报文分析,技术介绍,OSPF的报文格式,报文类型及含义

1、profibus-dp站点可分为主站和从站，开发从站设备要比开发主站设备容易得多，因为从 站只需要响应来白主站的请求即可。从站接收总线上的每条报文，如果与自己无关，则忽略 不处理，如果是发给自己的则按照下图给出的状态机进行响应。该状态机屮有四个状态：1 > powcr_on （上电）状态在上电后从站进入power.on状态，在这个状态下从站首先需耍进行初始化，设置各 项参数如站地址和报文缓冲区等等。2、wait-prm （等待参数化）状态初始化完毕后，从站进入wait-prm状态，等待来自一个主站的set.prm报文。通俗地 讲，参数化相当于一个主站告诉一个从站，你是属于我的，同吋也指定

2、了从站的一些运行参 数。主站只对被它参数化的从站进行数据轮询。3、wait.cfg （等待组态）状态在进行正确的参数化后，从站进入wait.cfg状态，等待check_cfg报文。check.cfg 报文规定输入和输出字节数，也就是主站和从站每次交换的数据量。4> date_exchange（数据交换）状态当进行正确的参数化和组态后，从站进入date_exchange状态，这个吋候从站才可以 和主站进行正常的数据交换。下面是我从一个profibus-dp网络屮采集下來的部分报文数据，该网络屮有一站地 址为1的主站和站地址为3的从站。我结合有关报文解释一下从站3的工作机制。（报文数 据为1

3、6进制）（从站已经完成初始化）100301 49 4d 16（该报文为主站1发给从站3的请求帧，查询从站3的fdl状态,即从站3是否“活着”。）1001 03 0004 16（该报文为从站3对主站1的应答帧，告诉主站1 “我活着呢”。）68 05 05 68 83 81 6d 3c 3e eb 16（该报文为主站1发给从站3的请求帧，读取查询从站3的诊断报文，以获取从站3的 进一步信息。）68 ob 0b 68 81 83 （）8 3e 3c 02 05 （）0 ff 00 （）8 94 16（该报文为从站3对主站1的应答帧，其中包含6个字节的诊断数据：02 05 00 ff00 08, 具体

4、含义可参阅协议，其屮第四字节为ff表明从站3尚未被任何主站所参数化。）68 11 11 68 83 81 5d 3d 3e 88 02 fd 0b 00 08 00 ()0 00 00 ()0 00 76 16(该报文为主站1发给从站3的参数化报文帧，包含12个字节的参数化数据：88 02 fd 0b 00 08 00 00 00 00 00 00)e5（该报文为从站3对主站1的短应答帧，告诉主站1参数化成功。）68 07 （）7 68 83 81 7d 3e3e 11 21 2f 16（该报文为主站1发给从站3的组态报文帧，包含2个字节的组态数据：11 21,表明从 站3应有两个字节输入和两

5、个字节输出。）e5（该报文为从站3对主站1的短应答帧，告诉主站1组态成功。）68 05 05 68 83 81 5d 3c 3e db 16（该报文为主站1发给从站3的请求帧，读取查询从站3的诊断报文。）68 ob 0b 68 81 83 （）8 3e 3c 00 0c 00 （）1 00 08 9b 16（该报文为从站3对主站1的应答帧，其屮包含6个字节的诊断数据：00 0c 00 01 00 08, 其中笫四字节为01表明从诂3已经被主站1成功地参数化，从站3进入数据交换状态。）68 05 05 68 03 01 7d 00 00 81 16（该报文为主站1发给从站3的请求帧，包含两个字节

6、的输出数据：00 00,并请求从 站3的输入数据。此后主站1周期性地发送此报文）68 05 05 68 01 03 08 00 00 8c 16（该报文为从站3对主站3的应答帧，包含两个字节的输入数据：00 80）要求分析的协议包括：arp,icmp, ftp以及http报文1、对捕获的数据包结构进行分析2、对帧头，ip头、tcp头中的各项进行分析3、分析tcp连接的3次握手和4次挥手过程4、对于ftp用分析出控制连接建立，数据连接建立，数据连接释放，控制连接释放的全过 程5、arp协议要能完整的分析arp杏询以及返回的信息6、对典型的icmp协议报文进行分析（ping ,traccrt等应用

