DHCP报文分析.docVIP

DHCP报文分析 一、在windows下对DHCP过程的抓包进步骤： 首先打开wireshark进行抓包； 在cmd中执行ipconfig /release，该命令的作用是用来释放IP，如果出现如下提示信息，表明本地连接没有设置成自动获取； 在网络连接中将本地连接设成自动获取，再次执行ipconfig /release，释放IP成功。 Wireshark抓包如图： 3、执行命令ipconfig /renew，发起一个DHCP过程，分析从这里开始。 DHCP通常有Discover、Offer、Request、Ack四个阶段，wireshark抓包如下： 此外还有重新登陆和更新租约，这里不作解释。 二、DHCP协议的报文格式如下，括号内为长度： OP(1) Htype(1) Hlen(1) Hops(1) Transaction ID(4) Seconds(2) Flags(2) Ciaddr（4） Yiaddr（4） Siaddr（4） Giaddr（4） Chaddr（16） Sname（64） File（128） Options（variable） 下面结合在windows下对DHCP过程的抓包进行分析： I、现在，客户机没有地址，它就会发出一个DHCP Discover报文，该报文是广播报文，所有的具有DHCP Server功能的服务器都会收到该报文。 dhcp有8种类型的报文，每种报文的格式相同，只是报文中的某些字段取值不同。dhcp报文格式基于bootp（引导程序协议）的报文格式 Bootstrap Protocol(Discover) 表明发送的是Discover报文。 Message type(opt)：消息类型，为1时表示是Client的请求，为2时表示是Server的应答； Hardware type(Htype)：Client 的网络硬件地址类型，0x01表示Client 的网络硬件是10MB的以太网类型(Ethernet)； Hardware address length(Hlen)：Client 的网络硬件地址长度，6表示Client 的网络硬件地址长度是6bytes（即以太网类型的6 bytes的MAC地址）； 注：MAC地址,也叫硬件地址,是由48比特/bit长(6字节/byte,1byte=8bits),16进制的数字组成.0-23位叫做组织唯一标志符(organizationally unique，是识别LAN（局域网）节点的标识。24-47位是由厂家自己分配.其中第40位是组播地址标志位。 HOPS：跳数，即经过的中继数，表示当前的DHCP报文经过的DHCP RELAY（中级）的数目，每经过一个DHCP中继，此字段就会加1，此字段的作用是限制DHCP报文不要经过太多的DHCP RELAY，协议规定，当“hops”大于4（现在也有规定为16）时，这个DHCP报文就不能再进行处理，而是丢弃； Transaction id：事务ID，Client每次发送DHCP请求报文时选择的随机数，用来匹配server的响应报文是对哪个请求报文的响应。Client会丢弃“ID”不匹配的响应报文。 可以总结一下：第一个报文Relase的Transaction ID:0x50488e40 第二个报文discover的Transaction ID: 0x71936d7d 第三个报文offer的Transaction ID: 0x71936d7d 第四个报文Requst的Transaction ID: 0x71936d7d 第五个报文ack的Transaction ID: 0x71936d7d Seconds elapsed(Seconds)：秒数，用来表示client开始DHCP请求后的时间流逝秒数； Bootp flags(Flags)：标志，在 BOOTP中此字段是保留不用的，在DHCP协议中也只使用了其左边的最高位； Client IP address(Cliaddr)：客户机IP地址； Your （client）IP address(Yiaddr)：分配给client的IP地址； 10、Next Server IP address(Siaddr)：服务器IP地址； 11、Relay Agent IP address(Giaddr)：中继代理IP地址； 12、Client MAC address(Chaddr)：客户机硬件地址MAC； 13、Client hardware address padding：客户机硬件MAC填充地址； 14、Host name(Sname)： 服务器的