关于.cap文件分析
CAP文件是比较通用的一种文件格式,基本上大多数抓包软件都支持以此格式将捕获的网络数据包存储下来。
需要说明的是,CAP文件存储下来的,一般都是网络数据帧。不同网络传输协议下的帧格式是有差异的,所以这里以以太网帧作讨论。我所
分析的CAP包是由ethereal抓取的。tcpdump和windump抓的包格式基本一致。CAP文件是全十六进制数据文件而不是文本文件,所以其结构需要分析,由于我并不打算做专门的分析软件,所以我只作对我来说有意义的
一些数据的分析。CAP里面的数据有些地方是和我们常规数据的顺序一样的,有些位置是标准的高位取反,根据该位置表示的数据类型确定。
CAP文件的前24个16进制位是头文件相关的信息我们不用关心,随后紧跟的八个位(后面所有的位都指两个16进制数构成的一个十六进制位,如AC,B8就是两个
16进制位),是抓包的时间戳标记,里面应该包括了年月日和具体到毫秒级别的时间,前4位高低位的互换再乘1000可得到当前的时间精确到秒,后4位是微妙,算法同前面。
随后的8个位是比较重要的,其中前4个是我们抓取到的数据帧长度,同时也关系到我们如何在CAP文件中得到下一组数据帧位置。这四个位
每个的前两位高位取反后表示数据帧的长度,第一组是软件抓取到的数据帧长度,后面一组是网络中实际数据帧的长度。一般来说第一组小于
等于第二组数据。这八个位结束后,就是帧的具体内容,长度就是前面的第一组数,这个长度的后面,就是CAP存的下一组帧数据,也就是说,
CAP文件里面并没有规定捕获的帧数据之间有什么间隔字符串,我们需要靠第一组数确定,下一组数据在文件中的起始位置。
下面的内容其实应该算是TCP/IP书里的标准内容,不过我还是继续写吧。
我们接着讲后面负载的内容,6位的目标MAC地址,6位的源MAC地址,然后二位是三层协议类型,一般来说,我们关心的可能只有0800这代
表IP,随后一位是IP协议的版本号,45表示的是V4版本,后一位是差分服务表示位,然后两位是IP包长度,这一长度包括了IP包头,随后两位
是鉴别代码,随后的标志第一个是数据分段标志,表示是否对数据进行分拆,00表示没有设置,40表示设置为不拆分。随后一位是拆分偏移量,
对于没有拆分的数据没有意义就是00。随后一位有名的time to live值,不用多说,随后一位是四层协议类型,TCP就是06,UDP是11,随后两
位是头校验码,知道的人都懂。
随后四位就是我们的源IP地址,接着四位是目标IP地址,这8位也是属于IP包头的。随后两位是源端口,接着两位是目的端口(不管是TCP
还是UDP)
下面要区分的说,如果是TCP的话,
随后的两个四位数据分别是会话序号和回应序号,如果回应序号为0,很多时候意味着这是一个SYN,不过SYN专门有标志。接下来一位是
TCP包头长度。这个长度由源端口开始算。再接下来一位就是应答标志位,如果是02表示是SYN,如果是12则表示是SYN,ACK,如果是10则表示
是ACK。然后的两位是WINDOW SIZE,然后两位是TCP包头的校验。
再接下来就是TCP包的负载内容了,这根据上层应用来说就更为复杂,这里不详细讨论。
接着说,如果是UDP包,端口号过了直接就是包负载长度两位长和UDP包头校验码两位长,然后就是UDP包负载的内容了。
如何将抓取的文件保存到本地?
tcpdump tcp port 5432 -w ./postgres.cap
如何查看.cap文件?
tcpdump -r data8080.cap
关于.cap文件分析的更多相关文章
- 基于TcpDump和pcap文件分析的Android平台网络抓包程序设计与实现【随便】
一.考虑使用Tcpdump,将抓到的包保存到cap文件中,然后手动分析.参考资料:1. http://www.cnblogs.com/tt-0411/archive/2012/09/23/269936 ...
