HCIA 1

以太帧包结构

以太网中的MAC帧的格式与各字段的作用为：

1、前导码（7字节）：使接收器建立比特同步。

2、起始定界符SFD（1字节）：指示一帧的开始。

3、目的地址DA（6字节）：指出要接收该帧的工作站。

4、源地址SA（6字节）：指示发送该帧的工作站地址。

5、数据字段长度长度（2字节）：指示其后的逻辑链路控制（LLC）数据字节的长度。

6、逻辑链路控制帧LLC：携带的用户数据。

7、填充字段PAD：以保证帧有足够长度来适应碰撞检测的需要。

8、帧校验序列FCS（4字节）：采用循环冗余校验码（CRC）用于检验帧在传输过程中有无差错。

IP包结构

IP包结构各字段详解说明：

 1.版本
指IP协议的版本，为0100或0110，即IPv4和IPv6两种版本，通信双方使用的IP协议版本必须一致。

2.首部长度
占 4 位，可表示的最大十进制数值是15。请注意,这个字段所表示数的单位是32位字 (即0001表示1个32位字长就是4 字节)，因此，当 IP 的首部长度为 1111 时 (即十进制的 15)，首部长度就达到 60字节。当 IP 分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现 IP协议时较为方便。首部长度限制为 60字节的缺点是有时可能不够用.这样做的目的是希望用户尽量减少开销。最常用的首部长度就是 20 字节 (即首部长度为 0101)或者0字节（0000），这时不使用任何选项。极少情况才会

3.区分服务（服务类型）
占 8 位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务 DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。

4.总长度
首部长度+数据长度=总长度，但总长度不能超过下面的数据链路层的MTU值，否则要分片。

5.标识
占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。

6.标志
占3位，但目前只有2位有意义。
●　标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。

●　标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。

7.片偏移
占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。

8.生存时间（TTL）
占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把 TTL值减1。当TTL值为0时，就丢弃这个数据报。TTL通常是32或者64，scapy中默认是64。

9.协议
占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。

10.首部校验和
占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。检验可防止传递错误信息，不检验数据部分可减少计算的工作量。

11.源地址
源机IP地址，32位。

12.目的地址
目的主机IP地址，32位。

13.可变部分
IP首部的可变部分就是一个可选字段。选项字段用来支持排错、测量以及安全等措施，内容很丰富。此字段的长度可变，从1个字节到40个字节不等，取决于所选择的项目。某些选项项目只需要1个字节，它只包括1个字节的选项代码。但还有些选项需要多个字节，这些选项一个个拼接起来，中间不需要有分隔符，最后用全0的填充字段补齐成为4字节的整数倍。

增加首部的可变部分是为了增加IP数据报的功能，但这同时也使得IP数据报的首部长度成为可变的。这就增加了每一个路由器处理数据报的开销。实际上这些选项很少被使用。新的IP版本IPv6就将IP数据报的首部长度做成固定的。

TCP包结构 

TCP包结构首部主要字段含义：

各个字段的意义如下：
1.源端和目的端的端口号，

用于寻找发端和收端应用进程。这两个值加上I P首部中的源端I P地址和目的端I P地址唯一确定一个T C P连接序号用来标识从T C P发端向T C P收端发送的数据字节流，它表示在这个报文段中的的第一个数据字节。如果将字节流看作在两个应用程序间的单向流动，则 T C P用序号对每个字节进行计数。 
2.序号（Sequence Number）:

用来标识从TCP发端向TCP收端发送的数据字节流，它表示在这个报文段中的的第一个数据字节在数据流中的序号；主要用来解决网络报乱序的问题；
确认序号（Acknowledgment Number）: 32位确认序列号包含发送确认的一端所期望收到的下一个序号，因此，确认序号应当是上次已成功收到数据字节序号加1。主要用来解决丢包的问题
3.首部长度

 需要这个值是因为任选字段的长度是可变的。这个字段占4 bit，因此T C P最多有6 0字节的首部。然而，没有任选字段，正常的长度是 2 0字节

在TCP首部中有6个标志比特。它们中的多个可同时被设置为 1

URG 紧急指针，用来保证TCP连接不被中断，并且督促中间层设备要尽快处理这些数据

ACK 确认序号有效

PSH 接收方应该尽快将这个报文段交给应用层。这个标志位表示Push操作。所谓Push操作就是指在数据包到达接收端以后，立即传送给应用程序，而不是在缓冲区中排队

RST 表示连接复位请求。用来复位那些产生错误的连接，也被用来拒绝错误和非法的数据包

SYN 同步序号用来发起一个连接。

FIN 发端完成发送任务。表示发送端已经达到数据末尾，没有数据可以传送了

窗口大小：T C P的流量控制由连接的每一端通过声明的窗口大小来提供。窗口大小为字节数，起始于确认序号字段指明的值，这个值是接收端正期望接收的字节。窗口大小是一个 16 bit字段，因而窗口大小最大为 6 5 5 3 5字节。

校验和：检验和覆盖了整个的T C P报文段：T C P首部和T C P数据。这是一个强制性的字段，一定是由发端计算和存储，并由收端进行验证。

紧急指针：只有当U R G标志置1时紧急指针才有效。紧急指针是一个正的偏移量，和序号字段中的值相加表示紧急数据最后一个字节的序号。 T C P的紧急方式是发送端向另一端发送紧急数据的一种方式。
备注：TCP头的信息长度为20字节

三次握手

 三次握手协议指的是在发送数据的准备阶段，服务器端和客户端之间需要进行三次交互。

第一次握手：客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认；

第二次握手：服务器收到syn包，必须确认客户的syn（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；

第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1)，此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。连接建立后，客户端和服务器就可以开始进行数据传输了。

UDP包结构

 

 UDP包结构首部主要字段含义：

1.源端口和目的端口

各占2字节，源端口和目的端口字段包含的是UDP端口号，它使得多个应用程序可以多路复用同一个传送层协议。UDP仅通过不同的端口号来区分不同的应用程序。

2.长度

占2字节，表示该UDP数据包的总长度(以字节为单位)，包括8字节的UDP头和其后的数据部分。最小值是8(即报文头的长度，表示只有报文头而无数据区)，最大值为65535字节。

3.检验和

占2字节，UDP检验和(Checksum)字段的内容超出了UDP数据报文本身的范围，与TCP一样，它的值是通过计算UDP数据报及一个伪首部的检验和而得到，只是伪首部中的协议代码是17。