解协议解码详解 一 一 ARP 协议简介协议简介 ARP 全称 Address Resolution Protocol 中文名为地址解析协议 它工作在数据链路层 在本层和硬件接口联系 同时对上层提供服务 IP 数据包常通过以太网发送 以太网设备并不识别 32 位 IP 地址 它们是以 48 位以太网 地址传输以太网数据包 因此 必须把 IP 目的地址转换成以太网目的地址 在以太网中 一个主机要和另一个主机进行直接通信 必须要知道目标主机的 MAC 地址 但这个目标 MAC 地址是如何获得的呢 它就是通过地址解析协议获得的 ARP 协议用于将网络中的 IP 地址解析为的硬件地址 MAC 地址 以保证通信的顺利进行 1 ARP 和和 RARP 报头结构报头结构 ARPARP 和和 RARPRARP 使用相同的报头结构 如图使用相同的报头结构 如图 1 1 所示 所示 硬件类型协议类型 硬件地址长度协议长度操作类型 发送方的硬件地址 0 3 字节 源物理地址 4 5 字节 源 IP 地址 0 1 字节 源 IP 地址 2 3 字节 目标硬件地址 0 1 字节 目标硬件地址 2 5 字节 目标 IP 地址 0 3 字节 图 1 ARP RARP 报头结构 硬件类型字段指明了发送方想知道的硬件接口类型 以太网的值为 1 协议类型字段指明了发送方提供的高层协议类型 IP 为 0800 16 进制 硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度 这样 ARP 报文就可 以在任意硬件和任意协议的网络中使用 操作字段用来表示这个报文的类型 ARP 请求为 1 ARP 响应为 2 RARP 请求为 3 RARP 响应为 4 发送方的硬件地址 0 3 字节 源主机硬件地址的前 3 个字节 发送方的硬件地址 4 5 字节 源主机硬件地址的后 3 个字节 发送方 IP 0 1 字节 源主机硬件地址的前 2 个字节 发送方 IP 2 3 字节 源主机硬件地址的后 2 个字节 目的硬件地址 0 1 字节 目的主机硬件地址的前 2 个字节 目的硬件地址 2 5 字节 目的主机硬件地址的后 4 个字节 目的 IP 0 3 字节 目的主机的 IP 地址 2 ARP 和和 RARP 的工作原理的工作原理 ARPARP 的工作原理如下 的工作原理如下 1 首先 每台主机都会在自己的 ARP 缓冲区 ARP Cache 中建立一个 ARP 列表 以表示 IP 地址和 MAC 地址的对应关系 2 当源主机需要将一个数据包要发送到目的主机时 会首先检查自己 ARP 列表中是否存 在该 IP 地址对应的 MAC 地址 如果有 就直接将数据包发送到这个 MAC 地址 如果 没有 就向本地网段发起一个 ARP 请求的广播包 查询此目的主机对应的 MAC 地址 此 ARP 请求数据包里包括源主机的 IP 地址 硬件地址 以及目的主机的 IP 地址 3 网络中所有的主机收到这个 ARP 请求后 会检查数据包中的目的 IP 是否和自己的 IP 地址一致 如果不相同就忽略此数据包 如果相同 该主机首先将发送端的 MAC 地址 和 IP 地址添加到自己的 ARP 列表中 如果 ARP 表中已经存在该 IP 的信息 则将其覆 盖 然后给源主机发送一个 ARP 响应数据包 告诉对方自己是它需要查找的 MAC 地址 4 源主机收到这个 ARP 响应数据包后 将得到的目的主机的 IP 地址和 MAC 地址添加到自 己的 ARP 列表中 并利用此信息开始数据的传输 如果源主机一直没有收到 ARP 响应 数据包 表示 ARP 查询失败 RARPRARP 的工作原理如下 的工作原理如下 1 发送主机发送一个本地的 RARP 广播 在此广播包中 声明自己的 MAC 地址并且请求任 何收到此请求的 RARP 服务器分配一个 IP 地址 2 本地网段上的 RARP 服务器收到此请求后 检查其 RARP 列表 查找该 MAC 地址对应的 IP 地址 3 如果存在 RARP 服务器就给源主机发送一个响应数据包并将此 IP 地址提供给对方主机 使用 4 如果不存在 RARP 服务器对此不做任何的响应 5 源主机收到从 RARP 服务器的响应信息 就利用得到的 