Question

我们看到这些数据包在Telstra的NEXTG移动网络上的下行链路文件传输期间被注入FTP-DTP信道。我们不确定这些是否是网络级数据包，我们的3G调制解调器（基于HC25）的问题或类似我们的防火墙注入流中的问题。

使用工具我们注意到PPP成帧因协议长度错误而失败，因此它们很可能是移动网络数据包。

我希望有人可以识别数据包的签名，以便我可以与合适的供应商一起追逐。

这些数据包肯定有一种格式： -

Packet1： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 61 5d a9 01 f7 0c eb 50 10 ff ff 58 b9 00 00

Packet2： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 00 ff 6b 50 00 00 40 06 b8 22 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 61 7b 82 01 f7 0c eb 50 10 ff ff a3 79 00 00

Packet3： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 02 20 5b 50 00 00 40 06 c7 01 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 61 7c 59 01 f7 0c eb 50 10 ff ff e2 5d 00 00

Packet4： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 01 38 d8 52 00 00 40 06 4a e7 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 62 42 f9 01 f7 0c eb 50 10 ff ff 20 91 00 00

Packet5： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 00 d0 4d 58 00 00 40 06 d6 49 cb 7a 9d e9 7b d0 71 52 7a ee 04 08 4b fb 0b 8f 03 5d 51 1a 50 10 ff ff e9 88 00 00

Answer 1

我将您的数据包跟踪代码段转换为text2pcap所理解的格式，因此我可以将它们转换为pcap格式，以便在Wireshark（一个非常方便的数据包捕获和分析工具）中查看：

看起来像某种IPv4多播流量的粗略猜测。这是我从第一个数据包中得到的结果（其余部分出现了格式错误）：

No.     Time        Source                Destination           Protocol Info
      1 0.000000    7b:1a:00:90:7f:43     00:00:00_24:c4:b8     0x0fa1   Ethernet II

Frame 1 (31 bytes on wire, 31 bytes captured)
    Arrival Time: Dec  1, 2009 00:33:05.000000000
    [Time delta from previous captured frame: 0.000000000 seconds]
    [Time delta from previous displayed frame: 0.000000000 seconds]
    [Time since reference or first frame: 0.000000000 seconds]
    Frame Number: 1
    Frame Length: 31 bytes
    Capture Length: 31 bytes
    [Frame is marked: False]
    [Protocols in frame: eth:data]
Ethernet II, Src: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43), Dst: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
    Destination: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        Address: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
    Source: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        Address: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        .... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)
        .... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)
    Type: Unknown (0x0fa1)
Data (17 bytes)

0000  08 00 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a   ..E....N..@./..z
0010  9d                                                .
    Data: 080045000110F44E000040062F13CB7A9D

Answer 2

00：24：c4是思科的网卡，00：90：7F是WatchGuard的网卡。

来自IEEE OUI Registry。

可能有多少帮助......不知道。因此可能是尝试VPN连接。

Answer 3

这些看起来像普通的TCP数据包，但在前面标记了两个额外的00字节。不确定为什么会这样，但它们似乎是从00-90-7f-43-0f-a1（Watchguard）到00-24-c4-b8-7b-1a（思科）。

IP标题是45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a 9d e9 7b d0 71 52

TCP标题是7a ed 04 06 8c 61 5d a9 01 f7 0c eb 50 10 ff ff 58 b9 00 00

所以你可以从那里得到其余的细节。

Answer 4

已经被别人解读了：

识别NIC和以太网II的前6 + 6 + 2个字节。
bytes 0x0800 EtherType告诉它是IP。 http://en.wikipedia.org/wiki/EtherType
从半字节“4”开始的下一个八位字节是IPv4
等

谁能猜出这些数据包属于哪种协议？

4 个答案: