用sniffer分析协议知识讲解

《用sniffer分析协议知识讲解》由会员分享，可在线阅读，更多相关《用sniffer分析协议知识讲解（90页珍藏版）》请在金锄头文库上搜索。

1、网络安全协议基础,内容提要,本章介绍OSI七层网络模型 TCP/IP协议簇。 重点介绍IP协议、TCP协议、UDP协议和ICMP协议。 介绍常用的网络服务：文件传输服务、Telnet服务、电子邮件服务和、Web服务 介绍常用的网络服务端口和常用的网络命令的使用。,OSI参考模型,OSI参考模型是国际标准化组织ISO(International Standards Organization )制定的模型，把计算机与计算机之间的通信分成七个互相连接的协议层，结构如图2-1所示。,OSI参考模型,很少有产品是完全的OSI模式，然而OSI参考模型为网络的结构提供了可行的机制。 OSI模型将通信会话需要

2、的各种进程划分成7个相对独立的层次。,2、数据链路层（Data Link Layer）,OSI参考模型的第二层称为数据链路层。与其他层一样，它肩负两个责任：发送和接收数据。 还要提供数据有效传输的端到端连接。在发送方，数据链路层负责将指令、数据等包装到帧中，帧是该层的基本结构。 帧中包含足够的信息，确保数据可以安全地通过本地局域网到达目的地。,3、网络层（Network Layer）,网络层（Network Layer）的主要功能是完成网络中主机间的报文传输。在广域网中，这包括产生从源端到目的端的路由。 当报文不得不跨越两个或多个网络时，又会产生很多新问题。例如第二个网络的寻址方法可能不同于第

3、一个网络；第二个网络也可能因为第一个网络的报文太长而无法接收；两个网络使用的协议也可能不同等。网络层必须解决这些问题，使异构网络能够互连。 在单个局域网中，网络层是冗余的，因为报文是直接从一台计算机传送到另一台计算机的。,4、传输层（Transport Layer）,传输层的主要功能是完成网络中不同主机上的用户进程之间可靠的数据通信。 最好的传输连接是一条无差错的、按顺序传送数据的管道，即传输层连接是真正端到端的。 由于绝大多数主机都支持多用户操作，因而机器上有多道程序，这意味着多条连接将进出于这些主机，因此需要以某种方式区别报文属于哪条连接。识别这些连接的信息可以放入传输层的报文头中。,5、

4、会话层（Session Layer）,会话层允许不同机器上的用户之间建立会话关系。会话层允许进行类似传输层的普通数据的传送，在某些场合还提供了一些有用的增强型服务。允许用户利用一次会话在远端的分时系统上登录，或者在两台机器间传递文件。 会话层提供的服务之一是管理对话控制。 会话层允许信息同时双向传输，或限制只能单向传输。如果属于后者，类似于物理信道上的半双工模式，会话层将记录此时该轮到哪一方。 一种与对话控制有关的服务是令牌管理（Token Management）。有些协议保证双方不能同时进行同样的操作，这一点很重要。为了管理这些活动，会话层提供了令牌，令牌可以在会话双方之间移动，只有持有令牌

5、的一方可以执行某种操作。,6、表示层（Presentation Layer）,表示层完成某些特定的功能，这些功能不必由每个用户自己来实现。 值得一提的是，表示层以下各层只关心从源端机到目标机可靠地传送比特，而表示层关心的是所传送的信息的语法和语义。 表示层服务的一个典型例子是用一种一致选定的标准方法对数据进行编码。 大多数用户程序之间并非交换随机的比特，而是交换诸如人名、日期、货币数量和发票之类的信息。这些对象是用字符串、整型数、浮点数的形式，以及由几种简单类型组成的数据结构来表示。,7、应用层（Application Layer）,应用层包含大量人们普遍需要的协议。虽然，对于需要通信的不同应