IP 地址进行通讯 如果一直没 有收到 RARP 服务器的响应信息 表示初始化失败 二 二 解码详解解码详解 了解了 ARP 和 RARP 协议的报头结构和工作原理后 我们使用科来网络分析系统抓取 ARP 包 其详细解码 如图 1 图 1 科来网络分析系统中 ARP 请求包详细解码 图 1 显示是一个 ARP 的请求包的解码 下面我们来详细说明 硬件类型 1 表示硬件借口类型为以太网类型 协议类型 0 x0800 表示发送方提供的高层协议类型是 IP 硬件地址长度 表示硬件地址长度为 6 字节 48 位 协议地址长度 表示 IP 地址长度为 4 字节 32 位 操作类型 1 表示 ARP 请求 源物理地址 00 14 85 CA F5 22 源 IP 地址 192 168 0 92 目标物理地址 00 00 00 00 00 00 目标 IP 地址 192 168 0 208 ARP 回应包和 RARP 的包类似 我们在这里就不再重复说明 协议分析协议分析 DHCP 协议解码详解协议解码详解 一 一 DHCP 协议简介协议简介 DHCP 全称是 Dynamic Host Configuration Protocol 中文名为动态主机配置协议 它的前身是 BOOTP 它工作在 OSI 的应用层 是一种帮助计算机从指定的 DHCP 服务器 获取它们的配置信息的自举协议 DHCP 使用客户端 服务器模式 请求配置信息的计算机叫做 DHCP 客户端 而提供信息 的叫做 DHCP 的服务器 DHCP 为客户端分配地址的方法有三种 手工配置 自动配置 动态配置 DHCP 最重要的功能就是动态分配 除了 IP 地址 DHCP 分组还为客户端提供其他的配 置信息 比如子网掩码 这使得客户端无需用户动手就能自动配置连接网络 1 DHCP 的工作流程的工作流程 发现阶段发现阶段 即 DHCP 客户机寻找 DHCP 服务器的阶段 DHCP 客户机以广播方式 因为 DHCP 服务器的 IP 地址对于客户机来说是未知的 发送 DHCP discover 发现信息来寻找 DHCP 服务器 即向地址 255 255 255 255 发送特定的广播信息 网络上每一台安装了 TCP IP 协议的主机都会接收到这种广播信息 但只有 DHCP 服务器才会做出响应 提供阶段提供阶段 即 DHCP 服务器提供 IP 地址的阶段 在网络中接收到 DHCP discover 发现 信息的 DHCP 服务器都会做出响应 它从尚未出租的 IP 地址中挑选一个分配给 DHCP 客 户机 向 DHCP 客户机发送一个包含出租的 IP 地址和其他设置的 DHCP offer 提供信息 选择阶段选择阶段 即 DHCP 客户机选择某台 DHCP 服务器提供的 IP 地址的阶段 如果有多台 DHCP 服务器向 DHCP 客户机发来的 DHCP offer 提供信息 则 DHCP 客户机只接受第 一个收到的 DHCP offer 提供信息 然后它就以广播方式回答一个 DHCP request 请求信 息 该信息中包含向它所选定的 DHCP 服务器请求 IP 地址的内容 之所以要以广播方式 回答 是为了通知所有的 DHCP 服务器 他将选择某台 DHCP 服务器所提供的 IP 地址 确认阶段确认阶段 即 DHCP 服务器确认所提供的 IP 地址的阶段 当 DHCP 服务器收到 DHCP 客 户机回答的 DHCP request 请求信息之后 它便向 DHCP 客户机发送一个包含它所提供 的 IP 地址和其他设置的 DHCP ACK 确认信息 告诉 DHCP 客户机可以使用它所提供的 IP 地址 然后 DHCP 客户机便将其 TCP IP 协议与网卡绑定 另外 除 DHCP 客户机选 中的服务器外 其他的 DHCP 服务器都将收回曾提供的 IP 地址 重新登录重新登录 以后 DHCP 客户机每次重新登录网络时 就不需要再发送 DHCP discover 发 现信息了 而是直接发送包含前一次所分配的 IP 地址的 DHCP request 请求信息 当 DHCP 服务器收到这一信息后 它会尝试让 DHCP 客户机继续使用原来的 IP 地址 并回 答一个 DHCP ACK 确认信息 如果此 IP 