网络数据包分析.ppt

网络数据包分析抓取IP数据报并分析o启动sniffer pro抓取数据包（capture-start）；o主机中Ping 虚拟机IP地址；oStop and display，decode对抓取的数据包进行分析；o结合IP数据报首部字段内容对抓取的数据包进行分析；网络协议IP oIP协议已经成为世界上最重要的网际协议。协议已经成为世界上最重要的网际协议。oIP的功能定义在由的功能定义在由IP头结构的数据中。头结构的数据中。IP是网络层上的主要协是网络层上的主要协议，同时被议，同时被TCP协议和协议和UDP协议使用。协议使用。oTCP/IP的整个数据报在数据链路层的结构如表所示。的整个数据报在数据链路层的结构如表所示。表表 TCP/IP数据报的结构数据报的结构以太网数据包头以太网数据包头IP头头TCP/UDP/ICMP/IGMP头头数据数据IP头的结构o可以看出一条完整数据报由四部分组成o第三部分是该数据报采用的协议o第四部分是数据报传递的数据内容o其中IP头的结构如表所示。版本（版本（4位）位）头长度（头长度（4位）位）服务类型（服务类型（8位）位）封包总长度（封包总长度（16位）位）封包标识（封包标识（16位）位）标志（标志（3位）位）片断偏移地址（片断偏移地址（13位）位）存活时间（存活时间（8位）位）协议（协议（8位）位）校验和（校验和（16位）位）来源来源IP地址（地址（32位）位）目的目的IP地址（地址（32位）位）选项（可选）选项（可选）填充（可选）数据数据IP头的结构oIP头结构在所有协议中都是固定的，对表说明如下：头结构在所有协议中都是固定的，对表说明如下：o（1）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺序是从左到右，）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺序是从左到右，依次从低位到高位。依次从低位到高位。o（2）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。o（3）服务类型：前）服务类型：前3位为优先字段权，现在已经被忽略。接着位为优先字段权，现在已经被忽略。接着4位用来表示最小延迟、最大位用来表示最小延迟、最大吞吐量、最高可靠性和最小费用。吞吐量、最高可靠性和最小费用。o（4）封包总长度：整个）封包总长度：整个IP报的长度，单位为字节。报的长度，单位为字节。o（5）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比如初始值设置）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比如初始值设置为为32，则每通过一个路由器处理就会被减一，当这个值为，则每通过一个路由器处理就会被减一，当这个值为0的时候就会丢掉这个包，并用的时候就会丢掉这个包，并用ICMP消息通知源主机。消息通知源主机。o（6）协议：定义了数据的协议，分别为：）协议：定义了数据的协议，分别为：TCP、UDP、ICMP和和IGMP。定义为：。定义为：odefine PROTOCOL_TCP 0 x06odefine PROTOCOL_UDP 0 x11odefine PROTOCOL_ICMP 0 x06odefine PROTOCOL_IGMP 0 x06o（7）检验和：校验的首先将该字段设置为）检验和：校验的首先将该字段设置为0，然后将，然后将IP头的每头的每16位进行二进制取反求和，位进行二进制取反求和，将结果保存在校验和字段。将结果保存在校验和字段。o（8）来源）来源IP地址：将地址：将IP地址看作是地址看作是32位数值则需要将网络字节顺序转化位主机字节顺序。位数值则需要将网络字节顺序转化位主机字节顺序。转化的方法是：将每转化的方法是：将每4个字节首尾互换，将个字节首尾互换，将2、3字节互换。字节互换。o（9）目的）目的IP地址：转换方法和来源地址：转换方法和来源IP地址一样。地址一样。o在网络协议中，在网络协议中，IP是面向非连接的，所谓的非连接就是传递数据的时候，不检测网络是否连是面向非连接的，所谓的非连接就是传递数据的时候，不检测网络是否连通。所以是不可靠的数据报协议，通。所以是不可靠的数据报协议，IP协议主要负责在主机之间寻址和选择数据包路由。协议主要负责在主机之间寻址和选择数据包路由。抓取Ping指令发送的数据包o按照之前Sniffer的设置抓取Ping指令发送的数据包，命令执行如图所示。抓取Ping指令发送的数据包抓取Ping指令发送的数据包o其实IP报头的所有属性都在报头中显示出来，可以看出实际抓取的数据报和理论上的数据报一致，分析如图所示。抓取一次完整的FTP会话并分析o使用sniffer pro可以抓取TCP数据报，FTP服务就是通过TCP协议进行传输的。o首先开启目标主机（虚拟机）的FTP服务。