搜索

[14101] 2019-05-13_你真的懂“抓包”吗？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-05-13_你真的懂“抓包”吗？ 你 真 的 懂 “ 抓 包 ” 吗 ？ Y a l e 1 0 2 4   F r e e B u f   2 0 1 9 - 0 5 - 1 3 0 x 0 1   前 言 前 言 在 平 时 和 其 他 大 佬 交 流 时 ， 总 会 出 现 这 么 些 话 ， 在 平 时 和 其 他 大 佬 交 流 时 ， 总 会 出 现 这 么 些 话 ， “ 抓 个 包 看 看 就 知 道 哪 出 问 题 了 抓 个 包 看 看 就 知 道 哪 出 问 题 了 ” ， ， “ 抓 流 量 啊 ， 抓 流 量 啊 ， p a y l o a d 都 在 里 都 在 里 面 面 ” ， ， “ 这 数 据 流 怎 么 这 么 奇 怪 这 数 据 流 怎 么 这 么 奇 怪 ” 。 这 里 出 现 的 名 词 ， 都 是 差 不 多 的 意 思 吗 ？ 。 这 里 出 现 的 名 词 ， 都 是 差 不 多 的 意 思 吗 ？ p a c k e t , f r a m e , f l o w , s e s s i o n 区 别 是 什 区 别 是 什 么 ， 你 真 的 分 的 清 楚 吗 ？ 么 ， 你 真 的 分 的 清 楚 吗 ？ 平 时 关 系 还 不 大 ， 这 几 个 名 词 随 便 用 ， 大 家 也 都 知 道 指 什 么 ， 这 段 时 间 在 分 析 协 议 类 型 的 漏 洞 ， 终 于 意 识 到 基 础 知 识 的 浅 薄 ， 才 知 道 自 己 根 本 没 分 清 这 几 个 基 础 概 念 ， 看 国 外 一 些 技 术 文 档 不 明 所 以 ， 于 是 查 了 大 量 资 料 ， 写 出 了 本 文 。 0 x 0 2   区 分 区 分 c o n t r o l   p l a n e 和 和 d a t a   p l a n e
c o n t r o l   p l a n e ,   d a t a   p l a n e 是 实 现 网 络 设 备 所 需 要 理 解 的 两 个 基 本 的 概 念 。 d a t a   p l a n e 一 般 用 于 快 速 转 发 ， 而 c o n t r o l   p l a n e 是 为 快 速 转 发 准 备 必 要 的 信 息 。 c o n t r o l   p l a n e 包 括 路 由 协 议 ， 设 备 管 理 ， 命 令 行 ， A R P ， I G M P 等 ； 而 d a t a   p l a n e 一 般 是 转 发 包 。 这 样 的 划 分 ， 目 的 是 把 系 统 的 主 要 工 作 和 次 要 工 作 分 离 开 ， 避 免 不 同 类 型 的 处 理 相 互 干 扰 。 在 一 个 网 络 设 备 里 面 ， 转 发 无 疑 是 最 主 要 的 工 作 ， 它 具 有 最 高 的 优 先 级 ， 而 路 由 协 议 ， 由 于 并 不 需 要 在 短 时 间 内 处 理 大 量 的 包 ， 所 以 可 以 把 它 放 到 次 一 级 的 优 先 级 里 面 。 d a t a   p l a n e 可 以 借 助 a s i c 或 者 N P 等 优 化 ， 可 以 达 到 很 高 的 速 度 ， 而 c o n t r o l p l a n e ， 则 可 以 借 助 于 通 用 的 库 ， 或 者 系 统 ， 以 达 到 更 好 的 保 护 。 c o n t r o l   p l a n e 的 o s 和 d a t a   p l a n e 的 o s ， 作 用 完 全 不 同 。 d a t a   p l a n e 的 o s 需 要 实 时 响 应 ， 并 且 需 要 更 快 速 ， 高 效 的 内 存 管 理 ， 队 列 管 理 ， 定 时 器 管 理 等 ； 而 c o n t r o l   p l a n e 的 o s 则 倾 向 于 更 好 的 保 护 ， 更 简 便 的 编 程 方 式 ， 以 及 快 速 移 植 等 。 