如何编写协议解码函数.docxVIP

Packet Decoders 这是介绍几个简单的协议解码函数，是参考NetPacket模块中的相关函数修改的。如Windows下通常使用winpcap库抓包，使用模块是Net::Pcap和Net::PcapUtils，其中Net::Pcap是Perl的winpcap库接口，Net::PcapUtils里映射了一些Net::Pcap中常用的函数，提供了更方便些的接口。写协议分析程序一般步骤是：1、打开设备；2、循环抓包，对每个包进行逐层解码，在每层解码后进行相关字段的过滤；3、最后将满足过滤条件的包输出；4、加上对中断信号的处理，各种统计Counter等其他特性；举例来说，打开Eth0设备，循环抓包，最初获得eth frame，用eth_decode函数处理，获得帧的src_mac、dest_mac、type和data字段，其中data字段里是上层协议数据。然后根据type字段指示的上层协议类型，对data字段的值应用相应的解码函数，如type是“0x0800”，则表明这个以太帧里面是IP包－对应就是以太帧的data字段，用ip_decode函数处理这个字段，继而获得这个IP包中的各个字段，同理它的data字段就是IP层的上层协议包的内容，又IP包中的proto字段指示四层协议的类型，如IP的proto字段是6，则表明四层是TCP协议，那么就对IP包data字段应用tcp_decode函数进行解析，依此类推。综上，每层协议头中必定定义了某个字段（如eth.type,ip.proto,ppp.code, etc.）指示如何解析该层携带的上层数据包（data）。具体解码做法就是参考协议的RFC文档，使用unpack逐层解码、计算生成每层相关字段。当编写某个协议的解码函数时，可以参考下面几个decode函数，其中关键是unpack的使用，因为是解析网络中的数据包，当然使用网络字节顺序来unpack，常用下面几个字符：N - 32bits 网络字节顺序n - 16bits 网络字节顺序C - 8bits 网络字节顺序a - 任意二进制对于非整字节的字段（如4bits和13bits等），按C或n取得整字节后移位获得，如IP Header的结构是：? 0 ? ? ? ? ? ? 1 ? ? ? ? ? ? 2 ? ? ? ? ? ? 3 ? ? 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 ? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? |Version| IHL |Type of Service| ? ? ? Total Length ? ? ? | -CCn? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? | ? ? ? Identification ? ? |Flags| ? ? Fragment Offset ? | -nn? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? | Time to Live | ? Protocol ? | ? ? ? Header Checksum ? ? | -CCn? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? | ? ? ? ? ? ? ? Source Address ? ? ? ? ? ? ? ? | -N? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? | ? ? ? ? ? ? Destination Address ? ? ? ? ? ? ? ? | -N? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? | ? ? ? ? ? ? Options ? ? ? ? ? ? | ? Padding ? | -a*? +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+? ? ? ? ? ? Example Internet Datagram Header参考rfc791.txt，对应的解码函数可以写成：sub ip_decode {? my $packet = shift;? my $ippkt_ref = {