数据包

时间：2022-02-14 04:00:01 | 来源：信息时代

时间：2022-02-14 04:00:01 来源：信息时代

计算机网络将要传输的报文分割成一个个小的数据片段，称为“分组”，在每一个分组的数据前加上传输数据所必需的信息“报头”，就构成了网络数据传输的基本部件“数据包”。

应用层的主要任务是将被传输的信息转换成符合网络传输规范的二进制数据块。常用的应用层协议有：超文本传输协议HTTP、文件传送协议FTP、远程登录协议TELNET、简单邮件传送协议SMTP、域名解析协议DNS、简单网络管理协议SNMP、动态主机配置协议DHCP、以及微软媒体服务器协议MMS等。

传输层的主要任务是将数据包传输到目的地，为此，传输层为应用层上的应用提供两类截然不同的服务：第一类服务是可靠的面向连接服务，确保正确无误地把消息从源端传送到目的地，使用的协议是TCP协议。第二类服务是不可靠的无连接服务，使用的协议是用户数据包协议UDP。

以太网接口卡可以被设置成如下4种工作模式：

（1）广播：数据帧可以发向网络中所有计算机。任何设置为广播模式的网卡都接收目的地址为广播地址的数据帧。通常所有的网卡被配置为接收广播帧

（2）多播：发往一组计算机的帧称为多播帧，使用特定的多播地址作为目的地址。这些计算机的组构成了多播组。这样，多播组里的任何一个成员计算机将会接收具有多播目的地址的帧.

（3）直接：发往特定计算机的帧具有特定计算机的物理地址。具有特定物理地址的计算机将接收特定的帧，丢弃其它的帧。网卡可以设置为仅仅接收直接帧。

（4）混杂：设置为这个模式的网卡接收所有收到的数据包，任何到达此网卡的信息都不丢弃。这个模式是网络监测应用程序的关键模式。

在网络监听情况下，要想监听到被监听主机之间的通信信息，也要满足以下的两点基本要求：

SnifferPortable共有8个下拉菜单：

文件菜单：打开和保存各种记录数据文件；软件系统工作模式的设定；打印各种报表或报告；运行脚本程序等。

监视器菜单：选择设定系统监视对象和监视的任务，可以定义过滤器对监视的对象有选择的做出显示，也可以察看报警日志。

捕获菜单：可以启动或停止捕获操作。可以按照不同的工作需求设置捕获过滤器，也可以为捕获操作设置触发条件。这些功能可以极大地提高捕获工作效率。

显示菜单：显示捕获数据的内容，可以对显示内容进行搜索与过滤。

工具菜单：包含了一些系统工具。如系统配置选项，监视对象地址簿，数据包自动发送工具等。

数据库菜单：对保存数据的数据库进行整理维护。

窗口菜单：按不同的工作需要显示或隐藏不同的窗口。

帮助菜单：提供系统帮助。

开始按钮：启动捕获程序，开始捕获数据包。

暂停按钮：暂时停止捕获数据。

停止按钮：停止捕获工作。

停止和显示按钮：停止捕获工作，自动转到显示捕获数据包窗口。

显示按钮：显示捕获数据包的内容。

定义过滤器按钮：设置过滤条件，有选择的进行捕获。

第三层运输层，主要为两台主机上的应用程序提供端到端的通信。在TCP/IP协议中，有两个互不相同的传输协议：即面向连接的TCP协议和非连接的UDP协议。

第四层应用层，由不同的应用程序实现特定的应用目的。如：

(1)前导码：8个字节，用于同步和起始标志。在SnifferPortable中不显示。

(2)目的地址：6个字节，目的主机MAC地址。

(3)源地址：6个字节，源主机MAC地址。

(4)类型域：2个字节，标识了在以太网上运行的客户端协议。即表明上层（网络层）的协议。如IP、IPX等网络层协议。

(5）数据：46～1500字节，这里是真正要传输的数据。如果长度不够46字节则由DLC协议自动补齐为46字节。

(6）帧校验序列：4个字节，利用的是CRC循环冗余校验法，在SnifferPortable中不显示。

在DLC头部：共显示6行信息，其中第3-5行显示内容是DLC真实内容，其它行是SnifferPortable添加的状态信息.

第一行：SnifferPortable添加的DLC起始标志。

第二行：SnifferPortable添加的帧序号、捕获日期、时间、帧的长度等信息。以上2行内容在数据包中是没有的。

第三行：DLC真实内容。目标主机的MAC地址。占6个字节，帧内地址00-05H。

第四行：DLC真实内容。源主机的MAC地址。占6个字节，帧内地址06-0BH。

第五行：DLC真实内容。数据包的类型（即上层协议的类型）。占2个字节，帧内地址0C-0DH。上层协议的类型主要有0800为IP协议，0806为ARP协议等。

第六行：SnifferPortable添加的DLC结束标志。

网络层协议主要有：

网际协议（IP）：

地址0E：1字节。高4位是IP协议版本号，低4位是本包IP首部长度。此例中0EH地址内容为45H。4代表IP协议版本号为4，即IPv4，此包所经过的各个路由器等网络设备均按IPv4格式对数据包进行解读与处理。5为此数据包IP首部长度代码。实际首部长度为此代码乘以4，本例中首部长度为5×4＝20字节。首部最大长度为0FH×4＝15×4＝60（字节）

地址0F：1字节。服务类型定义IP协议包的处理方法，它包含如下子字段

过程字段：3位，设置了数据包的重要性，取值越大数据越重要，取值范围为0（正常）~7（网络控制）

延迟字段：1位，取值0（正常）、1（低延迟）

流量字段：1位，取值0（正常）、1（高流量）

可靠性字段：1位，取值0（正常）、1（高可靠性）

成本字段：1位，取值0（正常）、1（最小成本）

未使用：1位

地址10H-11H：2字节。IP包总长度。此例中IP包总长度为0052H，即82字节。从0EH到5FH，包含了IP包头及数据长度。

地址12H-13H：2字节。IP报文标识字段，每一个IP数据包都有一个与分组过程相关的唯一标识，做为到达目标后恢复数据时组合的依据。此例中标识为78FAH

地址14H的高3位：有关数据分段的标识。

地址14H的低5位-15H：段偏移。当数据分组时，它和更多段位进行连接，帮助目的主机将分段的包组合。

地址16H：1字节。IP包生存时间TTL。由于IP包发出后就不再对它进行管理，任其自由寻找目标主机。如果网络或目标主机出现故障造成IP包无法到达目的主机，此数据包就会不断在网上游逛，形成网络数据包孤儿。网络孤儿大量存在就会占用网络资源，严重影响正常的网络通信。因此，如果IP包经过一定时间还无法找到目标主机就应该让它自动消亡。这个时间就是TTL。当某一网络设备发出IP包的同时要给IP包设定一个生存时间常数，每经过一个路由器此时间常数自动减一，当TTL值减为0还无法找到目标主机就自动消亡。

地址17H：1字节。协议代码。表示此IP包携带的是何种协议报文。

常见的有：

1：ICMP

6：TCP

17：UDP

地址18H-19H：2字节。首部校验和。用于校验和纠错。

地址1AH-1DH：4字节。源IP地址。此例为DBH、85H、3FH、36H。用点分十进制表示即为219.133.63.54。

地址1EH-21H：4字节。目标IP地址。此例为C0H、A8H、01H、64H。用点分十进制表示即为192.168.1.100。

地址解析协议（ARP）：

地址0D-0EH：2字节。硬件类型，以太网为“0001H”。

地址10-11H：2字节。上层协议类型，0800H为IP协议。

地址12H：硬件地址长度。MAX地址长度恒为6字节。

地址13H：协议地址长度。IP地址恒为4字节。

地址14-15H：操作。请求包恒为1，应答包恒为2。此例是请求包，值为1。

地址16-1BH：源主机的MAC地址。此例为00-0D-60-8A-F0-3F。

地址1C-1FH：源主机协议地址。此例为192.168.1.100。（十六进制表示为C0H、A8H、01H、64H）。

地址20-25H：目标主机MAC地址。此例为ARP请求包，地址为0。

地址26-29H：目标主机协议地址。此例为192.168.1.101。（十六进制表示为C0H、A8H、01H、65H）。

地址2A-3BH：DLC将数据包不足长度部分补足。

网际控制报文协议（ICMP）：

地址00-0DH：DLC包头。

地址0EH-21H：IP包头。

地址22H：1字节。ICMP数据包类型字段。不同的代码代表此数据包内容的类型。

地址22H：1字节。代码。据前一字节设定不同类型下此字节含义不同。详细解释请查阅ICMP协议手册。此例中为0。

地址23H-24H：2字节校验和。用于校验数据包的正确性

地址25H-26H：标识。

地址27H-28H：2字节。发送二进制位序列号。

地址29H-结束：发送探测包内容。使用Windows系统的Ping命令时内容为英文小写字母a-w循环发送，直到达到命令要求的字节数为止。默认字节数为32。

传输层协议主要有：

传输控制协议（TCP）：

地址00-0DH：DLC包头。

地址0EH-21H：IP包头。

地址22H-23H：2字节。源主机端口号，此例为使用HTTP协议访问网页，默认端口号为80（0050H）。

地址24H-25H：2字节。目标主机端口号，由应用程序随机产生。此例为3545（0DD9H）。

地址26H-29H：4字节。序号指明了段在即将传输的段序列中的位置。TCP连接是可靠的，而且保证了传送数据包的顺序，保证顺序是用序号来保证的。此例中序号为2938112427（AF2009ABH）。

地址2AH-2DH：4字节。确认号作为收到数据的响应，连接成功后传输数据过程中此号为请求包序号＋应答数据包长度，若不进行通信仅进行连接时长度为1字节同步字节。此例为648543792＋1＝648543793（26A7FE31H）。

地址2EH：1字节。高4位为首部长度，值为首部字节数/4。低4位保留未用。此例TCP首部长度20字节，故此此字节高4位值=20/4=5。

地址2FH：1字节。高2位保留未用。低6位为标志位。

地址30H-31H：2字节。窗口指定发送端能传输下一段的大小。此例为65259（FEEBH）。

地址32H-33H：2字节。校验和。用来校验段头和数据部分的可靠性。此例为082DH

地址34H-35H：2字节。紧急。指明段中包含紧急信息，只有当URG标志置1时紧急指针才有效。此例为0。

用户数据报协议（UDP）：

地址00-0DH：DLC包头。

地址0EH-21H：IP包头。

地址22H-23H：2字节。源主机端口号，此例为53124（CF84H）。

地址24H-25H：2字节。目标主机端口号，此例为53124（CF84H）。

地址26H-27H：2字节。UDP部分数据长度，此例为835B（0343H）。

地址28H-29H：2字节。校验和。

地址2AH-结束：UDP数据段。此例为网络电视数据。