当 然 ， 哪 些 任 务 放 到 c o n t r o l   p l a n e ， 哪 些 任 务 放 到 d a t a   p l a n e ， 是 需 要 在 实 践 中 去 选 择 。 举 个 例 子 ， 由 于 a r p 学 习 和 应 答 的 时 间 是 不 确 定 的 ， 而 m a c   l e a r n i n g 则 是 立 即 生 效 的 。 所 以 a r p 学 习 和 应 答 一 般 放 在 c o n t r o l   p l a n e ； 而 m a c   l e a r n i n g 则 放 在 d a t a   p l a n e 。 就 d a t a   p l a n e 来 说 ， 又 可 分 c o n t r o l   p a t h 和 d a t a   p a t h 。 c o n t r o l   p a t h 同 样 是 为 d a t a   p a t h 准 备 必 要 的 信 息 。 有 时 为 了 更 快 的 速 度 ， 避 免 c o n t r o l   p l a n e 和 d a t a   p l a n e 过 多 的 交 互 ， 把 c o n t r o l   p l a n e 的 某 些 工 作 拿 到 d a t a   p l a n e 上 来 做 ， 比 如 I C M P 的 应 答 等 。 0 x 0 3   区 分 区 分 s e s s i o n 和 和 f l o w
f l o w 是 发 送 方 和 接 收 方 之 间 的 数 据 包 中 的 d a t a   p l a n e   s t r e a m ， 其 共 享 关 键 I P 报 头 信 息 。   例 如 ， 1 0 . 1 . 1 . 1 端 口 1 2 3 9 8 处 的 客 户 端 与 用 于 S S H 的 1 9 2 . 1 6 8 . 1 . 1 端 口 2 2 处 的 服 务 器 通 信 是 s p e c i f i c   s t r e a m ， 可 以 在 关 键 字 段 不 更 改 时 捕 获 该 特 定 s t r e a m 。 s e s s i o n 是 发 送 方 和 接 收 方 之 间 的 c o n t r o l   p l a n e 通 信 。 T C P   3 次 握 手 创 建 会 话 ， 在 发 送 方 的 源 端 口 和 接 收 方 的 目 标 侦 听 端 口 之 间 建 立 连 接 。 T C P 窗 口 大 小 ， 初 始 序 列 和 确 认 值 以 及 k e e p a l i v e 是 作 为 构 建 s e s s i o n 的 一 部 分 进 行 协 商 的 。 简 单 地 说 ， f l o w 代 表 了 d a t a   p l a n e , 而 s e s s i o n 代 表 了 c o n t r o l   p l a n e 。 0 x 0 4   区 分 区 分 d a t a g r a m 和 和 s t r e a m s t r e a m 是 我 们 通 常 认 为 的 通 信 渠 道 。 比 如 远 程 登 录 ， 文 件 传 输 ， 邮 件 传 递   ， 这 个 都 是 使 用 s t r e a m 。   S t r e a n 就 像 管 道 一 样 。 它 有 两 个 端 点 。 数 据 从 一 端 放 入 ， 另 一 端 出 来 。 没 有 任 何 数 据 以 任 何 方 式 被 复 制 ， 丢 弃 或 重 组 。 两 个 流 可 以 组 合 在 一 起 形 成 全 双 工 连 接 。 d a t a g r a m （ 通 常 称 为 p a c k e t ） 本 质 上 更 具 原 子 性 。 它 是 一 小 段 数 据 ， 通 常 要 求 小 于 最 大 长 度 （ 通 常 在 2 5 6 到 2 0 0 0 字 节 范 围 内 ） 。 d a t a g r a m 是 完 全 自 包 含 的 , 有 源 和 目 的 地 ， 但 不 能 被 称 为 c o n n e c t i o n 。 数 据 报 与 之 前 或 之 后 的 任 何 其 他 数 据 都 没 有 任 何 关 系 。