地址已无法再分配给原来的 DHCP 客户机使用 时 比如此 IP 地址已分配给其它 DHCP 客户机使用 则 DHCP 服务器给 DHCP 客户机 回答一个 DHCP NACK 否认信息 当原来的 DHCP 客户机收到此 DHCP NACK 否认信息 后 它就必须重新发送 DHCP discover 发现信息来请求新的 IP 地址 更新租约更新租约 DHCP 服务器向 DHCP 客户机出租的 IP 地址一般都有一个租借期限 期满后 DHCP 服务器便会收回出租的 IP 地址 如果 DHCP 客户机要延长其 IP 租约 则必须更新 其 IP 租约 DHCP 客户机启动时和 IP 租约期限过一半时 DHCP 客户机都会自动向 DHCP 服务器发送更新其 IP 租约的信息 2 DHCP 的报文格式的报文格式 我们来介绍一下 DHCP 的报文格式 如图 1 OP 1 Htype 1 Hlen 1 Hops 1 Transaction ID 4 Seconds 2 Flags 2 Ciaddr 4 Yiaddr 4 Siaddr 4 Giaddr 4 Chaddr 16 Sname 64 File 128 Options variable 图 1 DHCP 的 报文格式 OP 若是 client 送给 server 的封包 设为 1 反向为 2 Htype 硬件类别 ethernet 为 1 Hlen 硬件长度 ethernet 为 6 Hops 若数据包需经过 router 传送 每站加 1 若在同一网内 为 0 Transaction ID 事务 ID 是个随机数 用于客户和服务器之间匹配请求和相应消 息 Seconds 由用户指定的时间 指开始地址获取和更新进行后的时间 Flags 从 0 15bits 最左一 bit 为 1 时表示 server 将以广播方式传送封包给 client 其余尚未使用 Ciaddr 用户 IP 地址 Yiaddr 客户 IP 地址 Siaddr 用于 bootstrap 过程中的 IP 地址 Giaddr 转发代理 网关 IP 地址 Chaddr client 的硬件地址 Sname 可选 server 的名称 以 0 x00 结尾 File 启动文件名 Options 厂商标识 可选的参数字段 二 二 解码解码信息信息 通过 DHCP 的 工作流程 我们知道从 DHCP 服务器获取配置信息的 4 个阶段中 DHCP 客户端会出现有 4 种报文 DHCPDISCOVERY DHCPOFFER DHCPREQUEST DHCPACK 我们分别来看 看 4 报文的解码内容 1 发现阶段发现阶段 使用科来网络分析系统捕获 DHCP DISCOVERY 数据包 如图 2 图 2 DHCP DISCOVERY 数据包解码 由图 2 可以看到 DHCP DISCOVERY 包的解码信息 由于 DHCP 是 BOOTP 的以个扩展 DHCP 兼容 BOOTP 我们可以看到 BOOTP 和 DHCP 的解码 2 提供阶段提供阶段 使用科来网络分析系统捕获 DHCP OFFER 数据包 如图 3 图 3 DHCP OFFER 数据包解码 3 选择阶段选择阶段 使用科来网络分析系统捕获 DHCP REQUEST 数据包 如图 4 图 4 DHCP REQUEST 数据包解码 4 确认阶段确认阶段 使用科来网络分析系统捕获 DHCP ACK 数据包 如图 5 图 5 DHCP ACK 数据包解码 以上为 DHCP 工作的 4 种数据包 每种数据包都是有区别的 协议分析协议分析 ICMP 协议解码详解协议解码详解 一 一 ICMP 协议简介协议简介 ICMP 全称 Internet Control Message Protocol 中文名为因特网控制报文协议 它工作 在 OSI 的网络层 向数据通讯中的源主机报告错误 ICMP 可以实现故障隔离和故障恢复 网络本身是不可靠的 在网络传输过程中 可能会发生许多突发事件并导致数据传输失败 网络层的 IP 协议是一个无连接的协议 它不会处理网络层传输中的故障 而位于网络层的 ICMP 协议却恰好弥补了 IP 的缺限 它使用 IP 协议进行信息传递 向数据包中的源端节点 提供发生在网络层的错误信息反馈 