7、）7、对tcp/ip协议体系结构的工作过程和协议分布进行充分认识。q第9章网烙数据掖的捕获与分析应用程序以太网 驱动程序图9.2数据进入协议栈时的封装过程icmpicmp是ip层的一个组成部分，通常由ip层或更高层协议（tcp或udp）调用， 主要功能是传递差错报文以及其他需要注意的信息。部分icmp报文把差错信息 返回至用户进程。icmp报文是在ip数据报内部被传输的，如图9.16所示。图9.16 icmp数据在ip数据报中的封装icmi漲文4ip首部类型代码校验和数据20字节1字节1字节2字节 不同类型和代码有不同內容类型字段可以有15个不同的值，以描述特定类型的icmp报文。某些icmp

8、报 文还使用代码字段的值來进一步描述不同的条件。校验和字段覆盖了整个icmp报文。对于icmp报文来说，校验和是必需的。1. icmp报文类型icmp的报文类型由报文中的类型字段和代码字段来共同决定，如表9.4 所示。表中的最后两列表明icmp报文是查询报文还是差错报文。对icmp差错 报文有时需要作特殊处理，因此需要对它们进行区分。例如，在对icmp差错报 文进行响应时，不能生成另一个icmp差错报文（如果没冇这个限制规则，可能 会遇到一个差错产生另一个差错的情况，而差错继续产生差错，这样会产生无限 循环）。icmp差错报文包含ip的首部和产生icmp差错报文的ip数据报的前8个字节, 这样

9、，接收icmp并错报文的模块就会把它与某个特定的协议（根据ip数据报首 部中的协议字段来判断）和用户进程（根据包含在ip数据报前8个字节中的tcp 或udp报文首部中的tcp或udp端口号來判断）联系起來。为了防止由于icmp茅错报文响应所引发的广播风暴，协议规定当接收端收到下 列的报文时不会产生icmp差错报文：icmp冋显请求和冋显应答报文如图9.17所示。o类型（0或8）代码（0）检验和标识符序列号数据2 o.ooo3 5o32icmp3 0.9911473icmp4 0.9914975 1.988

10、69933icmp icmp6 1.9890427 2.9862633icmp icmp8 2.9866232icmpecho (ping) reply echo (ping) request echo (ping) replyecho (ping) request echo (pi ng) replyecho (p1ng) request echo (pinq)

11、replyffi frame 1 (74 bytes on wire, 74 bytes captured)s) ethernet llt src: glga-byt.ad:14:2c (00:24:ld:ad:14:2c)t dst: glga-byt.ad:2a:a3 (00:24:ld:ad:2a:a3) internet protocol. src: 2 (2). ost: 3 (3)曰 internet control message protocoltype: 8 (echo (ping) re

12、quest) code: 0 ochecksum: 0x4a5c correct identifier: 0x0200sequence number: 256 (0x0100)3 data (32 bytes)f frame 2 (74 bytes on wire, 74 bytes captured)ethernet ii, src: giga-byt_ad:2a:a3 (00:24:ld:ad:2a:a3), dst: giga-byt_ad:14:2c (00:24:ld:ad:14:2c) e internet protocol, src: 3 (10.16.13

13、4.13), dst: 2 (2)i- internet control message protocoltype: 0 (echo (ping) reply)code: 0 ()checksum: 0x525c correctidentifier: 0x0200sequence number: 256 (0x0100)e data (32 bytes)ip分片8 0.996459200ipfraonenredipprotocol(proro-icmp0x01,off-1480.id-273f)9 0.99

14、6466200icmpecho (ping) request10 0.999377002ipfranentedipprotocol(pfoto-icmp0x01.off-o. id-3c93)14 1.993996200ipfragnentedipprotocol(proto-icmp0x01.off-1480.id-2744)ffame 12 (1082 bytes on vd匕 1082 bytes captured)qin i* 194 i-)10'

15、) i«oinnvmr八只八ethernet ii, src: fuji a r»st_bc:血：45 (00:la:a9:bc:de:45), ost: giga-8yt_ad:14 :2c (00:24 ：ld: ad :14:2c)i nr er net protocol. src: 00 (00), dst: 2 (2) version: 4header length: 20 bytes differentiated services field: 0x00 (dscp 0x00

16、: default; ecn： 0x00) total length: 1068identification: 0x3c93 (15507)b flags: 0x000 reserved bit: not set0 don't fragment: not set0 more fragments: not setfragment offset: 2960time to live: 117 protocol: icmp (0x01)9 header checksum: 0xbla3 correctsource: 00 (00) destinati

