Для пояснения механизмов действия сетевых атак будем использовать записи журналов программных windump.
Программа tcpdump для исследования дампов сетевого трафика была разработана компанией Network Research Group в лаборатории Lawrence Berkey National Lab. Она представляет собой набор средств, которые дают возможность исследования дампов сетевого трафика различными уровнями детализации. На ее основе была создана программа windump, которая выполняет те же функции, но не имеет дополнительные опции. В качестве примера рассмотрим элементы записи программы windumpв журнал регистрации:
- 15:51:54.78 475 IP 194.85.97.54.1076>
- 194.85.97.56 .21:
&S 2 739 395 289:273995289(0) win 16 384.
& (DF).
Рассмотрим данную запись поэлементно:
Для IP 194.85.97.54.1076>194.85.97.56.21:
15:51:54.781 475 -значение времени анализа пакета;
IPконтролируемый протокол;
194.85.97.54 .1076 -адрес и порт отпавителя;
> - направление трафика;
194.85.97.56 .21 — адрес и порт получателя;
: -признак окончания адресной части;
? — признак продолжения записи строки журнала;
Для S 2 739 395 289:2739395289 (0) win 16 384.
- S — значение установленных TCP флагов;
- 2 739 395 289:2739395289 — начальный и завершающий порядковый номер;
- (0) — количетсво байтов в пакете;
win 16 384 -размер окна передачи.
Для.
Ё — ограничивающие TCP — опцию скобки, параметры опции разделяются запятыми;
mss 1460, nop, nop — максимальный размер сегмента для данного соединения. Так как длина этой операции меньше 32 бит, то для выравнивания свободное место заполняется нулями;
sackOK — параметр;
(DF) — запрет дефрагментации.
При получении фрагментированного пакета в записи журнала появляется запись вида (frag 1109:32@0+), где.
Frag — признак фрагмента пакета;
- 1109 -идентификатор фрагмента;
- 32 — длина содержимого фрагмента в байтах без учета заголовка IP, который занимает 20 байт;
@ - разделитель значений длины фрагмента и смещения;
0 — содержимое фрагмента смещено на 0 байт;
+ - указывает на наличие дополнительных фрагментов для данного IP — пакета;
- 1109 — тот же идентификатор, так как фрагменты относиться к одному исходному пакету;
- 16 — длина фрагмента.
Отсутствие знака + означает что это конец фрагмента.