ICMP 的报头长 8 字节 结构如图 1 所示 比特 0 7 8 15 16 比特 31 类型 0 或 8 代码 0 检验和 为使用 数据 图 1 ICMP 报头结构 类型类型 标识生成的错误报文 它是 ICMP 报文中的第一个字段 代码代码 进一步地限定生成 ICMP 报文 该字段用来查找产生错误的原因 校验和校验和 存储了 ICMP 所使用的校验和值 未使用未使用 保留字段 供将来使用 起值设为 0 数据数据 包含了所有接受到的数据报的 IP 报头 还包含 IP 数据报中前 8 个字节的数据 ICMP 协议提供的诊断报文类型如表 1 所示 类型类型描述描述 0 回应应答 Ping 应答 与类型 8 的 Ping 请求一起使用 3 目的不可达 4 源消亡 5 重定向 8 回应请求 Ping 请求 与类型 8 的 Ping 应答一起使用 9 路由器公告 与类型 10 一起使用 10 路由器请求 与类型 9 一起使用 11 超时 12 参数问题 13 时标请求 与类型 14 一起使用 14 时标应答 与类型 13 一起使用 15 信息请求 与类型 16 一起使用 16 信息应答 与类型 15 一起使用 17 地址掩码请求 与类型 18 一起使用 18 地址掩码应答 与类型 17 一起使用 表 1 ICMP 诊断报文类型 ICMP 提供多种类型的消息为源端节点提供网络层的故障信息反馈 它的报文类型可以归纳 为以下 5 个大类 诊断报文 类型 8 代码 0 类型 0 代码 0 目的不可达报文 类型 3 代码 0 15 重定向报文 类型 5 代码 0 4 超时报文 类型 11 代码 0 1 信息报文 类型 12 18 二 二 详细解码详细解码 使用科来网络分析系统捕获数据包 我们得到ICMP回显报文的信息 如图1所示 图 1 科来网络分析系统抓取的 ICMP 回显报文 我们详细介绍在图 1 中的解码信息 类型 8 表示是一个 ICMP 回显请求报文 代码 0 表示网络不可达 校验和 表示 ICMP 的 0 x425C 使用 IP 校验和的算法 标识 0 x0400 序列号 0 x0700 每一个 ICMP 回显报文都有一个序列号且是递增的 数据 表示是一个 32 字节的数据 注注 以上是一个 ICMP 回送报文 可以看出了和前面列出的 ICMP 报文有点不一样 因为 ICMP 有几种类型的报文 目标不可达报文 重定向报文 超时报文 回送请求和回送应 答报文 每一种报文都相对都有一些区别 这里我们就不在特别介绍 协议分析协议分析 IP 协议解码详解协议解码详解 一 一 IP 协议简介协议简介 IP 全称 Internet Protocol 中文名叫因特网协议 它工作在 OSI 的网络层 它负责将 数据传输到正确的目的地 同时也负责路由 无论传输层使用何种协议 都要依赖 IP 来发 送和接受数据 IP 提供一种无连接的传输机制 这就意味着在网络传输的每个数据报都作为独立的单元来 对待 IP 并不维护服务器和客户端之间的连接细节 IP 不能保证数据传输的可靠性 然而 这些并不意味着分组将被毫无规则的忽略 而是仅 在网络出现故障时才会发生数据丢失 下面我们来介绍一下 IP 数据报的格式 IPIP 数据报格式数据报格式 如图 1 版本头部长度服务类型总长度 标识分段标志分段偏移量 生存时间协议校验和 源地址 目标地址 选项填充 数据 图 1 IP 数据报的格式 版本版本 用于传输数据的 IP 版本 大小为 4 位 头部长度头部长度 用于规定报头长度 服务类型服务类型 用于设置数据传输的优先权或者优先级 其大小为 8 位 总长度总长度 指出数据报的总长 数据报总长 报头长度 数据长度 大小为 16 位 标识标识 用于标识所有的分段 大小为 16 位 分段标志分段标志 确定一个数据报是否可以分段 同时也指出当前分段后面是否还有更多分 段 大小为 3 位 分段偏移量分段偏移量 由目标计算机用于查找分段在整个数据报中的位置 大小位 13 位 生存时间生存时间 设置数据报可以经过的最多路由器数 长度为 8 位 协议协议 指定用于创建数据字段中的数据的上层协议 大小为 8 位 校验和校验和 检查所传输数据的完整性 大小为 16 位 源地址源地址 源 IP 地址 