建站
咨詢
售后
建站咨詢
新聞中心
如果你想用Sniffer捕幀,并解決網(wǎng)絡(luò)問(wèn)題,那網(wǎng)絡(luò)協(xié)議就一定要相對(duì)了解,本文就從局域網(wǎng)協(xié)議入手,解決Sniffer捕幀問(wèn)題。
讓客戶滿意是我們工作的目標(biāo)，不斷超越客戶的期望值來(lái)自于我們對(duì)這個(gè)行業(yè)的熱愛(ài)。我們立志把好的技術(shù)通過(guò)有效、簡(jiǎn)單的方式提供給客戶，將通過(guò)不懈努力成為客戶在信息化領(lǐng)域值得信任、有價(jià)值的長(zhǎng)期合作伙伴，公司提供的服務(wù)項(xiàng)目有：域名注冊(cè)、雅安服務(wù)器托管、營(yíng)銷(xiāo)軟件、網(wǎng)站建設(shè)、雁塔網(wǎng)站維護(hù)、網(wǎng)站推廣。
局域網(wǎng)的幾種協(xié)議，主要包括以太網(wǎng)第二版、IEEE802系列、令牌環(huán)網(wǎng)和SNAP等（之所以加個(gè)“等”字，是因?yàn)槲抑恢肋@幾種，如果還有其他的，歡迎朋友們給我補(bǔ)充）。而最為常見(jiàn)的，也就是以太網(wǎng)第二版和IEEE802系列，我們也主要去了解這兩種（IEEE802包括好多種，我們也不一一介紹，只對(duì)其中常見(jiàn)做研究）。
一，以太網(wǎng)（V2）
以太網(wǎng)第二版是早期的版本，是由DEC、Intel和Xerox聯(lián)合首創(chuàng)，簡(jiǎn)稱(chēng)DIX。幀格式如下圖：
前導(dǎo)信息：采用1和0的交替模式，在每個(gè)數(shù)據(jù)包起始處提供5MHZ的時(shí)鐘信號(hào)，以充許接收設(shè)備鎖定進(jìn)入的位流。
目標(biāo)地址：數(shù)據(jù)傳輸?shù)哪繕?biāo)MAC地址。
源 地 址：數(shù)據(jù)傳輸?shù)脑碝AC地址。
以太網(wǎng)類(lèi)型：標(biāo)識(shí)了幀中所含信息的上層協(xié)議。
數(shù)據(jù)加填充位：這一幀所帶有的數(shù)據(jù)信息。（以太網(wǎng)幀的大小是可變的。每個(gè)幀包括一個(gè)1 4字節(jié)的報(bào)頭和一個(gè)4字節(jié)的幀校驗(yàn)序列域。這兩個(gè)域增加了1 8字節(jié)的幀長(zhǎng)度。幀的數(shù)據(jù)部分可以包括從4 6字節(jié)到1 5 0 0字節(jié)長(zhǎng)的信息（如果傳輸小于4 6字節(jié)的數(shù)據(jù)，則網(wǎng)絡(luò)將對(duì)數(shù)據(jù)部分填充填充位直到長(zhǎng)度為4 6字節(jié)）。因此，以太網(wǎng)幀的最小長(zhǎng)度為1 8 + 4 6，或6 4個(gè)字節(jié)，***長(zhǎng)度為1 8 + 1 5 0 0，或1 5 1 8個(gè)字節(jié)。）
F C S ： 幀校驗(yàn)序列（ F C S，F(xiàn)rame Check Sequence）域確保接收到的數(shù)據(jù)與發(fā)送時(shí)的數(shù)據(jù)一樣。當(dāng)源節(jié)點(diǎn)發(fā)送數(shù)據(jù)時(shí)，它執(zhí)行一種稱(chēng)為循環(huán)冗余校驗(yàn)（ C R C，Cyclical Redundancy Check）的算法。C R C利用幀中前面所有域的值生成一個(gè)惟一的4字節(jié)長(zhǎng)的數(shù)，即F C S。當(dāng)目標(biāo)節(jié)點(diǎn)接收數(shù)據(jù)幀時(shí)，它通過(guò)C R C破解F C S并確定幀的域與它們?cè)械男问揭恢?。如果這種比較失敗，則接收節(jié)點(diǎn)認(rèn)為幀已經(jīng)在發(fā)送過(guò)程中被破壞并要求源節(jié)點(diǎn)重發(fā)該數(shù)據(jù)。
