代码之家 › 专栏 › 技术社区 › David Thornley

有人能猜出这些包属于什么协议吗?

protocols networking mobile

David Thornley · 技术社区 · 16 年前

我们看到这些包在telstra的nextg移动网络的下行文件传输过程中被注入到ftp-dtp通道中。我们不确定这些是网络级的数据包,还是我们的3G调制解调器(基于HC25)有问题,或者是防火墙在数据流中注入的问题。

使用一个工具,我们注意到ppp帧由于协议长度错误而失败,因此它们很可能是移动网络包。

我希望这里有人能识别这些包裹的签名,以便我能找到合适的供应商。

这些数据包肯定有一种格式:

包装盒1: 00 00 24 C4 B8 7B 1A 00 90 7F 43 0F A1 08 00 45 00 01 10 F4 4E 00 40 06 2F 13 CB 7A 9D E9 7B D0 71 52 7A ED 04 06 8C 61 5D A9 01 F7 0C EB 50 10 FF 58 B9 00 00

包装盒2: 00 00 24 C4 B8 7B 1A 00 90 7F 43 0F A1 08 00 45 00 00 FF 6B 50 00 40 06 B8 22 CB 7A 9D E9 7B D0 71 52 7A ED 04 06 8C 61 7B 82 01 F7 0C EB 50 10 FF A3 79 00 00 00

包装盒3: 00 00 24 C4 B8 7B 1A 00 90 7F 43 0F A1 08 00 45 00 02 20 5B 50 00 40 06 C7 01 CB 7A 9D E9 7B D0 71 52 7A ED 04 06 8C 61 7C 59 01 F7 0C EB 50 10 FF E2 5D 00 00

包装4: 00 00 24 C4 B8 7B 1A 00 90 7F 43 0F A1 08 00 45 00 01 38 D8 52 00 00 40 06 4A E7 CB 7A 9D E9 7B D0 71 52 7A ED 04 06 8C 62 42 F9 01 F7 0C EB 50 10 FF 20 91 00 00

包装盒5: 00 00 24 C4 B8 7B 1A 00 90 7F 43 0F A1 08 00 45 00 00 D0 4D 58 00 40 06 D6 49 CB 7A 9D E9 7B D0 71 52 7A EE 04 08 4B FB 0B 8F 03 5D 51 1A 50 10 FF E9 88 00 00

4 回复 | 直到 16 年前

Neil McKee 16 年前

这些看起来像普通的TCP数据包,但是前面有两个额外的00字节标记。不知道为什么会发生这种情况,但他们似乎是从00-90-7F-43-0F-A1(看守)到00-24-C4-B8-7B-1A(思科)。

IP头段为45 00 01 10 F4 4E 00 00 40 06 2F 13 CB 7A 9D E9 7B D0 71 52

TCP头段为7A ED 04 06 8C 61 5D A9 01 F7 0C EB 50 10 FF 58 B9 00 00

所以你可以从那里得到其余的细节。

Amal Sirisena 16 年前

我把你的包跟踪片段转换成 text2pcap 所以我可以把它们转换成PCAP格式,以便在 Wireshark (非常方便的数据包捕获和分析工具):

看起来有点像是IPv4多播流量的粗略估计。以下是我从第一个包中得到的信息(其余的都是畸形的):

No.     Time        Source                Destination           Protocol Info
      1 0.000000    7b:1a:00:90:7f:43     00:00:00_24:c4:b8     0x0fa1   Ethernet II

Frame 1 (31 bytes on wire, 31 bytes captured)
    Arrival Time: Dec  1, 2009 00:33:05.000000000
    [Time delta from previous captured frame: 0.000000000 seconds]
    [Time delta from previous displayed frame: 0.000000000 seconds]
    [Time since reference or first frame: 0.000000000 seconds]
    Frame Number: 1
    Frame Length: 31 bytes
    Capture Length: 31 bytes
    [Frame is marked: False]
    [Protocols in frame: eth:data]
Ethernet II, Src: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43), Dst: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
    Destination: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        Address: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
    Source: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        Address: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        .... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)
        .... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)
    Type: Unknown (0x0fa1)
Data (17 bytes)

0000  08 00 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a   ..E....N..@./..z
0010  9d                                                .
    Data: 080045000110F44E000040062F13CB7A9D

martin clayton egrunin 16 年前

00:24:C4是Cisco的网卡,00:90:7F是Watchguard的网卡。

来自 IEEE OUI Registry .

有多少帮助…不知道。因此可能是尝试的VPN连接。

user215054 16 年前

其他人已经解码:

识别网卡和以太网II的前6+6+2字节。
字节0x0800 EtherType表示它是IP。 http://en.wikipedia.org/wiki/EtherType
下一个以nibble“4”开头的八位字节是IPv4
等。