做电脑网站用什么软件,wordpress 替换字体,新网站如何做流量,修改文章缩略字数 WORDPRESS通过对数据包的分析#xff0c;我们可以判断通信双方的操作系统、网络信息流量、经过的路由、数据包的大小#xff0c;以及数据包的内容等等。对于喜欢网络安全的人来说#xff0c;掌握这方面的知识是相当重要的。现在的网络通信中#xff0c;大部分数据都没有加密#xf…通过对数据包的分析我们可以判断通信双方的操作系统、网络信息流量、经过的路由、数据包的大小以及数据包的内容等等。对于喜欢网络安全的人来说掌握这方面的知识是相当重要的。现在的网络通信中大部分数据都没有加密我们可以轻易地从数据包中提取账号、密码之类我们关心的数据.大家在看本文时如有困难可先读一读计算机网络及C程序设计还有协议分析方面的书。下面我将分TCP/IP族协议结构、程序部分函数及数据结构说明、案例程序剖析三个部分与大家共同学习数据包分析程序的设计方法。一、TCP/IP族协议结构在说TCP/IP之前先让我们来认识一下以太网因为我们现在接触最多的就是以太网并且研究数据包又是离不开以太网的帧的。在以太网中数据是以被称为帧的数据结构本为单位进行交换的。以太网中常用的协议是CSMA/CD(carrier sense multiple access with collisiondetection)即载波监听多点接入/碰撞检测在这里我们关注的是帧的格式。常用的以太网帧的格式有两种标准一种是DIX EthernetV2标准另一种是IEEE的802.3标准。现在最常用的MAC帧是V2格式这也是我们所要研究的格式至于802.3帧我们不再讨论。以太网V2帧的格式如下(插入8字节目的地址6字节-源地址(6字节)-类型(2字节)-数据(46-1500)-FCS(4字节)以太网的地址由48位的二进制来表示,也就是我们常说的MAC地址及硬件地址。在MAC帧前还有8字节的前同步码和帧的开始定界符之后才是地址等报头信息。接收端和发送端的地址之后是2字节的类型字段存放帧中传送数据的上层协议类型RFC1700号文档规定了这些如下ETHER TYPES(十六进制) PROTOCOlS800 IP806 ARP8035 Revese ARP809B Apple Talk8137/8138 Novel814c SNMP帧的数据部分长度为461500字节当小于46时会在后面加入一个整数字节的填充字段。FCS(Frame Check Sequence)在以太网常用循环冗佘校检(CRC:cyclic redandancy check)。IP协议为网络层协议网络层的数据结构体被称为IP数据报。IP地址及域名这两个概念我们就不说了下面我们来看一看IP数据报的结构成员名 字节数 说明version 1/2 IP的版本现在为IPV4IHL(报送长度) 1/2 最常用为20取515之前的值最大60字节Type Of Service 1 优先和可靠性服务要求的数值Total Lenth 2 IP数据报的全长Identification 2 识别IP数据报的编号Flags 3/8 1位为0表示有碎块2位为0表示是最后的碎块为1表示接收中。Fragment Offset 13/8 分片在原分组中的位置TTL 1 数据报寿命建议值为32秒Protocol 1 上层协议Headerchecksum 2 报头检验码Source Address 4 发送端IP地址Destination Address 4 接收端IP地址Options And Padding 4 选项及填充位其中协议字段的值对我们分析数据包是很重要的下面列出来给大家看看值 协议 意义1 ICMP Internet Control Message Protocol6 TCP Tranfer Control Protocol8 EGP Exterior Gateway Protocol 9 IGP Interior Gateway Protocol17 UDP User Datagram Protocol下面这些协议的值在后面的程序中我们可以见到请大家留心记一下。接着我们介绍地址解析协议(ARP/RARP):成员名 字节数 说明Hardware address 2 硬件类型以太网为1Protocol address 2 上层协议类型IP为800Byte length of each hardware 1 查询物理地址的字节长度以太网为6Byte length of each protocol address 1 查询上层协议的字节长度IPv4时为4Opcode 2 1为ARP请求2为响应3为RARP请求4为响应Hardware address of sender of this packet 6 发送端硬件地址protocol address of sender of this packet 4 发送端IP地址Hardware address of target of this packet 6 查询对象硬件地址Protocol address of target of this packet 4 查询对象IP地址ARP/RARP协议用来查询IP对应的硬件地址或反过来查询IP地址这在我们分析数据包时也会见到。下面介绍ICMP协议。我们常用的PING命令就是用的这个协议这个协议比较简单由类型(1字节)、代码(1字节)、检验和(2字节)、还有四个字节的与类型相关的可变部分及数据构成。数据包在运输层还有两个重要的协议即TCP/UDPTCP/UDP中使用端口的概念以区别计算机上不同的程序。下面我们先来看看TCP数据报的首部构成成员名 字节数 说明Source Port 2 发送端端口号Destination Port 2 接收端端口号Sequence NO 4 本报文段所发送的第一个字节的序号ACk Number 4 期望收到的下一个报文段的序号DAta Offset 1/2 首部的长度Reserved 3/4 保留今后用Contol Bits 3/4 控制位Window 2 滑动窗口的大小Checksum 2 检验和Urgent Pointer 2 紧急指针Options And Padding 4 可选真充项Tcp被使用在跨越路由器进行网络服务的网络应用程序中如WWW、电子邮件、新闻、FTP等。UDP则是在IP的基础上加入了端口的概念其结构很简单只有八个字节首部如下源端口(2字节)-目的端口(2字节)-长度(2字节)-检验和(2字节)二、程序部分函数及数据结构说明在此部分我们将介绍后面程序中用到的部分函数及数据结构。在程序中我们使用了PCAP程序库大家可以从ftp://ftp.ee.lbl.gov/libpcap.tar.z下载。