二，IEEE802系列
IEEE802系列包含比較多的內(nèi)容，但比較常見(jiàn)的是802.2 和 802.3 。下面我們就比這兩種幀。
1， IEEE802.3
為什么我要先把802.3列出來(lái)？因?yàn)槲覀€(gè)人覺(jué)得802.3應(yīng)該是在802。2之前出來(lái)，只它存在問(wèn)題，所以才出現(xiàn)了802。2以解決它的問(wèn)題，大家是不是覺(jué)得有點(diǎn)糊，沒(méi)關(guān)系，請(qǐng)繼續(xù)看下去。下面是這個(gè)幀的幀格式：
大家有沒(méi)有發(fā)現(xiàn)在這個(gè)幀格式跟以太網(wǎng)第二版本的格式非常像？沒(méi)錯(cuò)，它們這間改動(dòng)的比較少，因?yàn)?02。3是在以太網(wǎng)V2的基礎(chǔ)上開(kāi)發(fā)的，為了適應(yīng)100M的網(wǎng)絡(luò)，所以才把8位的前導(dǎo)步信息分成了7字節(jié)，并加入了一個(gè)SFD的域（為什么說(shuō)這樣分開(kāi)一下可以支持100M？我目前還沒(méi)搞懂。^8^那位高手有這方面的資料貢獻(xiàn)一下?。?。
那前導(dǎo)和SFD到底起什么作用？我的理解是，前導(dǎo)與SOFD相當(dāng)于跑步競(jìng)賽開(kāi)始時(shí)的那句“預(yù)備！跑！”，前導(dǎo)就是“預(yù)備！”，SFD就是“跑！”，所以前導(dǎo)讓接收設(shè)備進(jìn)入狀態(tài)，SOFD讓接收設(shè)備開(kāi)始接收。而這里所謂比特流硬件時(shí)鐘同步，是指讓設(shè)備按當(dāng)前比特流信號(hào)頻率同步，以得到精確的接收數(shù)據(jù)的位置，避免接收出錯(cuò)，與PC里所謂時(shí)鐘概念是一樣的。
再有就是類(lèi)型字段變成了長(zhǎng)度字段，這是因?yàn)楫?dāng)初這個(gè)協(xié)議是由novell開(kāi)發(fā)的，所以它默認(rèn)就是在就是局域網(wǎng)就是novell網(wǎng)，服務(wù)器是netware服務(wù)器，跑的是IPX的協(xié)議，因此去掉了類(lèi)型換成了長(zhǎng)度。后來(lái)IEEE再據(jù)此制定802。3的協(xié)議，結(jié)果問(wèn)題也就出來(lái)了。如果我上層用的是IP協(xié)議呢？那怎么辦？別急，有問(wèn)題就會(huì)有方法，IEEE802。2也就由此出現(xiàn)了。
2， IEEE802。2
請(qǐng)看幀格式：
可以看到，種幀的***區(qū)別就在于多了一個(gè)LLC的域，即邏輯鏈路控制（ L L C，Logical Link Control）。該信息用來(lái)區(qū)別一個(gè)網(wǎng)絡(luò)中的多個(gè)客戶機(jī)。如果L L C和數(shù)據(jù)信息的總長(zhǎng)度不足4 6字節(jié)，數(shù)據(jù)域還將包括填充位。長(zhǎng)度域并不關(guān)心填充位，它僅僅報(bào)告邏輯鏈接控制層信息（ L L C）加上數(shù)據(jù)信息的長(zhǎng)度。