很 难 理 解 吗 ？ 我 们 再 打 个 比 方 。 s t r e a m 就 像 打 电 话 -   一 方 拨 打 电 话 ， 另 一 方 接 听 ， 你 们 互 相 打 招 呼 （ T C P 中 的 S Y N   /   A C K ） ， 然 后 交 换 信 息 。 一 旦 完 成 ， 你 就 说 再 见 （ T C P 中 的 F I N   /   A C K ） 。   如 果 一 方 没 有 听 到 再 见 ， 他 们 通 常 会 打 电 话 给 另 一 方 ， 因 为 这 是 一 个 意 想 不 到 的 事 件 ;   也 就 是 说 通 常 客 户 端 将 重 新 连 接 到 服 务 器 。 这 样 可 以 保 证 数 据 不 会 以 与 我 们 发 送 的 顺 序 不 同 的 顺 序 到 达 ， 并 且 可 以 保 证 数 据 不 会 被 损 坏 。 d a t a g r a m 就 像 在 班 级 里 传 小 纸 条 。 如 果 你 和 想 要 拿 到 小 纸 条 的 人 不 坐 在 一 起 ， 这 个 小 纸 条 将 在 其 他 人 之 间 传 递 过 去 。 小 纸 条 可 能 无 法 到 达 目 的 地 ， 并 且 可 能 会 在 到 达 目 的 地 时 被 修 改 过 。 另 一 种 两 款 ， 如 果 将 两 个 小 纸 条 传 递 给 同 一 个 人 ， 两 个 小 纸 条 可 能 不 会 按 照 我 们 需 要 的 顺 序 到 达 ， 因 为 小 纸 条 们 通 过 教 室 的 路 线 可 能 不 一 样 ， 一 个 人 可 能 不 会 像 另 一 个 那 样 快 速 传 递 小 纸 条 ， 等 等 会 有 很 多 因 素 影 响 到 小 纸 条 的 传 递 。 尽 管 大 多 数 网 络 通 信 都 使 用 s t r e a m ， 但 所 有 I n t e r n e t 传 输 都 采 用 d a t a g r a m 的 形 式 ， 实 际 上 是 通 过 T C P 协 议 使 用 d a t a g r a m 来 模 拟 I n t e r n e t   s t r e a m 。 而 为 了 诊 断 因 特 网 故 障 ， 可 以 使 用 诸 如 T C P d u m p 这 类 p a c k e t   d e c o d e r 来 查 看 各 个 p a c k e t 。 0 x 0 5   区 别 区 别 P a c k e t 和 和 f r a m e 为 了 简 化 问 题 ， 我 们 将 f r a m e 和 p a c k e t 想 象 为 将 要 从 一 个 人 发 送 到 另 一 个 人 的 信 息 的 信 封 。   f r a m e 和 p a c k e t 之 间 的 关 键 区 别 在 于 它 们 如 何 封 装 信 息 ， 而 这 取 决 于 信 息 在 哪 儿 被 发 送 。 想 象 一 下 ， 一 家 公 司 有 跨 部 门 邮 件 ， 一 个 人 可 以 将 文 档 发 送 给 其 本 地 组 织 中 的 另 一 个 人 。 内 容 放 在 内 部 信 封 中 ， 发 送 者 在 “ 发 件 人 ” 字 段 中 写 下 他 们 的 姓 名 和 部 门 ， 然 后 在 “ 收 件 人 ” 字 段 中 写 下 收 件 人 的 姓 名 和 部 门 。 发 送 信 封 时 ， 邮 件 室 识 别 内 部 使 用 信 封 ， 读 取 目 的 地 名 称 和 部 门 ， 使 用 目 录 将 该 信 息 转 换 为 物 理 位 置 （ 办 公 室 ） 并 将 其 传 递 给 收 件 人 。 信 封 永 远 不 会 离 开 本 地 组 织 ， 信 封 的 所 有 传 递 行 为 都 由 本 地 处 理 。 部 门 间 信 封 不 能 发 送 到 公 司 外 部 ， 因 为 信 封 上 没 有 邮 寄 地 址 。 要 将 内 容 发 送 到 本 地 以 外 的 办 公 室 ， 需 要 将 办 公 室 间 信 封 放 在 邮 政 信 封 内 ， 并 贴 上 适 当 的 邮 政 地 址 标 签 。 F r a m e 以 类 似 的 方 式 工 作 。   