IP协议解码详解.doc

TCP/IP协议中各层的数据报结构是一个比较抽象的内容，大家在日常学习过程中往往难以理解和掌握,常常是死记硬背把它记住了事。本文首先利用Sniffer工具捕获了FTP命令操作过程中的所有数据包，然后对Sniffer工具中捕获的每一部分数据包的含义进行了详细的阐述，最后总结归纳出TCP/IP协议中网络接口层、网络层、传输层的数据报文结构，从而使大家加深对TCP/IP协议各层数据报结构的理解和掌握。 一、捕获FTP命令底层数据包1、搭建网络环境。建立一台FTP服务器，设置IP地址为：6。建立一台FTP客户端，IP地址设为04，在其上安装Sniffer软件。将这两台设备通过集线器连接起来。 2、定义过滤器。在FTP客户端上运行Sniffer软件，进入系统，点“Monitor”“Matrixa”，选中本机，点鼠标右健，选择“Define Filter”，在“Define Filter”窗口，点“Advanced”，选择IP-TCP-FTP，点“确定”，即已定义好过滤器，如图1所示。图13、捕获FTP命令数据包。首先，在Sniffer中选择“Monitor”“Matrix”，点击“Capture”命令开始捉包。然后，在FTP客户端上进入DOS提示符下，输入“FTP6”命令，输入FTP用户名和口令，登录FTP服务器，进行文件的下载，最后输入“bye”命令退出FTP程序，完成整个FTP命令操作过程。最后，点击Sniffer中的“停止捕捉”，选择“Decode”选项，完成FTP命令操作过程数据包的捕获，并显示在屏幕上。 下面对Sniffer捕获的底层数据包进行详细的介绍。 二、网络接口层DLC帧结构详解 图2如图2所示，在Sniffer捕获的DLC数据帧中依次包括以下信息： 目的MAC地址DestinationGigTecAAD4A3，源MAC地址Source000C295264C2，以太网类型Ethertype0800(IP)，8表示为以太网。 通过上述分析，可以得出DLC帧结构为：三、网络层IP数据报结构详解 图3如图3所示，IP数据报中依次包括以下信息： 1、Version4，表示IP协议的版本号为4。该部分占4个BIT位。 2、Header Length=20 Bytes，表示IP包头的总长度为20个字节。该部分占4个BIT位，单位为4个字节，因此，一个IP包头的长度最长为“1111”，即15460个字节。 3、Type of Service=00，表示服务类型为0。该部分用二个十六进制值来表示，共占8个BIT。 8个BIT的含义是： 000 前三位不用 0 表示最小时延，如Telnet服务使用该位 0 表示吞吐量，如FTP服务使用该位 0 表示可靠性，如SNMP服务使用该位 0 表示最小代价 0 不用 4、Total Length=48Bytes,表示该IP包的总长度为48个字节。该部分占16个BIT，单位为Byte。由此可见，一个IP数据包的最大长度为2的16次方减1，即：65535个字节。因此，在以太网中能够传输的最大IP数据包为65535个字节。 5、Identification=363，表示IP包识别号为363。该部分占16个BIT，以十进制数表示。 6、Flags，表示片标志，占3个BIT。各位含义分别为：第一个“0”不用，第二个“0”为分片标志位，“1”表示分片，“0”表示不分版本。第三个0为是否最后一片标志位，0表示最后一片，1表示还有更多的片。 7、Fragment Offset0，表示片偏移为0个Bytes。该部分占13个BIT。 8、Time to Live=128Secongs/Hops，表示生存时间TTL值为128。该部分占8个BIT。 9、Proctol6（TCP），表示协议类型为TCP，协议代码是6。如果是UDP协议，则此处的协议代码应为17。如果是ICMP协议，则此处的协议代码应为1。该部分占8个BIT。 10、Header Checksun=4035(correct)，表示IP包头校验和为4035，括号内的Correct表示此IP数据包是正确的，没有被非法修改过。该部分占16个BIT，用十六进制表示。 11、Source Address=04，表示IP数据包源地址为：04。该部分占32个BIT。 12、Destination Address=6,表示IP数据包目的地址为：6。该部分占32个BIT。 13、No Options，表示IP数据包中未使用选项部分。当需要记录路由时才使用该选项。 通过上述分析，可以得出IP数据报结构为： 四、传输层TCP数据报结构详解图4如图4所示，TCP数据报中依次包括以下信息： 1、Source Port=1038，表示发起连接的源端口为1038。该部分占16个BIT。通过此值，可以看出发起连接的计算机源端口号。 2、Destination Port=21(FTP-CTRL)，表示要连接的目的端口为21。该部分占16个BIT。通过此值，可以看出要登录的目的端口号。21端口表示是FTP服务端口。 3、Initial Sequence Number=1791872318，表示初始连接的请求号，即SEQ值。该部分占32个BIT，值从1到2的32次方减1。 4、Next Expected SEQ Number=1791872319，表示对方的应答号应为1791872319，即对方返回的ACK值。该部分占32个BIT，值从1到2的32次方减1。 5、Data Offset28Bytes，表示数据偏移的大小。该部分占4个BIT。 6、Reserved Bites：保留位，此处不用。该部分占6个BIT。 7、Flags02。该值用两个十六进制数来表示。该部分长度为6个BIT，6个标志位的含义分别是： 0 URG，紧急数据标志，为1表示有紧急数据，应立即进行传递。 0 ACK，确认标志位，为1表示此数据包为应答数据包 0 PSH，PUSH标志位，为1表示此数据包应立即进行传递。 0 RST：复位标志位。如果收到不属于本机的数据包，则返回一个RST 0 SYN：连接请求标志位。为1表示为发起连接的请求数据包。 0 FIN：结束连接请求标志位。为1表示是结束连接的请求数据包。 8、Window=64240，表示窗口是64240。该部分占16个BIT。 9、CheckSum=92D7(Correct)，表示校验和是92D7。该部分占16个BIT，用十六进制表示。 10、Urgent Pointer=0，表示紧急指针为0。该部分占16个BIT。 11、Maximum Segment Size=1460，表示最大段大小为1460个字节。 通过上述分析，可以得出TCP数据报结构为： 五、小结 通过上述分析，可以发现：在以太网中，最大传输单元MTU为1500个字节，在一个IP包中，去除IP包头的20个字节，可以传输的最大数据长度为1480个字节。在TCP包中，去除20个TCP包头，可以传输的最大数据段为1460个字节。因此，当数据超过最大数据长度时，将对该数据进行分片处理，在IP包头中会看到有多个片在传输，但标识号是相同的，表示是同一个数据包。最近狂补基础，猛看TCP/IP协议。不过，书上的东西太抽象了，没有什么数据实例，看了不 久就忘了。