我们主要在RedhatLinux下测试程序这里简单介绍一下程序库的安装方法其它环境请大家自行解决。我的目的是给大家编写数据包分析程序提供思路至于实用程序的实现这里不做介绍第三部分给出的程序也不具实用性为了演示程序中实现的功能较多而有些地方又不够详细编写实用程序时请适当取舍并加入你所需要的功能实现部分。PCAP程序库的安装方法如下1、解压文件2、进入文件目录执行./configure 及make3、使用Make命令设定手册和Include文件(要有Root权限)执行以下命令make install -manmake install -incl4、如出现不存在Include及Include/net目录则建立此目录并重新执行 make install -incl5、检查/usr/include/netinet/目录是否存在Protocols.h文件不存在则拷贝过去。至此程序库安装完毕。下面介绍程序中出现的部分函数及数据结构1、PCAP_t *pd;此型数据结构称为数据包捕捉描述符。2、Pcap_Open_Live(argv[1],DEFAUT_SNALEN,1,1000,ebuf)此函数对Pcap程序库进行初始化并返回指向Pcap_t型数据的指针其参数列表如下 char * 指定网络接口 int 取得数据的最大字节数 int 指定网络接口卡一般用1int 读出暂停时间char * 错误消息用缓冲区3、Pcap_loop(pd,-1,packet_proce,NUll) 此函数程序的核心反复执行利用Pcap取得数据包返回的是读入数据包的个数错误时返回1其参数列表如下Pcap_t * 指定取得数据包的数据包捕捉描述符茶叶www.aichar.comint 取得数据包的个数1为无限返回指向函数的指针 指定数据包处理的函数U_char * 指向赋给数据包处理函数字符串的指针4、struct ether_header * eth此结构体存储以太网报头信息其成员如下ether_dhost[6] 接收端的MAC地址ether_shost[6] 发送端的MAC地址ether_type 上层协议的种类5、fflush(stdout)此函数完成的是强制输出参数Stdout强制进行标准输出。6、noths(((struct ether_header *P)-ether_type))此函数将短整型网络字节顺序转换成主机字节顺序。此类函数还有ntohl 长整型 功能同上htons 短整型 将主机字节顺序转换成网络字节顺序htons 长整型 同上7、struct IP *iphip型结构体在IPh文件中定义其成员和第一部分讲到的IP数据报结构对应如下成员名 类型 说明ip_hl 4位无符号整数 报头长度ip_v 同上 版本现为4ip_tos 8位无符号整数 Type of serviceip_len 16位无符号整数 数据报长度ip_id 同上 标识 ip_off 同上 数据块偏移和标志ip_ttl 8位无符号整数 TTL值ip_p 同上 上层协议ip_sum 16位无符号整数 检验和ip_src in_addr结构体 发送端IPip_dst 同上 接收端IP8、struct ether_arp *arphether_arp型结构体成员如下成员名 类型 说明ea_hdr arphdr型结构体 报头中地址以外的部分arp_sha 8位无符号整数数组 发送端MAC地址arp_spa 同上 发送端IP地址arp_tha 同上 目标MAC地址arp_tpa 同上 目标IP地址9、struct icmphdr * icmpicmphdr型结构体中包含共用体根据数据报类型的不同而表现不同性质这里不再列出只列能通用的三个成员成员名 说明type 类型字段code 代码checksum 检验和三、案例程序剖析//example.c//使用方法example〈网络接口名〉 〈输出文件名〉//例如example etho temp.txe//结束方法ctrlc//程序开始读入头文件#include#include#include#include#include#include#include#include //pcap程序库#include //DNS检索使用 #define MAXSTRINGSIZE 256 //字符串长度#define MAXSIZE 1024 //主机高速缓存中的最大记录条数#fefine DEFAULT_SNAPLEN 68 /数据包数据的长度typedef struct重生之大文豪www.dwhao.com{ unsigned long int ipaddr; //IP地址 char hostname[MAXSTRINGSIZE]; //主机名}dnstable; //高速缓存数据结构typedef struct { dnstable table[MAXSIZE]; int front; int rear;}sequeue; sequeue *sq; //定义缓存队列sq-rearsq-front0; //初始化队列//输出MAC地址函数void print_hwadd(u_char * hwadd){ for(int i0,is_name); } else sprintf(portna,%d,portno);}//将IP转化为DNS名void iptohost(unsigned long int ipad,char* hostn){ struct hostent * shostname; int m,n,i; msq-rear; nsq-front; for(in%MAXSIZE;im%MAXSIZE;i(n)%MAXSIZE) { //检查IP是否第一次出现 if(sq-table.ipaddripad) { strcpy(hostn,sq-table.hostname); break; } } if(im%MAXSIZE) {//不存在则从域名服务器查询并把结果放入高速缓存 if((sq-rear1)%MAXSIZEsq-front) //判队满 sq-front(sq-front1)%MAXSIZE; //出队列 sq-table.ipaddripad; shostnamegethostbyaddr((char*)ipad,sizeof(ipad),AF_INET); if(shostname!NULL) strcpy(sq-table.hostname,shostname-h_name); else strcpy(sq-table.hostname,); sq-rear(sq-rear1)%MAXSIZE; }}void print_hostname(u_char* ipadd){ unsigned long