协议解析器程序winpcap解析.doc

实验四 编写协议解析器程序 实验要求及目的 使用libpcap/winpcap进行网络抓包，并解析网络数据包的各层首部字段。通过编写程序，捕获一段时间内以本机为源地址或目的地址的IP数据包，统计IP数据包的信息，解析首部字段，帮助加深对IP协议的工作原理和工作过程的认识以及掌握winpcap抓包原理。 实验运行环境 本实验是是用winpcap进行网络抓包，基于windows系统，下载WpdPack 4.1.2安装包，在Visio stdio 2012上配置winpcap抓包环境，再编写C++代码实现网络抓包。 实验原理 TCP/IP协议族的分层结构包括应用层，传输层，互联网络层和主机-网络层，其结构如图1所示: 应用层 Telnet、TFP、SMTP DNS、TFTP、SNMP 传输层 TCP UDP 互联网络层 IP 主机-网络层 Ethernet,Token Ring,X.25,SLIP,PPP 图1 TCP/IP协议族的分层结构 其中IP协议是保证以太网正常运行的最重要的协议之一，只要用于负责IP寻址，路由选择和IP数据报的分割与组装。IP协议是直接位于数据链路层之上，负责将源主机的报文分组发送到目的主机。IP协议是一种不可靠，无连接的数据报传送服务协议，它提供的是一种“尽力而为”的服务。为了向传输层屏蔽的通信子网的差异，IP协议制订了统一的IP数据报格式。 IP数据报的长度是可变的，它分为报头和数据两个部分。基本的IP报头是20B.选项字段的长度范围是0—40B,所以IP数据报报头的长度是范围是20-60B。 IPV4 IP数据报的结构如图2所示： 图2 IP数据包格式 IP首部封装具体解释如下： （1）版本 占4位，是指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的IP协议版本号为4（即IPv4） （2）首部长度 占4位，可表示的最大十进制数值是15。这个字段所表示数的单位是32位字长（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长度就是20字节（即首部长度为0101），这时不使用任何选项。 （3）区分服务 占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。 （4）总长度 总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据报的最大长度为216-1=65535字节。 （5）标识(identification) 占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。 （6）标志(flag) 占3位，但目前只有2位有意义。 标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。 标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。 （7）片偏移 占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。 （8）生存时间 占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。 （9）协议 占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。 （10）首部检验和 占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为