（开始-程序-管理工具-Internet服务管理器-启动FTP服务）o启动主机中sniffer，然后在主机DOS命令行下使用FTP指令连接目标主机上的FTP服务器。（ftp 目标主机IP地址）并输入用户名及其密码默认都是ftp；退出对方FTP命令是bye；o停止sniffer，并查看并分析抓取的FTP会话过程。传输控制协议协议TCP oTCP是传输层协议，提供可靠的应用数据传输。oTCP在两个或多个主机之间建立面向连接的通信。oTCP支持多数据流操作，提供错误控制，甚至完成对乱序到达的报文进行重新排序。TCP协议的头结构 o和IP一样，TCP的功能受限于其头中携带的信息。因此理解TCP的机制和功能需要了解TCP头中的内容，表显示了TCP头结构。来源端口（2字节）目的端口（2字节）序号（4字节）确认序号（4字节）头长度（4位）保留（6位）URGACKPSHRSTSYNPIN窗口大小（2字节）校验和（16位）紧急指针（16位）选项（可选）数据TCP协议的头结构oTCP协议的头结构都是固定的，对上表说明如下：o（1）TCP源端口（Source Port）：16位的源端口包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。o（2）TCP目的端口（Destination Port）：16位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。o（3）序列号（Sequence Number）：TCP连线发送方向接收方的封包顺序号。o（4）确认序号（Acknowledge Number）：接收方回发的应答顺序号。o（5）头长度（Header Length）：表示TCP头的双四字节数，如果转化为字节个数需要乘以4。o（6）URG：是否使用紧急指针，0为不使用，1为使用。o（7）ACK：请求/应答状态。0为请求，1为应答。o（8）PSH：以最快的速度传输数据。o（9）RST：连线复位，首先断开连接，然后重建。o（10）SYN：同步连线序号，用来建立连线。o（11）FIN：结束连线。如果FIN为0是结束连线请求，FIN为1表示结束连线。o（12）窗口大小（Window）：目的机使用16位的域告诉源主机，它想收到的每个TCP数据段大小。o（13）校验和（Check Sum）：这个校验和和IP的校验和有所不同，不仅对头数据进行校验还对封包内容校验。o（14）紧急指针（Urgent Pointer）：当URG为1的时候才有效。TCP的紧急方式是发送紧急数据的一种方式。一次完整的FTP会话 o首先开启目标主机的FTP服务，如图所示。一次完整的FTP会话o启动Sniffer，然后在主机的DOS命令行下利用FTP指令连接目标主机上的FTP服务器，连接过程如图所示。一次完整的FTP会话一次完整的FTP会话o登录FTP的过程是一次典型的TCP连接，因为FTP服务使用的是TCP协议。分析TCP报头的结构如图所示。传输控制协议（TCP）的特点o传输控制协议（传输控制协议（TCP）的特点是：提供可靠的、面向）的特点是：提供可靠的、面向连接的数据报传递服务。连接的数据报传递服务。o传输控制协议可以做到如下的六点：传输控制协议可以做到如下的六点：n1、确保、确保IP数据报的成功传递。数据报的成功传递。n2、对程序发送的大块数据进行分段和重组。、对程序发送的大块数据进行分段和重组。n3、确保正确排序以及按顺序传递分段的数据。、确保正确排序以及按顺序传递分段的数据。n4、通过计算校验和，进行传输数据的完整性检查。、通过计算校验和，进行传输数据的完整性检查。n5、根据数据是否接收成功发送消息。通过有选择的确认，、根据数据是否接收成功发送消息。通过有选择的确认，也对没有收到的数据发送确认。也对没有收到的数据发送确认。n6、为必须使用可靠的基于会话的数据传输的程序提供支持，、为必须使用可靠的基于会话的数据传输的程序提供支持，如数据库服务和电子邮件服务。如数据库服务和电子邮件服务。TCP协议的工作原理 oTCP提供两个网络主机之间的点对点通信。TCP从程序中接收数据并将数据处理成字节流。o首先将字节分成段，然后对段进行编号和排序以便传输。在两个TCP主机之间交换数据之前，必须先相互建立会话。TCP会话通过三次握手的完成初始化。这个过程使序号同步，并提供在两个主机之间建立虚拟连接所需的控制信息。oTCP在建立连接的时候需要三次确认，俗称“三次握手”，在断开连接的时候需要四次确认，俗称“四次挥手”。TCP协议的三次“握手”TCP协议的三次“握手”o这个过程在FTP的会话过程中也明显的显示出来，如图所示。第一次“握手”o首先分析建立“握手”第一个过程包的结构，如图所示。第二次“握手”oSYN为1，开始建立请求连接，需要对方计算机确认，对方计算机确认返回的数据包如图所示。第三次“握手”o对方计算机返回的数据包中ACK为1并且SYN为1，说明同意连接。