sniffer 數(shù)據(jù)報(bào)文解碼詳解

1、1Sniffer數(shù)據(jù)報(bào)文解碼詳解數(shù)據(jù)報(bào)文解碼詳解本章主要對：數(shù)據(jù)報(bào)文分層、以太報(bào)文結(jié)構(gòu)、IP協(xié)議、ARP協(xié)議、PPPOE協(xié)議、Radius協(xié)議等的解碼分析做了簡單的描述，目的在于介紹Sniffer軟件在協(xié)議分析中的功能作用并通過解碼分析對協(xié)議進(jìn)一步了解。對其其他協(xié)議讀者可以通過協(xié)議文檔和Sniffer捕獲的報(bào)文對比分析。數(shù)據(jù)報(bào)文分層如下圖所示，對于四層網(wǎng)絡(luò)結(jié)構(gòu)，其不同層次完成不通功能。每一層次有眾多協(xié)議組成。如上圖所示在Sniffer的

2、解碼表中分別對每一個層次協(xié)議進(jìn)行解碼分析。鏈路層對應(yīng)“DLC”；網(wǎng)絡(luò)層對應(yīng)“IP”；傳輸層對應(yīng)“UDP”；應(yīng)用層對對應(yīng)的是“B”等高層協(xié)議。Sniffer可以針對眾多協(xié)議進(jìn)行詳細(xì)結(jié)構(gòu)化解碼分析。并利用樹形結(jié)構(gòu)良好的表現(xiàn)出來。以太報(bào)文結(jié)構(gòu)EtherII以太網(wǎng)幀結(jié)構(gòu)Ether_II以太網(wǎng)幀類型報(bào)文結(jié)構(gòu)為：目的MAC地址（6bytes）＋源MAC地址＋（6bytes）上層協(xié)議類型（2bytes）＋數(shù)據(jù)字段（461500bytes)＋校驗(yàn)（4b

3、ytes）。Sniffer自動添加時間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer自動添加時間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer會在捕獲報(bào)文的時候自動記錄捕獲的時間，在解碼顯示時顯示出來，在分析問題時提供了很好的時間記錄。源目的MAC地址在解碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡(luò)上2臺設(shè)備IP地址設(shè)置沖突，可以通過解碼翻譯出廠商信息方便的將故障設(shè)備找到，如00e0fc為華為，01

4、0042為Cisco等等。如果需要查看詳細(xì)的MAC地址用鼠標(biāo)在解碼框中點(diǎn)擊此MAC地址，在下面的表格中會突出顯示該地址的16進(jìn)制編碼。IP網(wǎng)絡(luò)來說Ethertype字段承載的時上層協(xié)議的類型主要包括0x800為IP協(xié)議，0x806為ARP協(xié)議。應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設(shè)備驅(qū)動程序及接口卡應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設(shè)備驅(qū)動

5、程序及接口卡Ether_IIDMACSMACTypeDATAPADFCSEther_IIDMACSMACTypeDATAPADFCS3上圖為Sniffer對IP協(xié)議首部的解碼分析結(jié)構(gòu)，和IP首部各個字段相對應(yīng)，并給出了各個字段值所表示含義的英文解釋。如上圖報(bào)文協(xié)議（Protocol）字段的編碼為0x11，通過Sniffer解碼分析轉(zhuǎn)換為十進(jìn)制的17，代表UDP協(xié)議。其他字段的解碼含義可以與此類似，只要對協(xié)議理解的比較清楚對解碼內(nèi)容的理解

6、將會變的很容易。ARP協(xié)議以下為ARP報(bào)文結(jié)構(gòu)ARP分組具有如下的一些字段：HTYPE（硬件類型）。這是一個16比特字段，用來定義運(yùn)行ARP的網(wǎng)絡(luò)的類型。每一個局域網(wǎng)基于其類型被指派給一個整數(shù)。例如，以太網(wǎng)是類型1。ARP可使用在任何網(wǎng)絡(luò)上。PTYPE（協(xié)議類型）。這是一個16比特字段，用來定義協(xié)議的類型。例如，對IPv4協(xié)議，這個字段的值是0800。ARP可用于任何高層協(xié)議。HLEN（硬件長度）。這是一個8比特字段，用來定義以字節(jié)為單

7、位的物理地址的長度。例如，對以太網(wǎng)這個值是6。PLEN（協(xié)議長度）。這是一個8比特字段，用來定義以字節(jié)為單位的邏輯地址的長度。例如，對IPv4協(xié)議這個值是4。OPER（操作）。這是一個16比特字段，用來定義分組的類型。已定義了兩種類型：ARP請求（1），ARP回答（2）。SHA（發(fā)送站硬件地址）。這是一個可變長度字段，用來定義發(fā)送站的物理地址的長度。例如，對以太網(wǎng)這個字段是6字節(jié)長。SPA（發(fā)送站協(xié)議地址）。這是一個可變長度字段，用來定