sniffer 數(shù)據(jù)報文解碼詳解

1、1Sniffer數(shù)據(jù)報文解碼詳解數(shù)據(jù)報文解碼詳解本章主要對：數(shù)據(jù)報文分層、以太報文結(jié)構、IP協(xié)議、ARP協(xié)議、PPPOE協(xié)議、Radius協(xié)議等的解碼分析做了簡單的描述，目的在于介紹Sniffer軟件在協(xié)議分析中的功能作用并通過解碼分析對協(xié)議進一步了解。對其其他協(xié)議讀者可以通過協(xié)議文檔和Sniffer捕獲的報文對比分析。數(shù)據(jù)報文分層如下圖所示，對于四層網(wǎng)絡結(jié)構，其不同層次完成不通功能。每一層次有眾多協(xié)議組成。如上圖所示在Sniffer的

2、解碼表中分別對每一個層次協(xié)議進行解碼分析。鏈路層對應“DLC”；網(wǎng)絡層對應“IP”；傳輸層對應“UDP”；應用層對對應的是“B”等高層協(xié)議。Sniffer可以針對眾多協(xié)議進行詳細結(jié)構化解碼分析。并利用樹形結(jié)構良好的表現(xiàn)出來。以太報文結(jié)構EtherII以太網(wǎng)幀結(jié)構Ether_II以太網(wǎng)幀類型報文結(jié)構為：目的MAC地址（6bytes）＋源MAC地址＋（6bytes）上層協(xié)議類型（2bytes）＋數(shù)據(jù)字段（461500bytes)＋校驗（4b

3、ytes）。Sniffer自動添加時間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer自動添加時間戳目的MAC地址源MAC地址上層協(xié)議類型Sniffer會在捕獲報文的時候自動記錄捕獲的時間，在解碼顯示時顯示出來，在分析問題時提供了很好的時間記錄。源目的MAC地址在解碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡上2臺設備IP地址設置沖突，可以通過解碼翻譯出廠商信息方便的將故障設備找到，如00e0fc為華為，01

4、0042為Cisco等等。如果需要查看詳細的MAC地址用鼠標在解碼框中點擊此MAC地址，在下面的表格中會突出顯示該地址的16進制編碼。IP網(wǎng)絡來說Ethertype字段承載的時上層協(xié)議的類型主要包括0x800為IP協(xié)議，0x806為ARP協(xié)議。應用層傳輸層網(wǎng)絡層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設備驅(qū)動程序及接口卡應用層傳輸層網(wǎng)絡層鏈路層TelFTP和email等TCP和UDPIPICMPIGMP設備驅(qū)動

5、程序及接口卡Ether_IIDMACSMACTypeDATAPADFCSEther_IIDMACSMACTypeDATAPADFCS3上圖為Sniffer對IP協(xié)議首部的解碼分析結(jié)構，和IP首部各個字段相對應，并給出了各個字段值所表示含義的英文解釋。如上圖報文協(xié)議（Protocol）字段的編碼為0x11，通過Sniffer解碼分析轉(zhuǎn)換為十進制的17，代表UDP協(xié)議。其他字段的解碼含義可以與此類似，只要對協(xié)議理解的比較清楚對解碼內(nèi)容的理解

6、將會變的很容易。ARP協(xié)議以下為ARP報文結(jié)構ARP分組具有如下的一些字段：HTYPE（硬件類型）。這是一個16比特字段，用來定義運行ARP的網(wǎng)絡的類型。每一個局域網(wǎng)基于其類型被指派給一個整數(shù)。例如，以太網(wǎng)是類型1。ARP可使用在任何網(wǎng)絡上。PTYPE（協(xié)議類型）。這是一個16比特字段，用來定義協(xié)議的類型。例如，對IPv4協(xié)議，這個字段的值是0800。ARP可用于任何高層協(xié)議。HLEN（硬件長度）。這是一個8比特字段，用來定義以字節(jié)為單

7、位的物理地址的長度。例如，對以太網(wǎng)這個值是6。PLEN（協(xié)議長度）。這是一個8比特字段，用來定義以字節(jié)為單位的邏輯地址的長度。例如，對IPv4協(xié)議這個值是4。OPER（操作）。這是一個16比特字段，用來定義分組的類型。已定義了兩種類型：ARP請求（1），ARP回答（2）。SHA（發(fā)送站硬件地址）。這是一個可變長度字段，用來定義發(fā)送站的物理地址的長度。例如，對以太網(wǎng)這個字段是6字節(jié)長。SPA（發(fā)送站協(xié)議地址）。這是一個可變長度字段，用來定