它 是 具 有 源 和 目 标 地 址 的 数 据 的 容 器 ， 用 于 在 同 一 网 络 上 的 两 个 位 置 之 间 传 递 称 为 p a y l o a d 的 信 息 。 F r a m e 的 源 和 目 标 地 址 不 是 名 称 和 部 门 ， 而 是 计 算 机 ， 平 板 电 脑 ， I P 电 话 ， 物 联 网 设 备 等 的 M A C 地 址 ， 这 是 每 个 以 太 网 设 备 在 这 个 世 界 上 唯 一 的 I D 号 。 f r a m e 由 网 络 接 口 设 备 在 T C P / I P 协 议 栈 的 第 2 层 生 成 ， p a y l o a d 大 小 取 决 于 传 输 的 数 据 类 型 。 f r a m e 被 发 送 到 网 络 上 ， 以 太 网 交 换 机 根 据 其 存 储 器 中 的 M A C 表 检 查 f r a m e 的 目 的 地 址 。 M A C 表 告 诉 交 换 机 哪 个 物 理 端 口 ( R J 4 5 端 口 ) 与 设 备 相 关 联 ， 该 设 备 的 M A C 地 址 与 帧 的 目 的 地 址 相 匹 配 。 交 换 机 将 f r a m e 转 发 到 由 M A C 表 确 定 的 物 理 端 口 。 如 果 电 缆 直 接 连 接 到 目 的 设 备 ， 传 输 就 完 成 了 。 如 果 电 缆 连 接 到 另
一 台 交 换 机 ， 下 一 台 交 换 机 将 重 复 查 找 和 转 发 过 程 ， 直 到 f r a m e 到 达 预 期 目 的 地 。 这 一 切 都 发 生 在 L A N 中 的 第 2 层 交 换 机 上 。 与 部 门 间 邮 件 一 样 ， f r a m e 不 能 在 本 地 / 专 用 网 络 之 外 发 送 到 因 特 网 上 ， 因 为 它 没 有 正 确 的 地 址 。 要 将 数 据 发 送 到 不 同 网 络 或 互 联 网 服 务 器 上 的 设 备 ， 必 须 在 p a c k e t 中 构 建 一 个 f r a m e 。 很 像 部 门 间 信 封 需 要 放 在 邮 政 信 封 内 发 送 到 不 同 的 办 公 室 的 例 子 ， E t h e r n e t   f r a m e 用 附 加 信 息 封 装 ， 以 创 建 一 个 I P p a c k e t 。 虽 然 网 络 设 备 的 M A C 地 址 是 唯 一 ， 永 久 的 ， 但 I P 地 址 通 常 会 临 时 分 配 给 网 络 设 备 ， 并 随 着 设 备 连 接 到 不 同 的 网 络 而 改 变 。 例 如 ， 平 板 电 脑 每 次 连 接 到 不 同 的 无 线 网 络 时 ， 其 I P 地 址 都 会 发 生 变 化 。 p a c k e t 在 网 络 的 第 3 层 创 建 ， 允 许 不 同 局 域 网 之 间 交 换 信 息 ， 通 常 是 通 过 路 由 器 。 路 由 器 将 小 型 网 络 互 连 在 一 起 ， 允 许 使 用 I P 地 址 而 不 是 M A C 地 址 进 行 更 大 规 模 的 信 息 交 换 。 第 3 层 p a c k e t 允 许 路 由 器 使 用 标 识 网 络 的 I P 地 址 和 网 络 上 设 备 的 临 时 地 址 来 提 供 网 络 间 的 数 据 传 输 ( 互 联 网 ) 。 一 旦 进 入 网 络 ， 网 络 内 ( 局 域 网 ) 数 据 转 发 由 二 层 交 换 机 处 理 ， 它 读 取 f r a m e 的 M A C 地 址 ， 并 将 其 转 发 到 目 的 设 备 ， 在 那 里 以 太 网 控 制 器 提 取 p a y l o a d ， 完 成 不 同 网 络 上 设 备 之 间 的 信 息 传 输 过 程 。 0 x 0 6   区 分 区 分 p a c k e t   c a p t u r e 和 和 f l o w   c a p t u r e ( 抓 包 和 抓 流 量 抓 包 和 抓 流 量 ) P a c k e t   c a p t u r e 可 以 让 我 们 在 网 络 数 据 包 通 过 网 络 时 拿 到 镜 像 。 而 f l o w   d a t a 通 常 包 含 在 网 络 上 设 置 的 连 接 的 摘 要 。 