17、on: 2 (2)3 ip fragmenrs (4008 bytes): #10(1480), #11(1480), #12(1048) internet control message protocoltype: 0 (echo (ping) reply)code: 0 orhprl,i ri frnrrprr 1g frame 7 (1514 bytes on wire, 1514 bytes captured)3 ethernet ii, src: giga-byt_ad:14:2c (00:24:ld:ad:14:2c), dst: fuj

18、ianst_bc:de:45 (00:1a:a9:bc:de:45)3 internet protocol, src: 2 (2), dst: 00 (00) version: 4header length: 20 bytess differentiated services field: 0x00 (dscp 0x00: default; ecn： 0x00)total length: 1500identification: 0x273f ql0047)曰 flags: 0x02 (more fragme

19、nts)0. = reserved bit: not set.0. = don% fragment: not set.1. = more fragments: setfragment offset: 0time to live: 64protocol: icmp (0x01)a header checksum: 0xdbb9 correctsource: 2 (2)destination: 00 (00)reassrmbled ip tn frame: 93 data (1480 bytes)data： 0

20、800eafb020006006162636465666768696a6b6c6d6e6f70.arparp为ip地址到对应的硬件地址z间提供动态映射，即将逻辑的internet地址 翻译成对应的物理硬件地址1.arp工作过程假设在一个以太网中，客户端要将一个ip报文发送到服务器端，那么客 户端必须把32 bit的ip地址转换成48 bit的以太网地址(1) arp以广播的方式发送arp request数据帧给以太网上的每个主机，如图 9.14中的虚线所示。arp请求数据帧中包含目的主机的ip地址，意思是“如果你 是这个ip地址的拥有者，请回答你的硬件地址j(2) 目的主机的arp层收到这份广

21、播报文后，识别出这是发送端在寻问它的ip 地址，于是发送一个arp应答。这个arp应答包含ip地址及对应的硬件地址。(3) 收到arp应答后，主机间通过使用arp协议获得的换件地址进行通信。2. arp分组格式在以太网上解析ip地址时，arp请求和应答分组的格 式如图9.15所示(arp亦讨用于解析共他类型网络的ip地址 以外的地址，紧跟着帧类型字段的前四个字段决定了最后 四个字段的类型和长度)。(1) 日的地址(destination address):该字段为6了节， 存储以太网的冃的地址。(2) 源地址(source address):该字段为6字节，存储以 人网的源地址。(3) 以太网

22、数据帧类型(ether type):该字段为2字节， 存储以太网数抑帧类型，表示后而数捌的类型。对于arp 请求/应答来说，该字段的值为0x0608o上述三个字段组成了以太网帧首部(见图9.2),以太网报头屮destination address 为全1的特殊地址是广播地址，电缆上的所有以太网接口都必须接收广播的数据 帧。因此arp协议在询问硬件地址吋将口的地址设置为oxffffffffffff,表 明该数据帧是向全体驶件接口发出的。第9章网络救据掖的捕获与分析目的地址目的地址源地址源地址以太网数据帧类型0151631以太网首部碘件接口类型协议类型硬件地址长度协议地址长度操作类型发送端硬件地址

23、发送端硬件地址发送端囱议地址目的端硬件地址ii的端硕件地址目的端协议地址目的端囱议地址28字节arpirv求/应答图9.15以太网传输的arp请求和应答分组格式协议类型(protocol type)：该字段为2字节，标识发送设备所使用的协议，在 tcp/ip屮，这些协议通常是ether type,以0x0008表示。 硬件地址长度(length of hareware address)：该字段为1字节。(7) 协议地址长度(length of protocol address)：该字段为1字节。上述两个字段以字节为单位，对于以太网上ip地址的arp请求或应答来说，它 们的值分别为6和4,表明硬

24、件地址即mac地址为6字节，协议地址即ip地址 为4字节。(8) 操作类型(opcode)：该字段为2字节，区分办议的四种操作，即arp请求(值 为1)、arp应答(值为2)、rarp请求(值为3)和rarp应答(值为4)0 arp请求 和arp应答的帧类型字段值是相同的，因此必须用操作类型字段将其区分1 0.000000glqa-byt ad:14:2cbroadcastarpwho has 372 0.000679giga-byt_ad:2a:a3giga-byt_ad:14:2carp3 is at 00:24:ld:ad:2a:a33 0.2

25、56863giga-byt.ad:2a:bfbroadcastarpwho has 4?tell 54 1.257201d-link_68:83:0ebroadcastarpwho has 1?tell 5 2.501508giga-byt.ac:9e:68broadcastarpwho has 4tell 66 4.353958giga-byr.ad:29:a7broadcastarpwho has 5?tell 57

