TCP/IP协议数据包文件PCAP分析器

一、设计原理

1．PCAP文件构成

参考http://blog.csdn.net/gulu_gulu_jp/article/details/50494909

PCAP文件由一个PCAP文件头和多个PCAP数据包组成，PCAP数据又由数据包头和数据包内容组成。数据包内容才是我们将要进行分析还原的TCP/IP协议数据。PCAP总体结构如图 11所示：

图 11 PCAP文件总体结构

以TCP协议为例，详细解析PCAP文件格式。PCAP前24个字节为文件头，包含了文件信息，其结构如图 11所示。接着16个字节为TCP协议数据包包头，记录这个包头的一些信息。再接着为协议数据包内容，长度不定，本例为TCP，其结构为：以太网帧、IP头、TCP头、数据域。如图 12所示：

图 12 PCAP文件举例

2．TCP/IP协议栈

计算机网络的各层及其协议的集合就构成了网络的体系结构，即计算机网络及其构成所完成的精确定义。OSI参考模型如图 13所示，其中每个实体通常定义两种不同的接口：一个是为同一计算机上使用它的通信服务的其他上层实体定义的服务接口，简称服务；另一个是为另一台计算机上对等实体定义的对等接口，即协议。

图 13 OSI参考模型

在实际应用中，OSI并没有被采用，TCP/IP协议族才是实际的标准，如图 14所示。链路层，TCP/IP协议族的最低层，也称为网络接口层，通常包含操作系统中的设备驱动程序和对应的网络接口卡，对应于OSI参考模型中的数据链路层和物理层。网络层，也称为互联网层，由于该层的主要协议为IP，通常也简称为IP层。传输层，通常所说的两台计算机之间的通信其实是指两台计算机上对应的应用程序之间的数据通信，传输层提供的就是应用程序间的通信，一般也称为端到端的通信。应用层向用户提供一组常用的应用程序。