它 们 都 是 非 常 有 用 的 故 障 排 除 技 术 ， 可 以 找 出 网 络 上 发 生 的 故 障 。 那 么 这 两 种 技 术 有 什 么 区 别 呢 ？ F l o w   c a p t u r e : 在 O S I 模 型 的 第 3 层 运 行 的 大 多 数 路 由 器 和 交 换 机 都 具 有 f l o w 导 出 选 项 。 有 许 多 f l o w 标 准 ， 包 括 N e t F l o w ， s F l o w 和 I P F I X 。   只 需 安 装 一 个 f l o w 连 接 器 ， 它 可 以 处 理 网 络 设 备 使 用 的 任 何 f l o w 标 准 。 基 于 f l o w 的 分 析 可 以 很 好 地 找 出 网 络 中 某 些 部 分 的 通 信 状 况 。 它 的 优 点 是 ： 1 . 易 于 在 第 3 层 设 备 上 设 置 操 作 ； 2 . 不 需 要 布 线 ； 终 端 用 户 系 统 不 需 要 软 件 客 户 端 或 代 理 。 缺 点 是 ： 1 . 某 些 交 换 机 上 没 有 f l o w 选 项 ； 2 . 想 要 解 决 问 题 时 缺 少 详 细 信 息 ； 3 . 当 应 用 程 序 依 赖 其 他 协 议 时 ， 不 适 合 在 网 络 边 缘 进 行 监 控 P a c k e t   c a p t u r e :   抓 包 能 够 捕 获 在 网 络 中 传 输 的 网 络 数 据 包 的 镜 像 。 大 多 数 交 换 机 允 许 在 不 影 响 网 络 性 能 的 情 况 下 设 置 镜 像 端 口 。 通 常 ， 深 度 数 据 包 检 测 ( D P I ) 应 用 程 序 连 接 到 镜 像 端 口 ， 并 从 数 据 包 中 提 取 某 些 信 息 ， 以 便 我 们 可 以 发 现 网 络 上 发 生 了 什 么 。 优 点 是 ：
1 . 更 好 地 分 析 应 用 程 序 和 用 户 行 为 ， 非 常 适 合 监 控 重 要 应 用 程 序 ， 服 务 器 或 至 关 重 要 的 I n t e r n e t 连 接 ； 2 . 会 得 到 更 多 的 信 息 ， 如 应 用 程 序 ， 文 件 ， 网 站 和 主 机 名 ； 3 . 终 端 用 户 系 统 上 不 需 要 软 件 客 户 端 或 代 理 。 缺 点 是 ： 1 . 需 要 在 镜 像 端 口 和 D P I 应 用 程 序 之 间 连 接 物 理 线 路 ； 2 . 需 要 确 保 镜 像 端 口 在 繁 忙 的 网 络 上 不 会 过 载 。 在 不 清 楚 区 别 之 前 ， 我 们 可 能 会 将 两 者 混 为 一 谈 ， 现 在 应 该 已 经 明 确 区 别 了 。 那 我 们 应 该 使 用 哪 种 技 术 ？ 在 一 般 情 况 下 ， 两 者 都 需 要 用 到 。 如 果 有 大 量 的 W A N 链 接 并 且 需 要 一 种 简 单 的 方 法 来 获 得 最 大 程 度 的 可 见 性 ， 抓 流 量 可 能 更 好 。 而 抓 包 可 以 为 我 们 提 供 网 络 上 某 些 节 点 的 更 多 详 细 信 息 。 两 者 的 结 合 意 味 着 我 们 可 以 更 轻 松 地 检 测 诸 如 带 宽 占 用 ， 以 及 查 看 正 在 使 用 的 应 用 程 序 等 情 况 。 0 x 0 7   结 语 结 语 需 要 区 分 的 点 都 很 多 ， 我 在 文 中 已 经 比 较 好 的 安 排 ， 一 步 步 引 出 来 ， 从 c o n t r o l   p l a n e , d a t a   p l a n e 的 区 别 开 始 讨 论 ， 因 为 这 是 区 分 0 x 0 3   f l o w 和 s e s s i o n 的 基 础 ， 在 0 x 0 3 中 提 到 了 s t r e a m 的 概 念 ， 于 是 在 0 x 0 4 中 讨 论 s t r e a m 和 d a t a g r a m 的 区 别 ， 在 0 x 0 4 最 后 提 到 了 用 于 解 码 分 析 p a c k e t 的 t c p d u m p ， 引 出 了 p a c k e t ， 于 是 自 然 在 0 x 0 5 中 讨 论 p a c k e t 和 f r a m e 。 