江苏龙网

  1. 首页 > 人文 > >

开往未来的列车|悄悄盯着你···，可怕！公司部署了一个东西

我是一个网络监控软件 ， 我被开发出来的使命就是监控网络中进进出出的所有通信流量 。 这个网络中所有人的上网内容我都看的清清楚楚 ， 是不是很可怕？
你们应该也知道 ， 网络通信是分层的 ， 最常见的就是那个TCP/IP协议体系了 。
拿到数据包后 ， 我就得按照这个协议规范 ， 一层层的脱去协议的外壳 ， 拿到它们的负载数据 。
我想要掌控网络中的通信 ， 第一个就要拿TCP开刀 ， 得想办法把TCP传输的一个个数据包给重组起来 ， 形成一个完整的会话 ， 这样我才好知道应用层传了什么东西 ， 这个步骤叫做会话重组 。
不过这个TCP协议有点复杂 ， 抛开我们抓到的包本来就存在乱序的情况不说 ， 它本身还有三次握手、四次挥手、超时重传、延迟回复等很多机制 ， 有时候还会遇到时间跨度很久的长连接 ， 这无疑都给我想要重组TCP会话造成了很大的难度 。
而我重组TCP会话的唯一线索就是数据包包头中的序列号SEQ和确认号ACK 。
不过我还是死磕RFC规范 ， 把这些问题都攻克了 ， 能够成功重组出一个个的TCP会话数据 ， 成功率还蛮高的 。
应用协议识别TCP会话重组出来了 ， 我就可以拿到里面传输的数据了 。 接下来要做的一件事就是识别应用层到底是什么应用在传输的呢？
用我们的行话说 ， 那就是做应用协议识别 ， 这个时候我就得看一下端口了 。
我根据三次握手数据包的方向 ， 就可以确定出谁是客户端 ， 谁是服务端 。
再看一下服务端的端口号(这个在TCP包头里面就可以看到) ， 就能知道这是一个什么服务了 。
像常见的有下面这些：
22:SSH远程登陆
25:邮件服务
53:域名解析服务
80:HTTPWeb服务
3306:MySQL数据库服务
3389:远程桌面连接服务
······
最常见的就是80端口的Web服务了 ， 人类每天上网都在用到 。 有时候Web服务不走80端口 ， 换成了别的 ， 不过这难不倒我 ， 我可以通过分析TCP的负载数据特征 ， 看看有没有HTTP协议的特征出现 ， 因为HTTP协议的特征实在是太明显啦！
到了后来 ， 根据端口的经验出错的概率越来越大了 ， 我就统一根据内容来进行识别判断 ， 不再相信端口 。 每个应用都有它们各自的协议特征 ， 这个识别我可是下了点功夫 ， 轻易不会透露 。
文件还原现在我知道应用层是什么协议了 ， 我就可以把应用层协议传输的数据给整明白了 。
还是拿最常见的Web服务来说吧 ， HTTP协议是一个基于请求-响应的协议 ， 比如下面的这一次通信：
再看响应包 ， 状态码是200OK ， 看来没啥问题 。 再看看Content-Type ， image/jpeg ， 是个JPG图片没跑了 。
现在我就可以定位到响应包的负载段 ， 就是在HTTP头 ， 两个回车换行(0D0A)后面就是数据了 。
找到数据位置 ， 再根据Content-Length的大小 ， 把数据抠出来写成一个PNG格式的文件就大功告成了！


推荐阅读


上一篇：爱集微|特斯拉对外发售50亿美元股票，不到一周

下一篇：手机教授|并公布iPhone12发布时间，就在今晚！苹果官网将直接上架多款新品