协议解析器程序winpcap.pdfVIP

实验四编写协议解析器程序

一、实验要求及目的

使用libpcap/winpcap进行网络抓包，并解析网络数据包的各层首部字段。

通过编写程序，捕获一段时间内以本机为源地址或目的地址的IP数据包，统计

IP数据包的信息，解析首部字段，帮助加深对IP协议的工作原理和工作过程的

认识以及掌握winpcap抓包原理。

二、实验运行环境

本实验是是用winpcap进行网络抓包，基于windows系统，下载WpdPack

4.1.2安装包，在Visiostdio2012上配置winpcap抓包环境，再编写C++代码实

现网络抓包。

三、实验原理

TCP/IP协议族的分层结构包括应用层，传输层，互联网络层和主机-网络层，

其结构如图1所示:

应用层Telnet、TFP、SMTPDNS、TFTP、SNMP

传输层TCPUDP

互联网络层IP

主机-网络层Ethernet,TokenRing,X.25,SLIP,PPP

图1TCP/IP协议族的分层结构

其中IP协议是保证以太网正常运行的最重要的协议之一，只要用于负责IP

寻址，路由选择和IP数据报的分割与组装。IP协议是直接位于数据链路层之上，

负责将源主机的报文分组发送到目的主机。IP协议是一种不可靠，无连接的数

据报传送服务协议，它提供的是一种“尽力而为”的服务。为了向传输层屏蔽的通

信子网的差异，IP协议制订了统一的IP数据报格式。

IP数据报的长度是可变的，它分为报头和数据两个部分。基本的IP报头是

20B.选项字段的长度范围是0—40B,所以IP数据报报头的长度是范围是20-60B。

IPV4IP数据报的结构如图2所示：

图2IP数据包格式

IP首部封装具体解释如下：

（1）版本占4位，是指IP协议的版本。通信双方使用的IP协议版本必

须一致。目前广泛使用的IP协议版本号为4（即IPv4）

（2）首部长度占4位，可表示的最大十进制数值是15。这个字段所表示

数的单位是32位字长（1个32位字长是4字节），因此，当IP的首部长度为

1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不

是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在

4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60字节

的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长

度就是20字节（即首部长度为0101），这时不使用任何选项。

（3）区分服务占8位，用来获得更好的服务。这个字段在旧标准中叫做

服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服

务DS(DifferentiatedServices)。只有在使用区分服务时，这个字段才起作用。

（4）总长度总长度指首部和数据之和的长度，单位为字节。总长度字段

为16位，因此数据报的最大长度为216-1=65535字节。

（5）标识(identification)占16位。IP软件在存储器中维持一个计数器，

每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不

是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于

长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据

报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装

成为原来的数据报。

（6）标志(flag)占3位，但目前只有2位有意义。

标志字段中的最低位记为MF(MoreFragment)。MF=1即表示后面“还有分片”