TCP报文解析

TCP报文解析的实现

原始套接字

原始套接字的特点：
原始套接字（SOCK_RAW）可以用来自行组装IP数据包，然后将数据包发送到其他终端。也就是说原始套接字是基于IP数据包的编程（SOCK_PACKET是基于数据链路层的编程）。另外，必须在管理员权限下才能使用原始套接字。

原始套接口提供了普通TCP和UDP socket不能提供的3个能力：
1、进程使用raw socket 可以读写ICMP、IGMP等分组。这个能力还使得使用ICMP或IGMP构造的应用程序能够完全作为用户进程处理，而不必往内核中添加额外代码。
2、大多数内核只处理IPv4数据报中一个名为协议的8位字段的值为1（ICMP）、2（IGMP）、6（TCP）、17（UDP）四种情况。然而该字段的值还有许多其他值。进程使用raw socket 就可以读写那些内核不处理的IPv4数据报了。因此，可以使用原始套接字定义用户自己的协议格式。
3、通过使用raw socket ，进程可以使用IP_HDRINCL套接口选项自行构造IP头部。这个能力可用于构造特定类型的TCP或UDP分组等。

参考文章：https://www.cnblogs.com/cyx-b/p/12638007.html

python实现code

import socket
import struct
from struct import *
from time import ctime, sleep
from os import system

# the public network interface
HOST = socket.gethostbyname(socket.gethostname())

# create a raw socket and bind it to the public interface
s = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket.IPPROTO_IP)
s.bind((HOST, 9999))

# Include IP headers
s.setsockopt(socket.IPPROTO_IP, socket.IP_HDRINCL, 1)

# receive all packages
# s.ioctl(socket.SIO_RCVALL, socket.RCVALL_ON)

def parse_tcp_header(tcp_header):
    """
    TCP报文格式
    1. 16位源端口号 16位目的端口号
    2. 32位序列号
    3. 32位确认号
    4. 4位数据偏移 6位保留字段 6位TCP标记 16位窗口
    5. 16位校验和 16位紧急指针
    :param tcp_header:
    :return:
    """
    line1 = struct.unpack('>HH', tcp_header[:4])
    src_port = line1[0]
    dst_port = line1[1]
    line2 = struct.unpack('>L', tcp_header[4:8])
    seq_num = line2[0]
    line3 = struct.unpack('>L', tcp_header[8:12])
    ack_num = line3[0]
    line4 = struct.unpack('>BBH', tcp_header[12:16])  # 先按照8位、8位、16位解析
    data_offset = line4[0] >> 4  # 第一个8位右移四位获取高四位
    flags = line4[1] & int(b'00111111', 2)  # 第二个八位与00111111进行与运算获取低六位
    FIN = flags & 1
    SYN = (flags >> 1) & 1
    RST = (flags >> 2) & 1
    PSH = (flags >> 3) & 1
    ACK = (flags >> 4) & 1
    URG = (flags >> 5) & 1
    win_size = line4[2]
    line5 = struct.unpack('>HH', tcp_header[16:20])
    tcp_checksum = line5[0]
    urg_pointer = line5[1]

    # 返回结果
    # src_port 源端口
    # dst_port 目的端口
    # seq_num 序列号
    # ack_num 确认号
    # data_offset 数据偏移量
    # flags 标志位
    #     FIN 结束位
    #     SYN 同步位
    #     RST 重启位
    #     PSH 推送位
    #     ACK 确认位
    #     URG 紧急位
    # win_size 窗口大小
    # tcp_checksum TCP校验和
    # urg_pointer 紧急指针
    return {
        'src_port': src_port,
        'dst_port': dst_port,
        'seq_num': seq_num,
        'ack_num': ack_num,
        'data_offset': data_offset,
        'flags': {
            'FIN': FIN,
            'SYN': SYN,
            'RST': RST,
            'PSH': PSH,
            'ACK': ACK,
            'URG': URG
        },
        'win_size': win_size,
        'tcp_checksum': tcp_checksum,
        'urg_pointer': urg_pointer
    }

# receive a package
while True:
    packet = s.recvfrom(65565)
    packet = packet[0]

    ip_header = packet[0:20]
    iph = unpack('!BBHHHBBH4s4s', ip_header)
    # version = iph[0] >> 4 #Version
    # ihl = iph[0] * 0xF    #IHL
    # iph_length = ihl * 4  #Total Length
    # ttl = iph[5]
    protocol = iph[6]
    # s_addr = socket.inet_ntoa(iph[8])
    # d_addr = socket.inet_ntoa(iph[9])
    # print(ctime())
    # print('Version : ' + str(version) + ' IHL : ' + str(ihl) + ' Total Length: '+str(iph_length) + ' TTL : ' +str(ttl) + ' Protocol : ' + str(protocol) + ' Source Address : ' + str(s_addr) + ' Destination Address : ' + str(d_addr))
    #
    if protocol == 6:
        tcp_header = packet[20:40]
        print(parse_tcp_header(tcp_header))
    #     tcph = unpack('!HHLLBBHHH' , tcp_header)
    #     source_port = tcph[0]
    #     dest_port = tcph[1]
    #     sequence = tcph[2]
    #     acknowledgement = tcph[3]
    #     doff_reserved = tcph[4]
    #     tcph_length = doff_reserved >> 4
    #     print('Source Port : ' + str(source_port) + ' Dest Port : ' + str(dest_port) + ' Sequence Number : ' + str(sequence) + ' Acknowledgement : ' + str(acknowledgement) + ' TCP header length : ' + str(tcph_length))
    #
    #     data = str(packet[40:len(packet)])
    #     print('Data : ' + data)

# disabled promiscuous mode
s.ioctl(socket.SIO_RCVALL, socket.RCVALL_OFF)