ITPub博客

首页 > Linux操作系统 > Linux操作系统 > Linux系统下的网络监听技术(2)(转)

Linux系统下的网络监听技术(2)(转)

原创 Linux操作系统 作者:ilg 时间:2019-06-28 22:15:07 0 删除 编辑
Linux系统下的网络监听技术(2)(转)

  以太网上数据帧的监听剖析

  以太网上的数据帧主要涉及Tcp/ip协议,针对以下几个协议的分析:IP,ARP,RARP,IPX,其中重点在于ip和 arp协议,这两个协议是多数网络协议的基础,因此把他们研究彻底,就对大多数的协议的原理和特性比较清楚了。由于各种协议的数据帧个不相同,所以涉及很多的数据帧头格式分析,接下来将一一描述。

  在linux 下监听网络,应先设置网卡状态,使其处于杂混模式以便监听网络上的所有数据帧。然后选择用Linux socket 来截取数据帧,通过设置socket() 函数参数值,可以使socket截取未处理的网络数据帧,关键是函数的参数设置,下面就是有关的程序部分:

  if ( ( fd=socket (AF_INET, SOCK_PACKET,htons(0x0003)))<0)

    {perror (“can get SOCK_PACKET socket

      ”);

    exit(0);

    }

  ぷぷAF_INET=2 表示 internet ip protocol

  ぷぷSOCK_PACKET=10 表示 截取数据帧的层次在物理层,既不作处理。

  ぷぷHtons(0x0003)表示 截取的数据帧的类型为不确定,既接受所有的包。

  总的设定就是网卡上截取所有的数据帧。这样就可以截取底层数据帧,因为返回的将是一个指向数据的指针,为了分析方便,我设置了一个基本的数据帧头结构。

  Struct etherpacket

    {struct ethhdr eth;

    struct iphdr ip;

    struct tcphdr tcp;

    char buff[8192];

    } ep;

  将返回的指针赋值给指向数据帧头结构的指针,然后对其进行分析。以下是有关协议的报头:ethhdr 这是以太网数据帧的mac报头:

  --------------------------------------------------------

  |48bit 目的物理地址 | 48bit 源物理地址 | 16bit 协议地址|

  --------------------------------------------------------

  相应的数据结构如下

  struct ethhdr

    {

    unsigned char h_dest[ETH_ALEN];

    unsigned char h_source[ETH_ALEN];

    unsigned short h_proto;

    }

  其中h_dest[6]是48位的目标地址的网卡物理地址,h_source [6] 是48位的源地址的物理网卡地址。H_proto是16位的以太网协议,其中主要有0x0800 ip,0x8035.X25,0x8137 ipx,0x8863-0x8864 pppoe(这是Linux的 ppp),0x0600 ether _loop_back ,0x0200-0x0201 pup等。Iphdr 这是ip协议的报头:

  由此可以定义其结构如下:

  struct iphdr

    {

    #elif defined (_LITTLE_ENDIAN_BITFIELD)

    _u8 version :4,

    #elif defined (_BIG_ENDIAN_BITFIELD)

    _u8 version:4,

    ihl:4;

    #else

    #error "Please fix"

    #endif

    _u8 tos;

    _16 tot_len;

    _u16 id;

    _u16 frag_off;

    _u8 ttl;

    _u8 protocol;

    _u16 check;

    _u32 saddr;

    _u32 daddr;

    };

  这是Linux 的ip协议报头,针对版本的不同它可以有不同的定义,我们国内一般用BIG的定义,其中version 是ip的版本,protocol是ip的协议分类主要有0x06 tcp.0x11 udp,0x01 icmp,0x02 igmp等,saddr是32位的源ip地址,daddr是32位的目标ip地址。

  相应的数据结构:

  struct arphdr

    {

    unsigned short int ar_hrd;

    unsigned short int ar_pro;

    unsigned char ar_hln;

    unsigned char ar_pln;

    unsigned short int ar_op;

    #if 0

    unsigned char _ar_sha[ETH_ALEN];

    unsigned char _ar_sip[4];

    unsigned char _ar_tha[ETH_ALEN];

    unsigned char _ar_tip[4];

    #end if

    };

  这是linux 的arp 协议报头,其中ar_hrd 是硬件地址的格式,ar_pro协议地址的格式,ar_hln是硬件地址的长度,ar_pln时协议地址的长度,ar_op是arp协议的分类0x001是arp echo 0x0002 是 arp reply.接下来的分别是源地址的物理地址,源ip地址,目标地址的物理地址,目标ip地址。

  Tcphdr ip协议的tcp协议报头

  以下是相应数据结构:

  struct tcphdr

    {

    u_int16_t source;

    u_int16_t dest;

    u_int32_t seq;

    u_int32_t ack_seq;

    # if _BYTE_ORDER == _LITTLE _ENDIAN

    u_int16_t resl:4;

    u_int16_t doff:4;

    u_int16_t fin:1;

    u_int16_t syn:1;

    u_int16_t rst:1;

    u_int16_t psh:1;

    u_int16_t ack:1;

    u_int16_t urg:1;

    u_int16_t res2:2;

    #elif _BYTE _ORDER == _BIG _ENDIAN

    u_int16_t doff:4;

    u_int16_t res1:4;

    u_int16_t res2:2;

    u_int16_t urg:1;

    u_int16_t ack:1;

    u_int16_t psh:1;

    u_int16_t rst:1;

    u_int16_t syn:1;

    u_int16_t fin:1;

    #else

    #error "Adjust your defines"

    #endif

    u_int16_t window;

    u_int16_t check;

    u_int16_t urg_ptr;

    };

  这是Linux 下tcp协议的一部分与ip协议相同取BIG,其中source是源端口,dest 是目的端口,seq是s序,ack_seq是a序号,其余的是tcp的连接标志其中包括6个标志:syn表示连接请求,urg 表示紧急信息,fin表示连接结束,ack表示连接应答,psh表示推栈标志,rst表示中断连接。window是表示接受数据窗口大小,check是校验码,urg ptr是紧急指针。

  Udphdr 这是udp协议报头

  struct udphdr {

    u_int16_t source;

    u_int16_t dest;

    u_int16_t len;

    u_int16_t check;

    }

  这是Linux下ip协议中udp协议的一部分,结构很明显 source 源端口,dest目的端口,len udp 长度,check 是校验码。

  Icmphdr 这是ip协议的icmp协议的报头

  struct icmphdr

    {

    u_int8_t type;

    u_int8_t code;

    u_int16_t checksum;

    union

    {

    struct

    {

    u_int16_t id;

    u_int16_t sequence;

    } echo;

    u_int32_t gateway;

    struct

    {

    u_int16_t_unused;

    u_int16_t mtu;

    } frag;

    } un;

    };

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/14102/viewspace-116389/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2002-06-18

  • 博文量
    1715
  • 访问量
    1300035