谁能猜出这些数据包属于什么协议？答案

【问题标题】：Can anyone guess what protocol these packets belong to?谁能猜出这些数据包属于什么协议？
【发布时间】：2010-12-21 20:24:50
【问题描述】：

我们看到这些数据包在 Telstra 的 NEXTG 移动网络上进行下行文件传输期间被注入 FTP-DTP 通道。我们不确定这些是网络级别的数据包，还是我们的 3G 调制解调器（基于 HC25）的问题，或者是我们的防火墙注入流中的问题。

使用一个工具，我们注意到 PPP 帧因协议长度错误而失败，因此它们很可能是移动网络数据包。

我希望这里有人可以识别数据包的签名，以便我可以与适当的供应商联系。

这些数据包肯定有一种格式：-

数据包1： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 61 5d a9 0 1c ff ff 58 b9 00 00

数据包2： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 00 ff 6b 50 00 00 40 06 b8 22 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 70 7b 850 1c 04 06 8c 70 7b 850 1c ff ff a3 79 00 00

数据包 3： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 02 20 5b 50 00 00 40 06 c7 01 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 61 7c 50c 1 f 61 7c 50c ff ff e2 5d 00 00

数据包 4： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 01 38 d8 52 00 00 40 06 4a e7 cb 7a 9d e9 7b d0 71 52 7a ed 04 06 8c 62 42 f9 0 1 0 ff ff 20 91 00 00

数据包 5： 00 00 00 24 c4 b8 7b 1a 00 90 7f 43 0f a1 08 00 45 00 00 d0 4d 58 00 00 40 06 d6 49 cb 7a 9d e9 7b d0 71 52 7a ee 04 08 4b 155 0b 1 8f 05 ff ff e9 88 00 00

【问题讨论】：

据我所知，它们属于“$Ä¸{”。 HTH。
是的，祝你好运。
你说的是猜测。是HDLC吗？其实我不知道。
您可能会在 ServerFault.com 上找到更多具有数据包分析经验的人。
谢谢 Ash，我在 serverfault.com 上发布了一个副本。

标签： mobile networking protocols

【解决方案1】：

其他人已经解码：

前 6+6+2 个字节标识 NIC 和以太网 II。
bytes 0x0800 EtherType 告诉它是 IP。 http://en.wikipedia.org/wiki/EtherType
下一个以半字节“4”开头的八位字节是 IPv4
等

【讨论】：

【解决方案2】：

这些看起来像普通的 TCP 数据包，但在前面标记了两个额外的 00 字节。不知道为什么会发生这种情况，但它们似乎是从 00-90-7f-43-0f-a1（Watchguard）到 00-24-c4-b8-7b-1a（Cisco）。

IP 标头为 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a 9d e9 7b d0 71 52

TCP 头是 7a ed 04 06 8c 61 5d a9 01 f7 0c eb 50 10 ff ff 58 b9 00 00

所以你可以从那里得到其余的细节。

【讨论】：

【解决方案3】：

我将您的数据包跟踪 sn-p 转换为 text2pcap 可以理解的格式，因此我可以将它们转换为 pcap 格式以便在 Wireshark 中查看（一个非常方便的数据包捕获和分析工具）：

粗略的猜测看起来像是某种 IPv4 多播流量。这是我从第一个数据包中得到的（其余数据格式错误）：

No.     Time        Source                Destination           Protocol Info
      1 0.000000    7b:1a:00:90:7f:43     00:00:00_24:c4:b8     0x0fa1   Ethernet II

Frame 1 (31 bytes on wire, 31 bytes captured)
    Arrival Time: Dec  1, 2009 00:33:05.000000000
    [Time delta from previous captured frame: 0.000000000 seconds]
    [Time delta from previous displayed frame: 0.000000000 seconds]
    [Time since reference or first frame: 0.000000000 seconds]
    Frame Number: 1
    Frame Length: 31 bytes
    Capture Length: 31 bytes
    [Frame is marked: False]
    [Protocols in frame: eth:data]
Ethernet II, Src: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43), Dst: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
    Destination: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        Address: 00:00:00_24:c4:b8 (00:00:00:24:c4:b8)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
    Source: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        Address: 7b:1a:00:90:7f:43 (7b:1a:00:90:7f:43)
        .... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)
        .... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)
    Type: Unknown (0x0fa1)
Data (17 bytes)

0000  08 00 45 00 01 10 f4 4e 00 00 40 06 2f 13 cb 7a   ..E....N..@./..z
0010  9d                                                .
    Data: 080045000110F44E000040062F13CB7A9D

【讨论】：

【解决方案4】：

00:24:c4 是 Cisco 的 NIC，00:90:7F 是 WatchGuard 的 NIC。

来自IEEE OUI Registry。

这可能有多少帮助......不知道。因此可能是一个尝试的 VPN 连接。

【讨论】：