26、 9.415463glga-byt_ad:2b:63broadcastarpwho has 52?tell 58 20.865855d-link.68:83:0ebroadcastarpwho has 6?tell frame 1 (42 bytes on wire, 42 bytes captured)王 ethernet ii, src: giga-byt_ad:14:2c (00:24:ld:ad:14:2c), dst: broadcast (ff:ff:ff:ff:ff:ff) 三 address

27、 resolution protocol (request)hardware type: ethernet (0x0001)protocol type: ip (0x0800)hardware size: 6protocol size: 4opcode: request (0x0001)sender mac address: giga-byt_ad:14:2c (00:24:id:ad:14:2c)sender ip address: 2 (2)target mac address: 00:00:00.00:00:00 (00:00:00:00:00

28、:00)target ip address: 3 (3)no. i tim*i sourcei destinationi protocol i info2 0.000679g"iqa-byt_ad:2a:a3gfga-byt_ad:14:2carp10.16134.13 "is at 00:24 :ld:ad:2a:a31 0.000000glga-byt_ad:14:2c broadcastarp who has 37tell 2 ± frame 2 (60 bytes on

29、 wire, 60 bytes captured) ethernet ii. src: g4ga-byt_ad:2a:a3 (00:24:ld:ad:2a:a3) dst: ggabyt_ad:14:2c (00:24:ld:ad:14:2c)address resolution protocol (reply)hardware type: ethernet (0x0001)protocol type: ip (0x0800)hardware size: 6protocol size: 4opcode: reply (0x0002)sender mac address: giga-byt_ad

30、:2a:a3 (00:24:ld:ad:2a:a3)sender ip address: 3 (3)target mac address: giga-byt_ad:14:2c (00:24:ld:ad:14:2c)target ip address: 2 (2)tcp三次握手wlmlwj10.16.13u2 ilomjj tcp 4607 > http 5yn $eq=o mw len=b 1287.028u0.81.238.b10.16.13112 tcp http4607 皿 o测 add vin

31、o l 涮岭 146011q血川出冊 舸唧ackj玻h眦虬和啲旳l恫nxketinzirscn四次挥手w viivii/a*jova>i41751213.50812410.16.b4.12222.73.78.b84605 > http o seq«376 ack«3131 win«65325 ien«0417612b. 52694726tcp4606 > http sfnl seq«0 win«65535 len«0 mss«1460 w5«0

32、tarnvrv41771213.81130762s1b026tcp 4606 > httpojseq=laci：=l win=65535 len=ohttp gettcp http > 4606 syn, ack seq=o ack=l win=584o len=o mss4460 ws=241801214.0m0154181 1214.09481241821214.094886119.147.&76119.147. & 766210.

33、16.134.12二 http > 4606 ack seq=l ac已46 win=6932 len=o tcp tcp segnent of a reassembled pduhttp http4.1 200 ok (png)41841b4.im6m7119j47.8j61il16.134.12tcp http4606啊kk勻加n46仰嫩l°418mm6仍10.15.lkl26tcp 4m6 > http41861235.101m8222.7178.1382tcp http > 4605 fin

34、, <k歸皿躺76 mlaht| 0123$. 1675238 tcp 4m5 > httpl64606 > httl3 ack1 seq«546 ad:辺)54wi n«65535 ien-04184 1234.046647624186 1235.101648382tcp 4wo > niip ialktcp hup > 4606 fin, ack seq«2353 ack«

35、;546 常“6932 len»otcp http > 4605 fin, ack seq=3bl ack=376 win=6912 len=o7t q丄871235.10167c10.16.1ji '气i ff f f / %/> v 0 v w | k ' j wrep 4w5 > hu【a<1/ i ci fll k sfc>n：-j”-<7h if'-'1'-j/q丄:2 wl0=65325 len»oq丄xx 1/(j/<ki. 10.16.1a43j 4 a4 j1 1i i ui

36、f li亠* v vw*1 f nrcp 4606 > httfrjt, mba ji 5eq«546 a(k<354 win«0 len«oa 41rq /、q.0/<qqc10.16.vf 4 0叫4.气j卢i j9 i 1/ < /mw w w t 9 0 v wi 4 50 lel50rep 4605 > hua亡 #k . ausgq“76 ack3132 win«0 len«orcp 4607 > httsyn stimi ien«0 mss«1460 ws«0107