以 上 基 础 概 念 和 去 都 明 确 之 后 ， 最 后 讨 论 了 抓 包 （ p a c k e t   c a p t u r e ） 和 抓 流 量 （ f l o w   c a p t u r e ） 的 区 别 及 各 自 优 缺 点 。 大 部 分 做 安 全 的 小 伙 伴 应 该 都 不 是 网 络 工 程 出 身 ， 所 以 本 文 或 多 或 少 还 是 有 些 参 考 价 值 的 。 希 望 各 位 师 傅 能 从 中 获 益 。 参 考 资 源 参 考 资 源 1 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 1 1 8 0 2 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 9 3 3 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 8 9 4 4 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 8 9 5 5 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 8 2 6 6 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 6 8 7 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 3 2 9 8 . h t t p s : / / w w w . i e t f . o r g / r f c / r f c 3 2 6 1 . t x t 9 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 0 1 1 1 0 . h t t p s : / / w w w . i e t f . o r g / r f c / r f c 3 9 5 4 . t x t 1 1 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 5 7 4 1 1 2 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 8 4 1 1 3 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 9 1 1 4 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 5 4 7 4 1 5 . h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 2 4 2 7
1 6 . h t t p s : / / w w w . f r e e s o f t . o r g / C I E / C o u r s e / S e c t i o n 3 / 5 . h t m 1 7 . h t t p s : / / w w w . c o m p u t e r w o r l d . c o m / 1 8 . h t t p s : / / w w w . n e t w o r k w o r l d . c o m / 1 9 . h t t p s : / / s t a c k o v e r f l o w . c o m / q u e s t i o n s / 4 6 8 8 8 5 5 2 0 . h t t p s : / / w w w . c n b l o g s . c o m / u p t o w n B o y / a r t i c l e s / 1 7 6 7 5 5 0 . h t m l * 本 文 作 者 ： 本 文 作 者 ： Y a l e 1 0 2 4 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理