IP协议的报文格式分析 1）分析IP 数据报头的格式，完成表9； 表9 IP 协议报文分析 字段报文信息说明 版本 头长 服务类型 总长度 标识 标志 片偏移 生存周期 协议 校验和 源地址 目的地址 其中主要字段的意义和功能如下： * 版本：指IP 协议的版本； * 头长：是指IP 数据报的报头长度，它以4 字节为单位。IP 报头长度至少为 20 字节， 如果选项部分不是4 字节的整数倍时，由填充补齐； * 总长度：为整个IP 数据报的长度； * 服务类型：规定对数据报的处理方式； * 标识：是IP 协议赋予数据报的标志，用于目的主机确定数据分片属于哪个报文； * 标志：为三个比特，其中只有低两位有效，这两位分别表示该数据报文能否分段和是 否该分段是否为源报文的最后一个分段； * 生存周期：为数据报在网络中的生存时间，报文每经过一个路由器时，其值减 1，当生存周期变为 0 时，丢弃该报文；从而防止网络中出现循环路由； * 协议：指IP 数据部分是由哪一种协议发送的； * 校验和：只对IP 报头的头部进行校验，保证头部的完整性； * 源IP 地址和目的IP 地址：分别指发送和接收数据报的主机的IP 地址。 IP文件头的详细内容(如图13所示)， 图13 IP文件头信息 包括： Version(版本)：版本序号为4，代表IPv4。 Header length：Internet文件头长度，为20个字节。 Type of service(服务类型值)：该值为00，我们会看到ToS下面一直到总长度部分都是0。这里可以提供服务质量(QoS)信息;每个二进制数位的意义都不同，这取决于最初的设定。例如，正常延迟设定为0，说明没有设定为低延迟，如果是低延迟，设定值应该为1。 Total length(总长度)：显示该数据的总长度，为Internet文件头和数据的长度之和。 Identification：该数值是文件头的标识符部分，当数据包被划分成几段传送时，接收数据的主机可以用这个数值来重新组装数据。 Flag(标记)：数据包的“标记”功能，例如，数据包分段用0标记，未分段用1标记。 Fragment offset(分段差距)：分段差距为0个字节。可以设定0代表最后一段，或者设定1代表更多区段，这里该值为0。分段差距用来说明某个区段属于数据包的哪个部分。 Time to live(保存时间)：表示TTL值的大小，说明一个数据包可以保存多久。 Protocol(协议)：显示协议值，在Sniffer Pro中代表传输层协议。文件头的协议部分只说明要使用的下一个上层协议是什么，这里为UDP。 Header checksum(校验和)：这里显示了校验和(只在这个头文件中使用)的值，并且已经做了标记，表明这个数值是正确的。 Source address(源地址)：显示了数据的来源地址。 Destination address(目的地址)：显示了数据访问的目的地址。 IP文件头下面为TCP或者UDP文件头，这里为UDP协议(如图14所示)。 UDP协议分析IP文件头下面为TCP或者UDP文件头，这里为UDP协议(如图14所示)。 图14 UDP文件头信息 UDP协议头包括下列信息： Source port(源端口)：显示了所使用的UDP协议的源端口。 Destination port(目的端口)：显示了UDP协议的目的端口。 Length(长度)：表示IP文件头的长度。 Checksum(校验和)：显示了UDP协议的校验和。 Bytes of data：表示有多少字节的数据。 根据协议的不同，在详细资料窗口中有的还会显示ARP、HTTP、WINS等信息。通过这些信息，可以发现正在解析的协议中更多内容。 选择第一个UDP 报文，分析其结构，填写表14。 表14 UDP 报文分析 IP 报文源IP 地址协议目的IP 地址总长度UDP 报文字段名字段长度字段值字段表达信息 3）UDP 报文与TCP 报文有何不同？体会UDP 协议和TCP 协议的区别。 TCP 协议分析 1TCP 协议介绍 TCP 是传输控制协议 （Transmission Control Protocal）的缩写，提供面向连接的可靠的传输服务。在TCP/IP 体系中，HTTP、FTP、SMTP 等协议都是使用TCP 传输方式的。 （1）TCP 报文格式 图28 TCP 报文段格式 TCP 报文分为首部和数据两个部分。如图28 所示，TCP 报文段首部的前20 字节是固 定的，后面有4 n 字节是可选项。其中： * 源端口和目的端口：各2 字节，用于区分源端和目的端的多个应用程序； * 序号：4 字节，指本报文段所发送的数据的第一字节的序号； * 确认序号：4 字节，是期望下次接收的数据的第一字节的编号，表示该编号以前的数据 已安全接收。 * 数据偏移：4 位，指数据开始部分距报文段开始的距离，即报文段首部的长度，以32bit 为单位。 * 标志字段：共有六个标志位： 紧急位URG=1 时，表明该报文要尽快传送，紧急指针启用； 确认位ACK=1 时，表头的确认号才有效；ACK=0，是连接请求报文； 急迫位 PSH=1 时，表示请求接收端的TCP 将本报文段立即传送到其应用层，而不 是等到整个缓存都填满后才向上传递； 复位位RST=1 时，表明出现了严重差错，必须释放连接，然后再重建连接； 同步位 SYN=1 时，表明该报文段是一个连接请求或连接响应报文， 终止位FIN=1 时，表明要发送的字符串已经发送完毕，并要求释放连接。 * 窗口：2 字节，指该报文段发送者的接收窗口的大小，单位为字节； * 校验和：2 字节，对报文的首部和数据部分进行校验； * 紧急指针：2 字节，指明本报文段中紧急数据的最后一个字节的序号，和紧急位 URG 配合使用； * 选项：长度可变，若该字段长度不够四字节，有填充补齐。 （2）TCP 连接的建立 TCP 连接的建立采用 “三次握手”的方法。 一般情况下，双方连接的建立由其中一方发起。如图29(a)所示： * 主机A 首先向主机B 发出连接请求报文段，其首部的SYN 同步位为1，同时选择一个 序号x； * 主机B 收到此连接请求报文后，若同意建立连接，则向主机A 发连接响应报文段。在 响应报文段中，SYN 同步位为1，确认序号为x+1，同时也为自己选择一个序列号y； * 主机A 收到此确认报文后，也向主机B 确认，这时，序号为x+1，确认序号为y+1 。 当连接建立后，A、B 主机就可以利用TCP 进行数据传输了。 图29 TCP 的连接和释放 （3）TCP 连接的释放 在数据传输结束后，任何一方都可以发出释放连接的请求，释放连接采用所谓的 “四次 握手”方法。如图29(b)所示，假如主机A 首先向主机 B 提出释放连接的请求，其过程如下： * 主机A 向主机B 发送释放连接的报文段，其中，FIN 终止位为 1，序号x 等于前面已经发送数据的最后一个字节的序号加 1； * 主机B 对释放连接请求进行确认，其序号等于x+1。这时从A 到B 的连接已经释放， 连接处于半关闭状态，以后主机B 不再接收主机A 的数据。但主机B 还可以向主机A 发送数据，主机A 在收到主机B 的数据时仍然向主机B 发送确认信息。 * 当主机B 不再向主机A 发送数据时，主机B 也向主机A 发释放连接的请求； * 同样主机A 收到该报文段后也向主机B 发送确认。 （4 ）TCP 数据传输 TCP 可以通过检验序号和确认号来判断丢失、重复的报文段，从而保证传输的可靠性。 TCP 将要传送的报文看成是由一个个字节组成的数据流，对每个字节编一个序号。在连接建 立时，双方商定初始序号（即连接请求报文段中的SEQ 值）。TCP 将每次所传送的第一个字 节的序号放在 TCP 首部的序号字段中，接收方的TCP 对收到每个报文段进行确认，在其确 认报文中的确认号字段的值表示其希望接收的下一个报文段的第一个数据字节的序号。 由于TCP 能提供全双工通信，因此，通信中的每一方不必专门发送确认报文段，而可以 在发送数据时，捎带传送确认信息，以此来提高传输效率。 表12 TCP 连接建立报文分析 报文号传输方向源端口目的端口序 号确认序号同步位SYN确认位ACK 注意：Ethereal 协议树中TCP 协议下的“SEQ/ACK analysis”的内容 （这不是TCP 报文的真实内容，而是Ethereal 给我们提供信息），找到TCP 数据传输报文的序号和确认报文 2）从FTP-学号的报文中的第一个FIN=1 的TCP 报文开始分析 TCP 连接释放的 “四次握手”过程，填写表13。 表13 TCP 连接连接释放报文分析报文号传输方向源端口目的端口序 号确认序号终止位FIN同步位SYN确认位ACK