- tcpdump抓包并保存成cap文件
首选介绍一下tcpdump的常用参数 tcpdump采用命令行方式,它的命令格式为: tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] [ -i 网络接 ...
- linux实践之ELF文件分析
linux实践之ELF文件分析 下面开始elf文件的分析. 我们首先编写一个简单的C代码. 编译链接生成可执行文件. 首先,查看scn15elf.o文件的详细信息. 以16进制形式查看scn15elf ...
- 蓝屏 Dump文件分析方法
WinDbg使用有点麻烦,还要符号表什么的.试了下,感觉显示很乱,分析的也不够全面... 试试其他的吧!今天电脑蓝屏了,就使用其dump文件测试,如下: 1.首先,最详细的,要属Osr Online这 ...
- KEIL MDK输出map文件分析
一.文件分析流程 1.第一部分:Section Cross References 主要是各个源文件生成的模块之间相互引用的关系. stm32f10x.o(STACK) refers (Special) ...
- ecshop init.php文件分析
1. ecshop init.php文件分析 2. <?php 3. 4. /** 5. * ECSHOP 前台公用文件 6. * ===================== ...
- [转载]mysql慢日志文件分析处理
原文地址:mysql慢日志文件分析处理作者:maxyicha mysql有一个功能就是可以log下来运行的比较慢的sql语句,默认是没有这个log的,为了开启这个功能,要修改my.cnf或者在mysq ...
- 使用 Eclipse Memory Analyzer 进行堆转储文件分析
Eclipse Memory Analyzer(MAT)是著名的跨平台集成开发环境 Eclipse Galileo 版本的 33 个组成项目中之一,它是一个功能丰富的 JAVA 堆转储文件分析工具,可 ...
- Android JNI入门第三篇——jni头文件分析
一. 首先写了java文件: public class HeaderFile { private native void doVoid(); native int doShort(); native ...
随机推荐
- thinkphp函数学习(2)——microtime, memory_get_usage, dirname, strtolower, is_file
1. microtime() 返回 微秒 秒 这种格式的内容 例子 <?php echo(microtime()); ?> 输出: 0.25139300 1138197510 // 前 ...
- 宠物收养所 (SBT)
宠物收养所 最近,阿Q开了一间宠物收养所.收养所提供两种服务:收养被主人遗弃的宠物和让新的主人领养这些宠物.每个领养者都希望领养到自己满意的宠物,阿Q根据领养者的要求通过他自己发明的一个特殊的公式,得 ...
- [CF526G]Spiders Evil Plan
题目大意: 给出一个$n(n\leq 10^5)$个结点的带边权的树,$q(q\leq 10^5)$个询问,每次询问用$y$条路径覆盖整棵树且覆盖$x$至少一次,最多能覆盖的道路长度是多少? 强制在线 ...
- kaptcha Java验证码
原文:http://www.cnblogs.com/chizizhixin/p/5311619.html 在项目中经常会使用验证码,kaptcha 就一个非常不错的开源框架,分享下自己在项目中的使用: ...
- python模块打包方法
http://www.jb51.net/article/92789.htm 一 首先将模块的目录结构整理如下: VASPy/ ├── LICENSE ├── MANIFEST ├── MANIFEST ...
- python开发微信支付学习记录(转)
前言 微信支付是由微信及财付通联合推出的移动支付创新产品.如今,随着微信支付的全面开放,相关需求也越来越多,很多开发人员进行微信支付开发及商家申请微信支付时,面临着诸多疑惑. 要想开发顺利进行,首先要 ...
- http://www.360doc.com/content/14/0313/17/16070877_360315087.shtml
http://www.360doc.com/content/14/0313/17/16070877_360315087.shtml
- android 小技巧
1. 模拟器横坚屏切换 ctrl + F11, ctrl + F12
- [Angular] ngClass conditional
Using ngClass for conditional styling, here is the usage from the docs: /** * @ngModule CommonModule ...
- HUNAN Interesting Integers(爆力枚举)
Undoubtedly you know of the Fibonacci numbers. Starting with F1 = 1 and F2 = 1, every next number is ...