字段长度为 32 位 目标地址目标地址 目标 IP 地址 字段长度为 32 位 选项选项 不上一个必须的字段 字段长度具体取决于所选择的 IP 选项 数据数据 包含网络中传输的数据 IP 数据报还包括上层协议的报头信息 二 二 解码详解解码详解 使用科来网络分析系统捕获 IP 数据包 其详细解码如图 2 图 2 科来网络分析系统中 IP 数据包的详细解码 图 2 为科来网络分析系统中 IP 数据包的详细解码 下面我们来分别说明 IP 数据包的解码 信息 版本 4 表示当前网络中为 IPv4 头部长度 4 表示 IP 报头长度为 5x4 20 字节 服务类型 0 表示当前 IP 数据包中没有使用服务类型字段 总长度 40 表示该数据报总长为 40 字节 标识 表示该数据报的标识为 0 x41AB 16 进制 分段标志 第二位为 1 表示该数据报不能被分段 分段偏移量 由于没有被分段 所以该分段便偏移量为 0 生存时间 表示该数据报最多可以经过 128 个路由 上层协议 6 代表 TCP 协议 校验和 该数据报校验和为 0 x36A8 正确 表示该数据报是完整的 源 IP 地址 192 168 0 208 目标 IP 地址 192 168 0 92 选项 表示该数据报没有选项字段 协议分析协议分析 PPPOE Discovery 协议解协议解 码详解码详解 一 一 PPPOE 协议介绍协议介绍 PPPOE 全称 Point to Point Protocol Over Ethernet 它工作在 OSI 的数据链路层 PPPOE 协议提供了在广播式的网络 如以太网 中多台主机连接到远端的访问集中器 我 们对目前能完成上述功能的设备为宽带接入服务器 上的一种标准 1 PPPOE 的工作原理的工作原理 PPPOE 协议共包括两个阶段 即 PPPOE 的发现阶段 PPPOE Discovery Stage 和 PPPOE 的会话阶段 PPPOE Session Stage 而两者的主要区别在于只是在 PPP 的数 据报文前封装了 PPPOE 的报文头 当一个主机希望能够开始一个 PPPOE 会话时 它首先会在广播式的网络上寻找一个访问 集中器 当然可能网络上会存在多个访问集中器时 对于主机而言则会根据各访问集中器 AC Access Concentration 所能提供的服务或用户的预先的一些配置来进行相应的 选择 当主机选择完了所需要的访问集中器后 就开始和访问集中器建立一个 PPPOE 会 话进程 在这个过程中访问集中器会为每一个 PPPOE 会话分配一个唯一的进程 ID 会话 建立起来后就开始了 PPPOE 的会话阶段 在这个阶段中已建立好点对点连接的双方 这 种点对点的结构与 PPP 不一样 它是一种逻辑上的点对点关系 就采用 PPP 协议来交换 数据报文 从而完成一系列 PPP 的过程 最终将在这点对点的逻辑通道上进行网络层数据 报的传送 2 PPPOE 的数据报文格式的数据报文格式 我们简要介绍一下 PPPOE 的数据报文格式 PPPOE 的数据报文是被封装在以太网帧的数 据域内的 简单来说我们可能把 PPPOE 报文分成两大块 一大块是 PPPOE 的数据报头 另一块则是 PPPOE 的净载荷 数据域 对于 PPPOE 报文数据域中的内容会随着会话过 程的进行而不断改变 下图 1 为 PPPOE 的报文的格式 版本类型代码会话 ID 长度域净载荷 或数据域 图 1 PPPOE 数据报格式 PPPOE 数据报文最开始的 4 位为版本域 协议中给出了明确的规定 这个域的内容 填充 0 x1 紧接在版本域后的 4 位是类型域 协议中同样规定 这个域的内容填充为 0 x1 代码域占用 1 个字节 对于 PPPOE 的不同阶段这个域内的内容也是不一样的 会话 ID 点用 2 个字节 当访问集中器还未分配唯一的会话 ID 给用户主机的话 则该 域内的内容必须填充为 0 x0000 一旦主机获取了会话 ID 后 那么在后续的所有报 文中该域必须填充那个唯一的会话 ID 值 长度域为 2 个字节 用来指示 PPPOE 数据报文中净载荷的长度 数据域 有时也称之为净载荷域 在 PPPOE 的不同阶段该域内的数据内容会有很大 的不同 在 PPPOE 的发现阶段时 