于是，搬来一个sniffer，抓了数据包来看，呵呵，结合书里面得讲解，理解得 比较快。我就来灌点基础知识。 开始吧，先介绍IP协议。 IP协议（Internet Protocol）是网络层协议，用在因特网上，TCP，UDP，ICMP，IGMP数据都是按照IP数据格式发送得。IP协议提供的是不可靠无连接得服务。IP数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到IP协议。 IP数据包头部格式（RFC791）Example Internet Datagram Header上面的就是IP数据的头部格式，这里大概地介绍一下。 IP头部由20字节的固定长度和一个可选任意长度部分构成，以大段点机次序传送，从左到 右。 TCP协议 TCP协议（TRANSMISSION CONTROL PROTOCOL）是传输层协议，为应用层提供服务，和UDP不同的是，TCP协议提供的可靠的面向连接的服务。在RFC793中是基本的TCP描述。关于TCP协议的头部格式内容的说明： TCP Header FORMatTCP Header FORMat 跟IP头部差不多，基本的长度也是20字节。TCP数据包是包含在一个IP数据报文中的。 好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次FTP的连接，呵呵，是cuteftp默认的cuteftp的FTP站点，IP地址是：1。我的IP地址假设为:。下面的数据就是TCO/IP连接过程中的数据传输。我们可以分析TCP/IP协议数据格式以及TCP/IP连接的三次握手（ThreeWay-Handshake）情况。下面的这些十六进制数据只是TCP/IP协议的数据，不是完整的网络通讯数据。 第一次，我向FTP站点发送连接请求（我把TCP数据的可选部分去掉了）-1 IP头部： 45 00 00 30 52 52 40 00 80 06 2c 23 c0 a8 01 01 d8 03 e2 15 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 来看看IP头部的数据是些什么。 第一字节，“45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为15，IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。 接下来的一个字节“00”是服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的TOS子字段以及1 bit的未用字段（现在为0）构成.4 bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1bit位最多只能有一个为1，本例中都为0，表示是一般服务。 接着的两个字节“00 30”是IP数据报文总长，包含头部以及数据，这里表示48字节。这48字节由20字节的IP头部以及28字节的TCP头构成（本来截取的TCP头应该是28字节的，其中8字节为可选部分，被我省去了）。因此目前最大的IP数据包长度是65535字节。 再是两个字节的标志位（Identification）：“5252”，转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。 下一个字节“40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（Fragment Offset）。 “80”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“80”，转换为十进制就是128了，我用的WIN2000。 继续下来的是“06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。 “2c 23”这个16bit是头校验和（Header Checksum）。 接下来“c0 a8 01 01”，这个就是源地址（Source Address）了，也就是我的IP地址。 转换为十进制的IP地址就是：，同样，继续下来的32位“d8 03 e2 15”是目标地址，1 好了，真累啊，终于看完基本的20字节的IP数据报头了。继续看TCP的头部吧，这个是作为IP数据包的数据部分传输的。 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 一来就是一个两字节段“0d 28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“00 15”表示目标端口，因为我是连接FTP站点，所以，这个就是21啦，十六进制当然就是“00 15”。 接下来的四个字节“50 5f a9 06”是顺序号（Sequence Number），简写为SEQ， SEQ=1348446470下面的四个字节“00 00 00 00”是确认号（Acknowledgment Number），简写为ACKNUM。 继续两个字节，“70 02”，转换为二进制吧，“0111 0000 0000 0010”。这两个字节,总共16bit，有好多东西呢。第一个4bit“0111”，是TCP头长，十进制为7，表示28个字节（刚才说了，我省略了8字节的option数据，所以你只看见了20字节）。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“00 0010”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍： URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断 ACK：（Acknowledgment fieldsignificant）置1时表示确认号（AcknowledgmentNumber）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。 PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。 RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。 SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。 FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。 这6个标志位，你们自己对号入座吧。本例中SYN=1，ACK=0，当然就是表示连接请求了。我们可以注意下面两个过程的这两位的变换。 后面的“40 00 c0 29 00 00”不讲了，呵呵，偷懒了。后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。 第二次，FTP站点返回一个可以连接的信号。 1-