o这个时候需要源计算机的确认就可以建立连接了。确认数据包的结构如图所示。TCP协议的四次“挥手”o需要断开连接的时候，TCP也需要互相确认才可以断开连接，四次交互过程如图所示。第一次“挥手”o第一次交互过程的数据报结构如图所示。第二次“挥手”o第一次交互中，首先发送一个FIN=1的请求，要求断开，目标主机在得到请求后发送ACK=1进行确认，如图所示。第三次“挥手”o在确认信息发出后，就发送了一个FIN=1的包，与源主机断开，如图所示。第四次“挥手”o随后源主机返回一条ACK=1的信息，这样一次完整的TCP会话就结束了。如图所示。UDP用户数据报分析o常用的网络服务中，DNS使用UDP协议。o在主机上设置DNS解析的主机，将主机的DNS解析指向虚拟机；o在主机的DOS界面中输入命令nslookup，exit退出。o停止sniffer，并查看并分析抓取的UDP用户数据报。用户数据报协议UDP oUDP为应用程序提供发送和接收数据报的功能。o某些程序（比如腾讯的OICQ）使用的是UDP协议，UDP协议在TCP/IP主机之间建立快速、轻便、不可靠的数据传输通道。UDP和TCP的区别 oUDP提供的是非连接的数据报服务，意味着UDP无法保证任何数据报的传递和验证。oUDP的结构如图所示。UDP和TCP传递数据的差异oUDP和TCP传递数据的差异类似于电话和明信片之间的差异。oTCP就像电话，必须先验证目标是否可以访问后才开始通讯。oUDP就像明信片，信息量很小而且每次传递成功的可能性很高，但是不能完全保证传递成功。oUDP通常由每次传输少量数据或有实时需要的程序使用。o在这些情况下，UDP 的低开销比TCP 更适合。UDP 与TCP 提供的服务和功能直接对比 UDP和TCP传递数据的比较 UDP协议协议TCP协议协议无连接的服务；在主机之间不建立会话。无连接的服务；在主机之间不建立会话。面向连接的服务；在主机之间建立会话。面向连接的服务；在主机之间建立会话。UDP不能确保或承认数据传递或序列化数不能确保或承认数据传递或序列化数据。据。TCP 通过确认和按顺序传递数据来确保数据的通过确认和按顺序传递数据来确保数据的传递。传递。使用使用 UDP 的程序负责提供传输数据所需的程序负责提供传输数据所需的可靠性。的可靠性。使用使用 TCP 的程序能确保可靠的数据传输。的程序能确保可靠的数据传输。UDP快速，具有低开销要求，并支持点对快速，具有低开销要求，并支持点对点和一点对多点的通讯。点和一点对多点的通讯。TCP 比较慢，有更高的开销要求，而且只支持比较慢，有更高的开销要求，而且只支持点对点通讯。点对点通讯。UDP 和和 TCP 都使用端口标识每个都使用端口标识每个 TCP/IP 程序的通讯。程序的通讯。UDP协议的头结构 oUDP的头结构比较简单，如表所示。源端口（2字节）目的端口（2字节）封报长度（2字节）校验和（2字节）数据UDP的头结构 o（1）源端口（Source Port）：16位的源端口域包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。o（2）目的端口（Destination Port）：6位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。o（3）封包长度（Length）：UDP头和数据的总长度。o（4）校验和（Check Sum）：和TCP和校验和一样，不仅对头数据进行校验，还对包的内容进行校验。UDP数据报分析 o常用的网络服务中，DNS使用UDP协议。DNS是域名系统(Domain Name System)的缩写o当用户在应用程序中输入DNS名称时，DNS服务可以将此名称解析为与此名称相关的IP地址。设置DNS解析o需要在主机上设置DNS解析的主机，将主机的DNS的解析指向虚拟机，如图所示。设置DNS解析o虽然虚拟机并没有设置DNS解析，但是只要访问DNS都可以抓到UDP数据报。设置完毕后，在主机的DOS界面中输入命令nslookup，如图所示。UDP报头o查看Sniffer抓取的数据报，可以看到UDP报头，如图所示。UDP报头的分析o对UDP报头的分析如图所示。互联网控制消息协议ICMP o通过ICMP协议，主机和路由器可以报告错误并交换相关的状态信息。在下列情况中，通常自动发送ICMP消息：nIP数据报无法访问目标。nIP路由器（网关）无法按当前的传输速率转发数据报。nIP路由器将发送主机重定向为使用更好的到达目标的路。oICMP协议的结构如图所示。ICMP协议的结构 ICMP协议的头结构 oICMP头结构比较简单，如表所示。类型（类型（8位）位）代码（代码（8位）位）校验和（校验和（8位）位）类型或者代码类型或者代码ICMP数据报分析 o使用Ping命令发送ICMP回应请求消息，使用Ping命令，可以检测网络或主机通讯故障并解决常见的TCP/IP连接问题。分析Ping指令的数据报，如图所示。