该域内会填充一些 Tag 标记 而在 PPPOE 的 会话阶段 该域则携带的是 PPP 的报文 这里我们主要来介绍一下 PPPOE 发现阶段的报文格式以及它的报文 1 PPPOE 数据报文中数据报文中 Tag 标记 的格式 标记 的格式 对于发现阶段的 PPPOE 数据报文而言 它的净载荷可能包含零个或多个 Tag 标记 实 际上这些标记的意义非常类似于 PPP 配置参数选项 它同样也是要经过协商的 对于 PPPOE 协议而言 没有像 PPP 的配置参数选项那样定义了很多细节 而只是一个初略的 定义 因此在实际当中实现这个过程会依据不同厂商的设备有不同 首先还是让我们看一 下承载在 PPPOE 报文数据域中的标记封装格式 如图 2 类型长度 数据 图 2 标记的封装格式 从图 2 中可以看出 标记的封装格式采用的是大家所熟知的 TLV 结构 也即是 类型 长 度 数据 标记的类型域为 2 个字节 下表列出了各种标记类型的含义 标记类型标记说明 0 x0000表示PPPOE报文数据域中一串标记的结束 为了保证版本的 兼容性而保留 在有些报文中有应用 0 x0101服务名 主要用来表明网络侧所能提供给用户的一些服务 0 x0102访问集中器名 当用户侧接收到了AC的回应的PADO报文时 就可获从所携带的标记中获知访问集中器的名子 而且还可 以据此来选择相应的访问集中器 0 x0103主机唯一标识 类似于PPP数据报文中的标识域 主要是用来 匹配发送和接收端的 因为对于广播式的网络中会同时存在 很多个PPPOE的数据报文 0 x0104AC Cookies 主要被用来防止恶意性DOS功击 0 x0105销售商的标识符 0 x0110中继会话ID 对于PPPOE的数据报文也同样可以像DHCP报 文一样被中断到另外的AC上终结 这个字段则是用来维护另 一个连接的 0 x0201服务名错误 当请求的服务名不被对端所接受时 会在响应 的报文中携带这个标记 0 x0202访问集中器名出错 0 x0203一般性错误 标记的长度域为 2 个字节 它用来指明标记数据域的长度 标记的数据域中用来放置不同类型标记所对应的相关数据 2 PPPOE 发现阶段的数据报文发现阶段的数据报文 PPPOE 的发现阶段可分为四步 其实这个过程也是 PPPOE 四种数据报文的交换的一个过 程 当完成这四步后 用户主机与访问集中器双方就能获知对方的 MAC 地址和唯一的会 话 ID 号 从而进入到下一个阶段 PPPOE 的会话阶段 实际上双方在互相知道了对方 的 MAC 地址后 就已经在广播式的网络上确定了一一的对应关系 为了保证这个连接的 有效性 同时使 PPPOE 协议能更加灵活的运用 因此还加入了会话 ID 字段 通过这两个 条件就可完成确定双方点对点的关系 在这个阶段一开始 由于接入用户并不知道访问集中器的 MAC 地址 则使用类似于 ARP 解析的过程的机制来获取访问集中器的 MAC 地址 首先由接入用户侧发起一个初始化的 广播报文 对于访问集中器如果配置了 PPPOE 的业务时 它会时实检测网络上的数据包 当发现以太网数据帧中所承载的是 PPPOE 报文时 通过协议域的内容来区分 就会将其 交给相应的模块去处理 当收到初始化报文后 访问集中器会向该用户回应一个报文 如 果网络上存在很多这样的访问集中器且都收到了用户侧发送的初始化报文时 它们也都会 向用户侧会送一个确认报文 如果该用户收到这个报文后 则会依据报文中所携带的内容 或本端的一些配置来选择一个唯一的访问集中器进行会话 到此时已完成了前两步了 那 么剩下的两步则是协商一些所提供的服务选项和获取 PPPOE 会话阶段所必须的会话 ID 值 说明 在这个阶段 所有数据报文是被承载在以太网的数据域中的 而且以太网数据帧的 协议域始终为 0 x8863 在 PPPOE 发现阶段的四步的过程中 PPPOE 会遇到 PADI PADO PADR 和 PADS 这 四种报文 PPPOE 中的 PADT 报文是用来终止一条会话的 PADI PPPOE Active Discovery Initiation 报文 报文 PPPOE 发现阶段的第一步 也即是由用户侧首先发送这样一个报文 用户主机是以广播的 方式发送这个报文 