6、用来说，应用层的协议都是必须的。 例如，PC（Personal Computer）机用户使用仿真终端软件通过网络仿真某个远程主机的终端并使用该远程主机的资源。 这个仿真终端程序使用虚拟终端协议将键盘输入的数据传送到主机的操作系统，并接收显示于屏幕的数据。,TCP/IP协议簇,TCP/IP协议簇模型 和其他网络协议一样，TCP/IP有自己的参考模型用于描述各层的功能。TCP/IP协议簇参考模型和OSI参考模型的比较如图2-2所示。,TCP/IP协议簇,TCP/IP参考模型实现了OSI模型中的所有功能。 不同之处是TCP/IP协议模型将OSI模型的部分层进行了合并。 OSI模型对层的划分更精确，而

7、TCP/IP模型使用比较宽的层定义。,解剖TCP/IP模型,TCP/IP协议簇包括四个功能层：应用层、传输层、网络层及网络接口层。 这四层概括了相对于OSI参考模型中的七层。 1、网络接口层 网络接口层包括用于物理连接、传输的所有功能。OSI模型把这一层功能分为两层：物理层和数据链路层，TCP/IP参考模型把两层合在一起。 2、网络层（Internet层） 网络层由在两个主机之间通信所必须的协议和过程组成。这意味着数据报文必须是可路由的。,解剖TCP/IP模型,3、传输层 这一层支持的功能包括：为了在网络中传输对应用数据进行分段，执行数学检查来保证所收数据的完整性，为多个应用同时传输数据多路复

8、用数据流(传输和接收)。这意味着该层能识别特殊应用，对乱序收到的数据进行重新排序。 当前的主机到主机层包括两个协议实体：传输控制协议(TCP)和用户数据报协议(UDP)。 4、应用层 应用层协议提供远程访问和资源共享。应用包括Telnet服务、FTP服务、SMTP服务和HTTP服务等，很多其他应用程序驻留并运行在此层，并且依赖于底层的功能。该层是最难保护的一层。,解剖TCP/IP模型,TCP/IP组的四层、OSI参考模型和常用协议的对应关系如图2-3所示。,网络协议IP,IP协议已经成为世界上最重要的网际协议。 IP的功能定义在由IP头结构的数据中。IP是网络层上的主要协议，同时被TCP协议和

9、UDP协议使用。 TCP/IP的整个数据报在数据链路层的结构如表2-1所示。 表2-1 TCP/IP数据报的结构,IP头的结构,可以看出一条完整数据报由四部分组成 第三部分是该数据报采用的协议 第四部分是数据报传递的数据内容 其中IP头的结构如表2-2所示。,IP头的结构,IP头结构在所有协议中都是固定的，对表2-2说明如下： （1）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺序是从左到右，依次从低位到高位。 （2）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。 （3）服务类型：前3位为优先字段权，现在已经被忽略。接着4位用来表示最小延迟、最大吞吐量、最高可靠性

10、和最小费用。 （4）封包总长度：整个IP报的长度，单位为字节。 （5）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比如初始值设置为32，则每通过一个路由器处理就会被减一，当这个值为0的时候就会丢掉这个包，并用ICMP消息通知源主机。 （6）协议：定义了数据的协议，分别为：TCP、UDP、ICMP和IGMP。定义为： define PROTOCOL_TCP 0 x06 define PROTOCOL_UDP 0 x11 define PROTOCOL_ICMP 0 x06 define PROTOCOL_IGMP 0 x06 （7）检验和：校验的首先将该字段设置为0，然后将IP

11、头的每16位进行二进制取反求和，将结果保存在校验和字段。 （8）来源IP地址：将IP地址看作是32位数值则需要将网络字节顺序转化位主机字节顺序。转化的方法是：将每4个字节首尾互换，将2、3字节互换。 （9）目的IP地址：转换方法和来源IP地址一样。 在网络协议中，IP是面向非连接的，所谓的非连接就是传递数据的时候，不检测网络是否连通。所以是不可靠的数据报协议，IP协议主要负责在主机之间寻址和选择数据包路由。,抓取Ping指令发送的数据包,按照第一章Sniffer的设置抓取Ping指令发送的数据包，命令执行如图2-4所示。,抓取Ping指令发送的数据包,抓取Ping指令发送的数据包,其实IP报头