int ipad; char hostn[MAXSTRINTSIZE]; ipad*((unsigned long int *)ipadd); iptohost(ipad,hostn) if(strlen(hostn)0) printf(%s,hostn); else print_ipadd(ipadd);}//处理数据包的函数void packet_proce(u_char* packets,const struct pcap_pkthdr * header,const u_char *pp){ struct ether_header * eth; //以太网帧报头指针 struct ether_arp * arth; //ARP报头 struct ip * iph; //IP报头 struct tcphdr * tcph; struct udphdr * udph; u_short srcport,dstport; //端口号 char protocol[MAXSTRINGSIZE]; //协议类型名 char srcp[MAXSTRINGSIZE],dstp[MAXSTRINGSIZE]; //端口名 unsigned int ptype; //协议类型变量 u_char * data; //数据包数据指针 u_char tcpudpdata[MAXSTRINGSIZE]; //数据包数据 int i; eth(struct ether_header *)pp; ptypentohs(((struct ether_header *)pp)-ether_type); if((ptypeETHERTYPE_ARP)||(ptypeETHERTYPE_RARP)) { arph(struct ether_arp *)(ppsizeof(struct ether_header)); if(ptypeETHERTYPE_ARP) printf(arp ); else printf(rarp ); //输出协议类型 print_hwadd((u_char *)(arph-arp_sha)); printf((); print_hostname((u_char *)(arph-arp_spa)); printf()-); print_hwadd((u_char *)(arph-arp_tha)); printf((); print_hostname((u_char *)(arph-arp_tpa)); printf()\tpacketlen:%d,header-len); } else if(ptypeETHERTYPE_IP) //IP数据报 { iph(struct ip *)(ppsizeof(struct ether_header)); if(iph-ip_p1) //ICMP报文 { strcpy(protocol,icmp); srcportdstport0; } else if(iph-ip_p6) //TCP报文 { strcpy(protocol,tcp); tcph(struct tcphdr *)(ppsizeof(struct ether_header)4*iph-ip_hl); srcportntohs(tcph-source); dstportntohs(tcph-dest); data(u_char *)(ppsizeof(struct ether_header)4*iph-ip_hl4*tcph-doff); for(i0;iheader-len-sizeof(struct ether_header)-4*iph-ip_hl-4*tcph-doff); break; else tcpudpdatadata; } } //TCP数据处理完毕 else if(iph-ip_p17) //UDP报文 { strcpy(protocol,udp); udph(struct udphdr *)(ppsizeof(struct ether_header)4*iph-ip_hl); srcportntohs(udph-source); dstportntohs(udph-dest); data(u_char *)(ppsizeof(struct ether_header)4*iph-ip_hl8); for(i0;iheader-len-sizeof(struct ether_header)-4*iph-ip_hl-8); break; else tcpudpdatadata; } } tcpudpdata\0; getportname(srcport,srcp,protocol); getportname(dstport,dstp,protocol); printf(ip ); print_hwadd(eth-ether_shost); printf((); print_hostname((u_char *)(iph-ip_src)); printf()[%s:%s]-,protocol,srcp); print_hwadd(eth-ether_dhost); printf((); print_hostname((u_char *)(iph-ip_dst)); printf()[%s:%s],protocol,dstp); printf(\tttl:%d packetlen:%d,iph-ttl,header-len); printf(\n); printf(%s,tcpudpdata); printf(endpacket); } printf(\n);}//Main函数取数据包并初始化程序环境int main(int argc,char ** argv){ char ebuf[pcap_ERRBUF_SIZE]; pcap * pd; if(argc\n,argv[0]); exit(0); } //设置PCAP程序库 if((pdpcap_open_live(argv[1],DEFAULT_SNAPLEN,1,1000,ebuf))NULL) { (void)fprintf(stderr,%s,ebuf); exit(1); } //循环取数据包 //改变参数1为其它值可确定取数据包的个数这里为无限个 if(pcap_loop(pd,-1,packet_proce,NULL)0) { (void)fprintf(stderr,pcap_loop:%s\n,pcap_geterr(pd)); exit(1); } pcap_colse(pd); exit(0);}//程序结束转载于:https://www.cnblogs.com/haichun/p/3530111.html