邏輯鏈接控制層（ L L C）信息由三個(gè)域組成：目標(biāo)服務(wù)訪問(wèn)點(diǎn)（ D S A P，D e s t i n a t i o n Service Access Point），源服務(wù)訪問(wèn)點(diǎn)（ S S A P，Source Service Access Point）和一個(gè)控制域。每個(gè)域都是1個(gè)字節(jié)長(zhǎng)，L L C域總長(zhǎng)度為3字節(jié)。一個(gè)服務(wù)訪問(wèn)點(diǎn)（ S A P，Service Access Point）標(biāo)識(shí)了使用L L C協(xié)議的一個(gè)節(jié)點(diǎn)或內(nèi)部進(jìn)程，網(wǎng)絡(luò)中源節(jié)點(diǎn)和目標(biāo)節(jié)點(diǎn)之間的每個(gè)進(jìn)程都有一個(gè)惟一S A P?？刂朴驑?biāo)識(shí)了必須被建立L L C連接的類(lèi)型：無(wú)應(yīng)答方式（無(wú)連接）和完全應(yīng)答方式（面向連接）。
我們?cè)诠ぷ髦凶畛Ｒ?jiàn)的也就是這三種幀了，下面加入一張網(wǎng)上找到的圖片，以加深大家的理解，并做一個(gè)小小的總結(jié)：
三、用sniffer捕幀
局域網(wǎng)的基本協(xié)議已經(jīng)講完，現(xiàn)在該動(dòng)動(dòng)手了。
下面是我用sniffer捕的幾個(gè)幀。
ARP幀：
DNS的包：
HTTP的包：
通過(guò)上面所捕獲的幀，相信大家對(duì)網(wǎng)絡(luò)的分層應(yīng)該會(huì)有一個(gè)比較深的理解。我所展開(kāi)的是數(shù)據(jù)鏈路層的包頭。
對(duì)照上面的幀格式，我們可以看到，有目的地址，有源地址，有類(lèi)型，從IP開(kāi)始就屬于信息字段了。姨，不對(duì)呀，怎么沒(méi)有前導(dǎo)和SFD？當(dāng)然，這是用來(lái)同步的，對(duì)協(xié)議分析沒(méi)有意義，包括FCS，所以去掉了。
可是，不對(duì)??？沒(méi)錯(cuò)，眼尖的朋友發(fā)現(xiàn)了，哈，都是以太網(wǎng)第二版的幀，看上面字段“Ethertype=0800(ip)”.這是怎么回事？不是說(shuō)現(xiàn)在都是802。3的，至少也是802。2的嘛？怎么還用以太網(wǎng)V2？那么打包成何種幀是由哪個(gè)決定的？
其實(shí)這個(gè)問(wèn)題我當(dāng)時(shí)也糊了，而且很多人也都不是特別的清楚，后來(lái)跟我們老師溝通后這么認(rèn)為：打包成何種幀一般是由操作系統(tǒng)決定的，在微軟的OS里邊，其默認(rèn)都會(huì)打包成以太網(wǎng)第二版的（可以改），這并不是說(shuō)網(wǎng)絡(luò)環(huán)境變成10M了，因?yàn)楝F(xiàn)在這個(gè)以太網(wǎng)第二版應(yīng)該也是支持100M的，而在netware 環(huán)境里面，通常都默認(rèn)是802。2或802。3，具體2還是3，就要看netware版本了，一般來(lái)講，運(yùn)行低于Netware 3.12版本的網(wǎng)絡(luò)的缺省幀類(lèi)型是802。3。
咱就說(shuō)到這了，當(dāng)然不敢說(shuō)完全正確，只希望能讓大家共同交流，所以歡迎大家能夠指出我所不對(duì)的地方，共同進(jìn)步。
文章名稱(chēng)：用Sniffer軟件來(lái)了解局域網(wǎng)(圖)
分享網(wǎng)址：http://www.5511xx.com/article/codjphd.html