所以该报文所对应的以太网帧的目的地址域应填充为全 1 而源地址 域填充用户主机的 MAC 地址 广播包可能会被多个访问集中器接收到 PADO PPPOE Active Discovery Offer 报文 报文 PPPOE 发现阶段的第二步 也即是由访问集中器回应各用户主机发送的 PADI 报文 此时 该报文所对应的以太网帧的源地址填充访问集中器的 MAC 地址 而目的地址则填充从 PADI 中所获取的用户主机的 MAC 地址 PADR PPPOE Active Discovery Request 报文 报文 PPPOE 发现阶段的第三步 也即是由用户主机向访问服务器发送单播的请求报文 当用户 主机收到 PADO 报文后 会从这些报文中挑选一个访问集中器作为后续会话的对象 由于 用户主机在收到 PADO 报文后 就获知了访问集中器的 MAC 地址 因此 PADR 报文所以 应的以太网帧的源地址填充用户主机的 MAC 地址 而以太网的目的地址填充为访问集中 器的 MAC 地址 PADS PPPOE Active Discovery Session confirmation 报文 报文 PPPOE 发现阶段的第四步 也即是最后一步 此时访问集中器当收到 PADR 报文时 就 准备进入开始一个 PPP 的会话了 而此时访问集中器会为在这个会话分配一个唯一的会话 进程 ID 并在发送给主机的 PADS 报文中携带上这个会话 ID 当然如果访问集中器不满 足用户所申请的服务的话 则会向用户发送一个 PADS 报文 而其中携带一个服务名错误 的标记 而且此时该 PADS 报文中的会话 ID 填充 0 x0000 PADT PPPOE Active Discovery Terminate 报文 报文 PADT 报文可能在会话进行开始之后的任意时间内被发送 主要是用来终止一个 PPPOE 会话的止 它可以由主机或访问集中器发送 目的地址填充为对端的以太网的 MAC 地址 二 二 PPPOE Discovery 详细解码详细解码 我们使用科来网络分析系统捕获 PPPOE 数据包 如图 3 图 3 PPPOE Discovery 的详细解码 查看科来网络分析系统中的详细解码 可以看出这是 PPPOE 发现阶段的第一步的 PADI 报 文 我们来详细说明 版本 1 协议中给出了明确的规定 这个域的内容填充 0 x1 类型 1 协议中也给了明确的规定 这里也职能填充 0 x1 代码 0 x09 表示该报文是发现阶段的 PADI 报文 会话 ID 0 表示还没有会话 ID 长度 16 表示 PPPOE 数据报文中净载荷的长度 PPP 发现标记 在面我们列出的标记类型表可以看出 以上主要是对 PPPOE Discovery 协议及详细解码的介绍 协议分析协议分析 TCP 协议解码详解协议解码详解 一 一 TCP 协议简介协议简介 TCP 全称 Transfer Control Protocol 中文名为传输控制协议 它工作在 OSI 的传输 层 提供面向连接的可靠传输服务 TCP 的工作主要是建立连接 然后从应用层程序中接收数据并进行传输 TCP 采用虚电路 连接方式进行工作 在发送数据前它需要在发送方和接收方建立一个连接 数据在发送出 去后 发送方会等待接收方给出一个确认性的应答 否则发送方将认为此数据丢失 并重 新发送此数据 下面我们来介绍一下 TCP 的报头结构和相关工作原理 1 TCP 报头报头 TCP 报头总长最小为 20 个字节 其报头结构如下图 图 1 所示 比特 0 比特 15 比特 16 比特 31 源端口 16 目的端口 16 序列号 32 确认号 32 TCP 偏移量 4 保留 6 标志 6 窗口 16 校验和 16 紧急 16 选项 0 或 32 数据 可变 图 1 TCP 报头结构 源端口源端口 指定了发送端的端口 目的端口目的端口 指定了接受端的端口号 序号序号 指明了段在即将传输的段序列中的位置 确认号确认号 规定成功收到段的序列号 确认序号包含发送确认的一端所期望收到的下一个序 号 TCP偏移量偏移量 指定了段头的长度 段头的长度取决与段头选项字段中设置的选项 保留保留 指定了一个保留字段 以备将来使用 标志标志 SYN ACK PSH