用Wireshark抓包分析帧格式.docVIP

用Wireshark抓包分析帧格式 lSSN1009—3044 ComputerKnowledgeandTechnology电脑知识与技术 Vo1.7,No.28,October2011. E—mail:inf0@.C11 .en Tel:+86—55l一56909635690964 用Wireshark抓包分析帧格式 曰洁 (同济大学.上海2018O0) 摘要:该文从Ethernet和wifi的帧格式着手进行了分析,并讨论了帧结构的各个字段的含义且对于该如何分析进行了举例,加深了 读者对帧格式的理解,增强了wireshark的应用. 关键词:wireshark:ethernet:wifi 中图分类号:TP393文献标识码:A文章编号:1009—3044(2011)28—6831—02 UseWiresharktoAnalyzeaFrame BAIJie (ShanghaiTongjiUniversity,Shanghai201800,China) Abstract:ThisarticletalksabouttheframeformatofEthernetandwifi,anditalsodiscussthemeaningofeachdomain,fromthisarticle, wecanlearnhowtousewiresharktoanalyzeaflame,andourcomprehensionofitisalsobeendeepen. Keyword:wireshark;ethernet;wifi 1预备知识 要深入理解网络协议,需要仔细观察协议实体之间交换的报文序列.观察在正在运行协议实体间交换报文的基本工具被称为 分组嗅探器(分组捕获库,分析器). 分组捕获库接收计算机发送和接收的每一个链路层帧的拷贝.高层协议交换的报文都被封装在链路层帧中,并沿着物理介质 传输. 分析器用来显示协议报文所有字段的内容.为此,分析器必须能够理解协议所交换的所有报文的结构. WireShark是一种可以运行在Windows,UNIX等操作系统上的分组分析器,由五个组成部分:命令菜单,捕获分组列表,分组头 部明细,分组内容窗口,显示筛选规则.其所捕获的包符合了TCP/IP的总体网络层次结构. 2Ethernet帧结构简介 EthernetII帧格式: {前序目的地址l源地址类型}数据jCS: l7byte1byte2/6byte{2/6byte2byte461500byte 4byze— EthernetII类型以太网帧的最小长度为64字节,最大长度为1518字节(6+6+2+1500+4).其中前12字节分别标识出发送数据 帧的源节点MAC地址和接收数据帧的目标节点MAC地址. 接下来的2个字节标识出以太网帧所携带的上层数据类型,如Ox0800代表IP协议数据,0x809B代表AppleTalk协议数据, 0x8138代表Novell类型协议数据等. 在不定长的数据字段后是4个字节的帧校验序列,采用32位CRC循环冗余校验对从目标MAC地址字段到数据字段的数据 收稿El期:2011—07—25 作者简介:白洁(1990-),女,河北石家庄人,研究方向为计算机网络. 本栏目责任编辑:冯蕾网络迥讯及安全6831 ComputerKnowledgeandTechnology电脑知识与技术第7卷第28期(2011年1O月) 进行校验. 在包分析的时候并没有先导域和校验码,是由于在物理层向数据链路层递交数据时会将FCS和先导域抛弃导致的. 3W帧格式简介 802.11帧格式 PreambleIPLCPIMACIUserDataICRC 其中preamble是一个前导标识,用于接收设备识别802.11,而PLCP域中包含一些物理层的协议参数,显然Preamble及PLCP 是物理层的一些细节. 其中,MAC帧包含信息根据帧的类型有所不同,主要封装的是上层的数据单元,长度为0—2312个字节,可以推出,802.11帧最 大长度为2346个字节. 针对帧的不同功能,可将802.11中的MAC帧细分为以下3类: 1)控制帧:用于竞争期间的握手通信和正向确认,结束非竞争期等; 2)管理帧:主要用于STA与AP之间协商,关系的控制如关联,认证,同步等; 3)数据帧:用于在竞争期和非竞争期传输数据. Mac帧中的FrameControl域的Type和Subtype共同指出帧的类型,当Type的B3B2位为00时,该帧为管理帧;为01时,该帧 为控制帧;为1O时,该帧为数据帧.而Subtype进一步判断帧类型,如管理帧里头细分为关联和认证帧. 4帧格式分析举例 A.Ethernet B.EthernetII,Src:Sony— ef:cT:2d(00:la: