udp数据包实例解析(UDP数据包分析)

应用层：应用程序间沟通的层，如简单电子邮件传输（SMTP）、文件传输协议（FTP）、网络远程访问协议（Telnet）等。 传输层：在此层中，它提供了节点间的数据传送服务，如传输控制协议（TCP）、用户数据报协议（UDP）等，TCP和UDP给数据包加入传输数据并把它传输到下一层中，这一层负责传送数据，并且确定数据已被送达并接收。互连网络层：负责提供基本的数据封包传送功能，让每一块数据包都能够到达目的主机（但不检查是否被正确接收），如网际协议（IP）。网络接口层：对实际的网络媒体的管理，定义如何使用实际网络（如Ethernet、Serial Line等）来传送数据。TCP/IP中的协议以下简单介绍TCP/IP中的协议都具备什么样的功能，都是如何工作的：1． IP网际协议IP是TCP/IP的心脏，也是网络层中最重要的协议。IP层接收由更低层（网络接口层例如以太网设备驱动程序）发来的数据包，并把该数据包发送到更高层---TCP或UDP层；相反，IP层也把从TCP或UDP层接收来的数据包传送到更低层。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。 高层的TCP和UDP服务在接收数据包时，通常假设包中的源地址是有效的。也可以这样说，IP地址形成了许多服务的认证基础，这些服务相信数据包是从一个有效的主机发送来的。IP确认包含一个选项，叫作IP source routing，可以用来指定一条源地址和目的地址之间的直接路径。对于一些TCP和UDP的服务来说，使用了该选项的IP包好象是从路径上的最后一个系统传递过来的，而不是来自于它的真实地点。这个选项是为了测试而存在的，说明了它可以被用来欺骗系统来进行平常是被禁止的连接。那么，许多依靠IP源地址做确认的服务将产生问题并且会被非法入侵。

用ACE，它提供了很完善的一套构架。 #include "ace/SOCK_Dgram_Mcast.h"#include "ace/INET_Addr.h"#include "ace/OS.h"#include "ace/ACE.h"#include "ace/Log_Msg.h"int ACE_TMAIN (int argc, char* argv[]){ACE_Time_Value ti = ACE_Time_Value (0, 20000);ACE_INET_Addr local_addr ((u_short) 9000);ACE_INET_Addr recv_addr ;ACE_SOCK_Dgram recv_dgram;//打开端口if (recv_dgram.open (local_addr) == -1) {ACE_DEBUG ((LM_ERROR, "%pn", "Recieving data gram open"));ACE_OS::exit (-1);}ACE_Time_Value t = ACE_Time_Value::zero;while (1) {//recieve data gramchar buf[2048];//接收UDP数据，ssize_t recv = recv_dgram.recv (buf, 2048, recv_addr);//显示接收了多少数据，以及数据的来源ACE_DEBUG ((LM_DEBUG, "%M [%t %N:%l] %s:%d recieved %dn", recv_addr.get_host_addr (), recv_addr.get_port_number (), recv));if (recv <= 0) {ACE_DEBUG ((LM_DEBUG, "%M [%t %N:%l] Can't recieve any data gram from the port (%s:%d)n", recv_addr.get_host_addr (),recv_addr.get_port_number ()));ACE_OS::sleep (ti);continue;}}return 0; }

UDP协议的全称是用户数据报，在网络中它与TCP协议一样用于处理数据包。在OSI模型中，在第四层——传输层，处于IP协议的上一层。UDP有不提供数据报分组、组装和不能对数据包的排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。 为什么要使用UDP在选择使用协议的时候，选择UDP必须要谨慎。在网络质量令人不十分满意的环境下，UDP协议数据包丢失会比较严重。但是由于UDP的特性：它不属于连接型协议，因而具有资源消耗小，处理速度快的优点，所以通常音频、视频和普通数据在传送时使用UDP较多，因为它们即使偶尔丢失一两个数据包，也不会对接收结果产生太大影响。比如我们聊天用的ICQ和OICQ就是使用的UDP协议。在Java中操纵UDP使用位于JDK中Java.net包下的DatagramSocket和DatagramPacket类，可以非常方便地控制用户数据报文。在描述它们之前，必须了解位于同一个位置的InetAddress类。InetAddress实现了Java.io. Serializable接口，不允许继承。它用于描述和包装一个Internet IP地址，通过三个方法返回InetAddress实例：getLocalhost()：返回封装本地地址的实例。getAllByName(String host)：返回封装Host地址的InetAddress实例数组。getByName(String host)：返回一个封装Host地址的实例。其中，Host可以是域名或者是一个合法的IP地址。DatagramSocket类用于创建接收和发送UDP的Socket实例。和Socket类依赖SocketImpl类一样，DatagramSocket类的实现也依靠专门为它设计的DatagramScoketImplFactory类。DatagramSocket类有3个构建器：DatagramSocket()：创建实例。这是个比较特殊的用法，通常用于客户端编程，它并没有特定监听的端口，仅仅使用一个临时的。DatagramSocket(int port)：创建实例，并固定监听Port端口的报文。DatagramSocket(int port, InetAddress localAddr)：这是个非常有用的构建器，当一台机器拥有多于一个IP地址的时候，由它创建的实例仅仅接收来自LocalAddr的报文。值得注意的是，在创建DatagramSocket类实例时，如果端口已经被使用，会产生一个SocketException的异常抛出，并导致程序非法终止，这个异常应该注意捕获。DatagramSocket类最主要的方法有4个：Receive(DatagramPacket d)：接收数据报文到d中。receive方法产生一个“阻塞”。Send(DatagramPacket d)：发送报文d到目的地。SetSoTimeout(int timeout)：设置超时时间，单位为毫秒。Close()：关闭DatagramSocket。在应用程序退出的时候，通常会主动释放资源，关闭Socket，但是由于异常地退出可能造成资源无法回收。所以，应该在程序完成时，主动使用此方法关闭Socket，或在捕获到异常抛出后关闭Socket。“阻塞”是一个专业名词，它会产生一个内部循环，使程序暂停在这个地方，直到一个条件触发。DatagramPacket类用于处理报文，它将Byte数组、目标地址、目标端口等数据包装成报文或者将报文拆卸成Byte数组。应用程序在产生数据包是应该注意，TCP/IP规定数据报文大小最多包含65507个，通常主机接收548个字节，但大多数平台能够支持8192字节大小的报文。DatagramPacket类的构建器共有4个：DatagramPacket(byte[] buf, int length, InetAddress addr, int port)：从Buf数组中，取出Length长的数据创建数据包对象，目标是Addr地址，Port端口。DatagramPacket(byte[] buf, int offset, int length, InetAddress address, int port)：从Buf数组中，取出Offset开始的、Length长的数据创建数据包对象，目标是Addr地址，Port端口。DatagramPacket(byte[] buf, int offset, int length)：将数据包中从Offset开始、Length长的数据装进Buf数组。DatagramPacket(byte[] buf, int length)：将数据包中Length长的数据装进Buf数组。DatagramPacket类最重要的方法就是getData()了，它从实例中取得报文的Byte数组编码。★简单的实例说明{接收数据的服务器}byte[] buf = new byte[1000];DatagramSocket ds = new DatagramSocket(12345);//开始监视12345端口DatagramPacket ip = new DatagramPacket(buf, buf.length);//创建接收数据报的实例while (true){ds.receive(ip);//阻塞，直到收到数据报后将数据装入IP中System.out.println(new String(buf));}{发送数据的客户端}InetAddress target = InetAddress.getByName("www.xxx.com");//得到目标机器的地址实例DatagramSocket ds = new DatagramSocket(9999);//从9999端口发送数据报String hello = "Hello, I am come in!";//要发送的数据byte[] buf = hello.getBytes();//将数据转换成Byte类型op = new DatagramPacket(buf, buf.length, target, 12345);//将BUF缓冲区中的数据打包ds.send(op);//发送数据ds.close(); //关闭连接
UDP数据包和TCP数据包一样，是一种网络协议的数据包！ UDP数据包具有较强的网络穿透能力，可以用于网络环境相对复杂的场合进行网络通信。其代表软件就是腾讯QQUDP数据包的缺点在与他不会像TCP包那样，发送出去后会等待接受方的验证是否收到，数据包是否合法。这样就造成UDP数据包相对TCP数据包更容易出现数据包丢失的情况。如果对一台主机发送大量的UDP数据包，就会造成DoS攻击。现在从各个厂商的硬件防火墙来看，能够实现这种攻击的只有UDP数据包。TCP和SYN数据包大多会被拦截，无法形成攻击。参考资料：http://zhidao.baidu.com/question/2080889.html
UDP 什么是UDP协议UDP协议的全称是用户数据报，在网络中它与TCP协议一样用于处理数据包。在OSI模型中，在第四层——传输层，处于IP协议的上一层。UDP有不提供数据报分组、组装和不能对数据包的排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。为什么要使用UDP 在选择使用协议的时候，选择UDP必须要谨慎。在网络质量令人不十分满意的环境下，UDP协议数据包丢失会比较严重。但是由于UDP的特性：它不属于连接型协议，因而具有资源消耗小，处理速度快的优点，所以通常音频、视频和普通数据在传送时使用UDP较多，因为它们即使偶尔丢失一两个数据包，也不会对接收结果产生太大影响。比如我们聊天用的ICQ和OICQ就是使用的UDP协议。

UDP数据包和TCP数据包一样，是一种网络协议的数据包！ UDP数据包具有较强的网络穿透能力，可以用于网络环境相对复杂的场合进行网络通信。其代表软件就是腾讯QQUDP数据包的缺点在与他不会像TCP包那样，发送出去后会等待接受方的验证是否收到，数据包是否合法。这样就造成UDP数据包相对TCP数据包更容易出现数据包丢失的情况。如果对一台主机发送大量的UDP数据包，就会造成DoS攻击。现在从各个厂商的硬件防火墙来看，能够实现这种攻击的只有UDP数据包。TCP和SYN数据包大多会被拦截，无法形成攻击。 所以安个防火墙就行了

开始界面 wireshark是捕获机器上的某一块网卡的网络包，当你的机器上有多块网卡的时候，你需要选择一个网卡。点击Caputre->Interfaces.. 出现下面对话框，选择正确的网卡。然后点击"Start"按钮, 开始抓包Wireshark 窗口介绍WireShark 主要分为这几个界面1. Display Filter(显示过滤器)，用于过滤2. Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。 颜色不同，代表3. Packet Details Pane(封包详细信息), 显示封包中的字段4. Dissector Pane(16进制数据)5. Miscellanous(地址栏，杂项)Wireshark 显示过滤使用过滤是非常重要的， 初学者使用wireshark时，将会得到大量的冗余信息，在几千甚至几万条记录中，以至于很难找到自己需要的部分。搞得晕头转向。过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。过滤器有两种，一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。 在Capture -> Capture Filters 中设置保存过滤在Filter栏上，填好Filter的表达式后，点击Save按钮， 取个名字。比如"Filter 102",Filter栏上就多了个"Filter 102" 的按钮。过滤表达式的规则表达式规则1. 协议过滤比如TCP，只显示TCP协议。2. IP 过滤比如 ip.src ==192.168.1.102 显示源地址为192.168.1.102，ip.dst==192.168.1.102, 目标地址为192.168.1.1023. 端口过滤tcp.port ==80,端口为80的tcp.srcport == 80,只显示TCP协议的愿端口为80的。4. Http模式过滤http.request.method=="GET", 只显示HTTP GET方法的。5. 逻辑运算符为 AND/ OR常用的过滤表达式 过滤表达式 用途 http 只查看HTTP协议的记录 ip.src ==192.168.1.102 or ip.dst==192.168.1.102 源地址或者目标地址是192.168.1.102 封包列表(Packet List Pane)封包列表的面板中显示，编号，时间戳，源地址，目标地址，协议，长度，以及封包信息。 你可以看到不同的协议用了不同的颜色显示。你也可以修改这些显示颜色的规则，View ->Coloring Rules.封包详细信息 (Packet Details Pane)这个面板是我们最重要的，用来查看协议中的每一个字段。各行信息分别为Frame: 物理层的数据帧概况Ethernet II: 数据链路层以太网帧头部信息Internet Protocol Version 4: 互联网层IP包头部信息Transmission Control Protocol:传输层T的数据段头部信息，此处是TCPHypertext Transfer Protocol:应用层的信息，此处是HTTP协议wireshark与对应的OSI七层模型TCP包的具体内容从下图可以看到wireshark捕获到的TCP包中的每个字段。实例分析TCP三次握手过程看到这， 基本上对wireshak有了初步了解， 现在我们看一个TCP三次握手的实例三次握手过程为这图我都看过很多遍了， 这次我们用wireshark实际分析下三次握手的过程。打开wireshark, 打开浏览器输入http://www.cnblogs.com/tankxiao在wireshark中输入http过滤， 然后选中GET /tankxiao HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",这样做的目的是为了得到与浏览器打开网站相关的数据包，将得到如下图图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。第一次握手数据包客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图第二次握手的数据包服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图第三次握手的数据包客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图: 就这样通过了TCP三次握手，建立了连接