常见报文分析

TCP报文

TCP头部最长是60字节

①16位源端口号：主机该报文段是来自哪里

②16位目的端口号：要传给哪个上层协议或应用程序

③32位序号：一次TCP通信过程中某一个传输方向上的字节流的每个字节的编号

④32位确认号：用作对另一方发送的tcp报文段的响应。其值是收到的tcp报文段的序号值加1

⑤4位数据偏移：是指数据段中的“数据”部分起始处距离tcp数据段起始处的字节偏移量，其实是头部字段长度

⑥6位标志位：

⑴URG：紧急指针是否有效

⑵ACK：表示确认号是否有效

⑶PSH：缓冲区尚未填满

⑷RST：表示要求对方重新建立连接

⑸SYN：建立连接消息标志位

⑹FIN：表示告知对方本端要关闭连接

⑦16位窗口大小：是TCP流量控制的一个手段。这里说的窗口是接收通告窗口

⑧16位校验和：由发送端填充，接收端检验TCP报文段在传输过程中是否损坏

⑨16位紧急指针：一个正的偏移量。这个字段是紧急指针相对当前序号的偏移。

IPV4报文

IP报文头部长度固定20字节，可变长40字节，最长也是60字节

①版本：表示IP报文的版本信息

②包头部长度：表示IP包的头部的长度

③TOS位：后改名为DSCP,表示报文在QOS中的服务等级，用以区分报文的转发优先级.0-7优先级，一共8个优先级

⑴0优先级：默认优先级，尽力服务数据

⑵1优先级：中优先级数据，给业务数据使用

⑶2优先级：高优先级数据，给业务数据使用

⑷3优先级：呼叫信号

⑸4优先级：视频会议

⑹5优先级：语音

⑺6、7优先级：预留，一般给网络控制使用，比如路由

④总长度：用来表示整个ip报文的长度，一个ip报文的最大长度为65536个字节

⑤标识、标志、分段偏移：用于ip报文的分片和重组

⑥存活时间：TTL值，可用于路由防环

⑦协议类型：用来表示ip报文的载荷数据的类型。

⑴TCP协议号为6

⑵UDP协议号为17

⑶ICMP协议号为1

⑧头部校验和：用来对ip报文的头部进行差错校验

⑨源ip地址：表示产生并发送该ip报文的设备接口的ip地址

⑩目的ip地址：表示该ip报文的目的接口的ip地址

IPV6报文

①版本号：同IPV4，指示IP版本

②流量等级：类似IPV4的TOS字段，指示IPV6数据流通信类别或优先级

③流标签：标记需要特殊处理的数据流，用于某些对连接的服务质量有特殊要求的通信

④数据长度：包含有效载荷数据的IPV6报文总长度

⑤下一报头：该字段定义了紧跟在IPV6报头后面的第一个扩展报头的类型，或者上层协议数据单元中的协议类型

⑥跳限制：类似于IPV4的TTL字段，它定义了IP数据包所能经过路由器的最大跳数‘

⑦源地址：128bit的IPV6地址

⑧目的地址：128bit的IPV6地址

UDP报文

UDP报文最小为8字节

①源端口号：表示发送数据段的应用程序所使用的UDP端口

②目的端口号：接收UDP报文的软件使用的端口

③长度：表示UDP数据包长度，最小为8字节

④校验和：校验数据在传输过程中是否损坏

ARP报文

①硬件类型：表示网络类型，以太网取值为1

②协议类型：表示协议地址类型

③hln：表示硬件地址的长度

④pln：表示协议地址长度

⑤op：表示ARP报文的种类，取值为1表示ARP请求报文，取值为2表示ARP应答报文