12、的所有属性都在报头中显示出来，可以看出实际抓取的数据报和理论上的数据报一致，分析如图2-6所示。,IPv4的IP地址分类,IPv4地址在1981年9月实现标准化的。基本的IP地址是8位一个单元的32位二进制数。为了方便人们的使用，对机器友好的二进制地址转变为人们更熟悉的十进制地址。 IP地址中的每一个8位组用0255之间的一个十进制数表示。这些数之间用点“.”隔开，因此，最小的IPv4地址值为0.0.0.0，最大的地址值为255.255.255.255，然而这两个值是保留的，没有分配给任何系统。 IP地址分成五类：A类地址、B类地址、C类地址、D类地址和E类地址。 每一个IP地址包括两部分：网

13、络地址和主机地址，上面五类地址对所支持的网络数和主机数有不同的组合。,1、A类地址,一个A类IP地址仅使用第一个8位组表示网络地址。剩下的3个8位组表示主机地址。A类地址的第一个位总为0，这一点在数学上限制了A类地址的范围小于127，因此理论上仅有127个可能的A类网络，而0.0.0.0地址又没有分配，所以实际上只有126个A类网。技术上讲，127.0.0.0也是一个A类地址，但是它已被保留作闭环（Look Back）测试之用而不能分配给一个网络。 A类地址后面的24位表示可能的主机地址，A类网络地址的范围从1.0.0.0到126.0.0.0。每一个A类地址能支持16,777,214个不同的主

14、机地址，这个数是由2的24次方再减去2得到的。减2是必要的，因为IP把全0保留为表示网络而全1表示网络内的广播地址。,2、B类地址,设计B类地址的目的是支持中到大型的网络。B类网络地址范围从128.1.0.0到191.254.0.0。B类地址蕴含的数学逻辑是相当简单的。 一个B类IP地址使用两个8位组表示网络号，另外两个8位组表示主机号。B类地址的第1个8位组的前两位总是设置为1和0，剩下的6位既可以是0也可以是1，这样就限制其范围小于等于191，这里的191由128+32+16+8+4 +2+1得到。 最后的16位（2个8位组）标识可能的主机地址。每一个B类地址能支持64,534个惟一的主机

15、地址，这个数由2的16次方减2得到，B类网络有16,382个。,3、C类地址,C类地址用于支持大量的小型网络。这类地址可以认为与A类地址正好相反。A类地址使用第一个8位组表示网络号，剩下的3个表示主机号，而C类地址使用三个8位组表示网络地址，仅用一个8位组表示主机号。 C类地址的前3位数为110，前两位和为192(128+64)，这形成了C类地址空间的下界。第三位等于十进制数32，这一位为0限制了地址空间的上界。不能使用第三位限制了此8位组的最大值为255-32等于223。因此C类网络地址范围从192.0.1.0至223.255.254.0。 最后一个8位组用于主机寻址。每一个C类地址理论上可

16、支持最大2 5 6个主机地址(0255)，但是仅有254个可用，因为0和255不是有效的主机地址。可以有2,097,150个不同的C类网络地址。 在IP地址中，0和255是保留的主机地址。IP地址中所有的主机地址为0用于标识局域网。同样，全为1表示在此网段中的广播地址。,4、D类地址,D类地址用于在IP网络中的组播（Multicasting）。D类组播地址机制仅有有限的用处。一个组播地址是一个惟一的网络地址。它能指导报文到达预定义的IP地址组。 因此，一台机器可以把数据流同时发送到多个接收端，这比为每个接收端创建一个不同的流有效得多。组播长期以来被认为是IP网络最理想的特性，因为它有效地减小了网络流量。 D类地址空间，和其他地址空间一样，有其数学限制，D类地址的前4位恒为1110，预置前3位为1意味着D类地址开始于128+64+32等于224。第4位为0意味着D类地址的最大值为128+64+32+8+4+2+1为239，因此D类地址空间的范围从224.0.0.0到239.255.2 55.254。,5、E类地址,E类地址虽被定义为保留研究之用。因此Int