DHCP报文精细分析_加上wireshark抓包.docx

开始抓报文时首先执行的IPCONFIG/RELEASE命令的作用是用来释放IP，这条报文后面分析，在释放Ip后执行的更新IP命令IPCONFIG/RENEW将发起一个DHCP过程，分析从这里开始。现在，客户机没有地址，它就会发出一个DHCPDiscover报文，该报文是广播报文，所有的具有DHCP Server功能的服务器都会收到该报文。dhcp有8种类型的报文，每种报文的格式相同，只是报文中的某些字段取值不同。dhcp报文格式基于bootp（引导程序协议）的报文格式Boot record type为1时表示是Client的请求，为2时表示是Server的应答。Hardware address typeClient 的网络硬件地址类型，1表示Client 的网络硬件是10MB的以太网类型Hardware address lengthClient 的网络硬件地址长度，6表示Client 的网络硬件地址长度是6bytes（即以太网类型的6bytes的MAC地址）。MAC地址,也叫硬件地址,是由48比特/bit长(6字节/byte,1byte=8bits),16进制的数字组成.0-23位叫做组织唯一标志符(organizationally unique，是识别LAN（局域网）节点的标识。24-47位是由厂家自己分配.其中第40位是组播地址标志位HOPS跳数，表示当前的DHCP报文经过的DHCP RELAY（中级）的数目，每经过一个DHCP中继，此字段就会加1，此字段的作用是限制DHCP报文不要经过太多的DHCP RELAY，协议规定，当“hops”大于4（现在也有规定为16）时，这个DHCP报文就不能再进行处理，而是丢弃。Transaction id事务ID，Client每次发送DHCP请求报文时选择的随机数，用来匹配server的响应报文是对哪个请求报文的响应。Client会丢弃“ID”不匹配的响应报文。可以总结一下：第一个报文Relase的Transaction ID:0x50488e40 第二个报文discover的Transaction ID: 0x71936d7d 第三个报文offer的Transaction ID: 0x71936d7d 第四个报文Requst的Transaction ID: 0x71936d7d 第五个报文ack的Transaction ID: 0x71936d7d.[tr?nz?k??n 处理, 办理, 执行Elapsed boot time秒数，用来表示client开始DHCP请求后的时间流逝秒数D.J.[il?ps] (时间)消逝, 过去 elapsed –经过flags标志，在 BOOTP中此字段是保留不用的，在DHCP协议中也只使用了其左边的最高位。Client self-assigned IPaddress客户机IP地址Client/Your IP address server分配给client的IP地址10、Next Server to use in bootstrap服务器IP地址11、Relay AgentDHCP中继代理IP地址12、Client hardware address客户机硬件地址MAC13、Client hardware address padding 客户机硬件MAC填充地址14、Host name 服务器的主机名15、Boot file nameClient 的启动配置文件名16、Magic cookie是魔术使用cookie是服务器可以知道该用户是否合法用户以及是否需要重新登录17、Dhcp message typecode = 53， length = 1， value= 1-8，此字段表示DHCP报文类型18、DHCP sever的报文的类型19、客户端的报文的类型完整的DHCP请求过程：释放PC的IP地址 ipconfig release 1、DHCP Release报文 2、DHCP discover报文 使用的Broadcasts下面的这是UDP的这上的DHCP，客户端发启的bootpc端口是68，目标端口是673、DHCP offer报文 （cisco用单播来实现） Tp-link使用的是组播实现4 、DHCP request报文客户端还没有IP地址用广播5、DHCP ack报文 cisco用得也是广播DHCP客户端发起的就UDP 68端口，而DHCP server 发起的是67的端口。1客户端发出的IP租用请求报文：dhcpdiscover: 此为client开始DHCP过程中的第一个请求报文DHCP客户机初如化TCP/IP，通过UDP端口68向网络中发送一个DHCP DISCOVER，请求租用IP地址。该广播包中的源IP地址为0.0.0.0 ，目标