37、11a 01 "c mtcp/ip三次握手和四次挥手在tcp/ip协议中-tcp协议提供可菲的连接眼务采川三次拥建立一个连接， 如图1所示。(1) 第一次握手：建立连接时，客八端a发送syn包syn=j到服务器b, 并进入syn_send状态，等待服务器b确认。(2) 笫二-次握，：股务器b收到syn乞，必须确认客八a的syn( ack=j+1儿同时口 l_l也发送一个syn(syn=k八i卩syn+ack包此时胶务器b进入syn recv 状态。(3) 第三次握于：客户端a收巩収务黔b的syn + ack包向眼务器b发送 确认包ack (ack=k+1 ),此包发送完毕.客户端a和

38、服务器b进入 established状态完成三次握手。完成三次押于、客户端与服务器开始传送数拥.旳1 tcp二次握r述立连按111 r tcp按圧个双 匚的 内此何个方向郁必须单独进行关。这个腹则足呷方完成它的数抑;发送仃务頁就能发送一个fin来终止这个方向的连接。收九 个 fin只总味若这一方向上没有数拓流动.一个tcp连接在牧刊一个fin后 仍能发送数抓» ?t先进行关的一方将执行主“j关闭而另一方执行被"j关。（1 客八瑞a发送一个fiz.用冰:決客八a到服务器b的数抉:传送（报文段4）。眼务器b收到这个fin它发回一个ack,确认序号为收到的序号加1 （报 文段5）

39、 o和syn样.一个fin将占用一个序号.（3）服务器b关闭与客户端a的连接.发送一个fin给客户端a （报文段6） °（4）客八端a发回ack报文确认.并将确认庁出设置为收到序号加1 （报文段7）。tcp采用四次挥乎关闭连接如图2所示n图2 tcp四次挥乎关闭连接左机a忙机b1. 为什么建&连接协议是二次握已 血关闭连接却是四次握手呢？这是因为服务端的listen状态卜的socket 收到syn报文的建连请求后. 它可以把ack和syn （ack起应答作用.而syn起同步作用）放在一个报文 里來发送。但关闭连接时，当收到对方的fin报文適知时，它仅仅表示对方没 有数据发送给

40、你了；但未必你眇有的数据都全部发送给对方了.所以你可以未必 会马上会关闭socket,也即你对能还需要发送一些数抵给对方z后.再发送 fin报文给対方来龙示你同意现在可以关闭连接了所以它这出的ack报文和 fin报文多数情况下都是分开发送的，2. 为什么time wait状态还需耍等2msl后才能返回利closed状态？httphttp诘求报文t)msourcedeitinatioaprotocol info1 0.000000324tcp2 0.038568220.181.hl.1243tcp3 0.03862610.12.1

41、0.53220.181.1u.124tcp5 0.077863243tcp6 0.078748220.181.hl.1241 r1 111 31 n 17 m <5tcpmttdf s mr 0778 0.0790193au.j j24ni 1 rtcp(ck-tapestry2 > http syn seq-0 wln-65535 len»0 mss-1460 ws-3 http > d2k-tape$try2 syn. ack seq-0 ack-1

42、 w1n-65535 len-0 mss-1452 d2k-tapestry2 > http ack seq-1 adc-l win-65535 len«0http > d2k-tapestry2 ack seq-1 ack-704 w1n«7030 len-0 tcp segnent of a reassembled pduhttp/1.1 200 ok (png)d2k-xapestry2 > hxtp ack seq»7o4 ack»2583 w1n«65535 len»02 frame 4 (757 byte

43、s on wire. 757 bytes captured)2 ethernet ii9 src: 48:5b:39:90:0e:84 (48:5b:39:90:0e:84)t ost: fujianstj.c:f5:5f (oo:la:a9:lc:f5:5f)9 internet protocol, src: 3 (3). dst: 24 (24) 2 transmission control protocol, src port: d2k-tape$try2 (3394), dst port: ht

44、tp (80), seq: 19 adc: 1, len: 703m hypertext transfer protocolb get /ser1 alald/bgbuttonhover.png http/l.lrnrequest method: getrequest uri： /ser1alald/bgbuttonhover.pngrequest version: http/1.1accept: /叭rnref er er: http:/aaccept-language: zh-cnrnuser-agent: m02们la/4.0 (compatible; msie 7.0; windows

45、 nt 5.1; tr1dent/4.0; gtb6.5; .net clr 2.0.50727; 360se)rnaccept-encoding: gz1p9 deflaternhost: 11 rnconnection: keep-al1verntruncated cookie： baiduid-cbaeobeao1658ad184e61a2dax：2ad73：fg-1； bduss-zvcwzecdr2mgnlt013vdbfq2tywnaevfnethva24yy0pltjzsymztdkpbefjqqvfbqufbjcqaaaaaaaaaaaokh vnhttp响应报文8 0.079

46、019324tcp d2k-tapestry2 > http ack seq-704 ack-2583 win-65535 len-0s frame 7 (1196 bytes on wire, 1196 bytes captured)s ethernet ii, src: fujianstj.c:f5:5f (oo:la:a9:lc:f5:5f), dst: 48:5b:39:90:0e:84 (48:5b:39:90:0e:84)s internet protocol, src: 220.181.1h. 124 (220.181.111.

47、124), dst: 10.12.10.s3 (3)s transmission control protocol, src port: http (80), dst port: d2k-tapestry2 (3394), seq: 1441, ack: 704, len: 1142s reassembled tcp segnents (2582 bytes): #6(1440), #7(1142)日 hypertext transfer protocol9 http/1.1 200 okrnrequest version: http/1.1response code: 2

48、00content-type: 1mage/pngrnetag: °1661469433hrnaccept-ranges: bytesrnlast-modified: tue, 27 sep 2011 15:00:27 gmtrn3 conrenr-length: 2375rndate: thu, 05 jan 2012 12:59:48 gmtrnserver: apachernvns portable network graphicsftp匸 1 o.ooooooi2 0.3053723 0.3054064 0.6157905 0.7866486 5.9503997 6.2625

49、898 6.474337ilr9 9.18622900800008008008800008 ftp > cernsysagnagt sm, ack seq«0 ack-1 tfin«16384 len-0 mss-1380 ws-0 cernsysigragt >

50、; ftp ack seq«l ack-1 iirin«65535 len«0 response: 220 serv-u ftp server v6.3 for winsock ready. cernsysignagt > ftp ack seq»l ack»50 win«65486 len»0 request: user jxrstutcpftptcpftpftp response: 331 user nase okay, need password.tcp cern5ys«gffragt > ftp

51、 ack seq=14 ack=86 win=6545o leno10 9.49024811 9.64632112 14.992634* frame 9 (w bytes on wire, 64 bytes captured)± etherner ii, src: intelcorj2:cb:5a (oo:22:fb:12:cb:5a), dst: d8:5d:4c:3c:98:62 (d8:5d:4c:3c:98:62)3 internet protocol, src: 00 (00), dst: 8 (59.77.

52、139.88)± transmission control protocol, src port: cernsysmgntagt (3830), dst port: ftp (21), seq: 14f ack: 86, len: 103 file transfer protocol (ftp)e pass 123rnrequest conrand: passrequest arg: 12300000088ftp response: 230 user logged in, p

53、roceed.tcp cernsysayitagt > ftp ack seq=24 ack=h6 0n=6542o len=o ftpreouesr: port 00.14.248frame 6 (67 bytes on wire, 67 bytes captured)l± ethernet ii, src: lntelcor_12:cb:5a (00:22:fb:12:cb:5a), dst: d8:5d:4c:3c:98:62 (d8:5d:4c:3c:98:62)s internet prorocol, src: 00 (19

54、00), dst: 8 (8)e transmission control protocol, src port: cernsysmgmtagt (3830), dst port: ftp (21), seq: 1, ack: 50, len: 13 source port: cernsysmgmtagt (3830)destination port: ftp (21)stream dex: osequencm number: 1 (relative sequence number)next sequence number: 14

55、(relative sequence number)acknowledgement numbmr: 50 (relative ack number)header length: 20 bytess flags: 0x18 (psh, ack)window size: 654860 checksum: 0x96e8 validation disabled0 seq/ack analysisb file transfer protocol (ftp)b user jxrsturnrequest command: userrequest arq: jxrstu在通过ftp协议进行数据传输时，必须先建立控制连接21,再建立数据连接20。控制连接 和数据连接，控制连接专门用于ftp控制命令及命令执行信息传送，数据连接专门用于传 输数据。控制连接在整个ftp会话过程中一直保持，直到会话结束为止，而数据连接可以 随时创建和取消。在主动模式下，ftp客户端随机开启一个大于1024的端口 n向服务器的21号 端口发起连接，然后开放n+1号端口进行监听，并向服务器发出port n