7、应用层 7、应用层
6、表示层 6、表示层
5、会话层 5、会话层
4、传输层 4、传输层
3、网络层 3、网络层
2、数据链路层 2、数据链路层
1、物理链路层 1、物理链路层
图1 OSI模型
2.1.2 TCP/IP 术语
Internet 标准使用一套特定的术语来描述与 TCP/IP 网络相关的网络元素和概念。这些术语是后面各章节内容的基础。
TCP/IP 中的常用术语和概念如下所述：
• 节点 任何运行一个 IP 实现的设备（包括路由器和主机）。
• 上层协议 位于 IP 之上并将 IP 用作其传输层的协议。示例包括 Internet 层协议（如 Internet 控制消息协议 (ICMP)）和传输层协议（如传输控制协议 (TCP) 和用户数据报协议 (UDP)）。（但是，将 TCP 和 UDP 用作传输层的应用层协议不属于上层协议。文件传输协议 [FTP] 和域名系统 [DNS] 属于这类应用层协议）。有关 TCP/IP 协议套件各层的详细信息，请参见2.1.3“TCP/IP体系结构”和2.1.4“TCP/IP特点”。
• 地址 在 Internet 层分配给一个接口或一组接口的、可用作 IP 数据包的源或目标的标识符。
• 数据包 存在于 Internet 层的、由 IP 标头和有效负载构成的协议数据单元 (PDU)。
2.1.3 TCP/IP 体系结构
TCP/IP协议实际上就是在物理网上的一组完整的网络协议。其中TCP是提供传输层服务，而IP则是提供网络层服务。TCP/IP包括以下协议：（结构如图2）
图2 TCP/IP体系结构
IP： 网际协议(Internet Protocol) 负责主机间数据的路由和网络上数据的存储。同时为ICMP，TCP，UDP提供分组发送服务。用户进程通常不需要涉及这一层。
ARP： 地址解析协议(Address Resolution Protocol)
此协议将网络地址映射到硬件地址。
RARP：反向地址解析协议(Reverse Address Resolution Protocol)
此协议将硬件地址映射到网络地址
ICMP：网际报文控制协议(Internet Control Message Protocol)
此协议处理信关和主机的差错和传送控制。
TCP： 传送控制协议(Transmission Control Protocol)这是一种提供给用户进程的可靠的全双工字节流面向连接的协议。它要为用户进程提供虚电路服务，并为数据可靠传输建立检查。（注：大多数网络用户程序使用TCP）
UDP： 用户数据报协议(User Datagram Protocol)
这是提供给用户进程的无连接协议，用于传送数据而不执行正确性检查。
FTP： 文件传输协议(File Transfer Protocol)
允许用户以文件操作的方式（文件的增、删、改、查、传送等）与另一主机相互通信。
SMTP：简单邮件传送协议(Simple Mail Transfer Protocol)
SMTP协议为系统之间传送电子邮件。
ELNET：终端协议(Telnet Terminal Protocol)
允许用户以虚终端方式访问远程主机
HTTP： 超文本传输协议(Hypertext Transfer Protocol)
TFTP: 简单文件传输协议(Trivial File Transfer Protocol)
2.1.4 TCP/IP特点
TCP/IP协议的核心部分是传输层协议(TCP、UDP)，网络层协议(IP)和物理接口层，这三层通常是在操作系统内核中实现。因此用户一般不涉及。编程时，编程界面有两种形式：
(1)由内核心直接提供的系统调用；
(2)使用以库函数方式提供的各种函数。前者为核内实现，后者为核外实现。用户服务要通过核外的应用程序才能实现，所以要使用套接字(socket)来实现。
图3是TCP/IP协议核心与应用程序关系图。
图3 TCP/IP协议核心与应用程序关系图
2.2数据包截获技术概述
对前面的TCP/IP协议有了一定了解，对数据包截获技术研究就奠定了一定基础。
数据包截获技术又称为网络嗅探，放置于网络节点处，对网络中的数据帧进行截获的一种被动监听手段，是一种常用的收集有用数据的方法，其基本原理对经过网卡的数据包进行截获和解码，从链路层协议开始进行解码分析，一直到应用层的协议，最后获取数据包中需要的内容。这些数据可以是用户的账号和密码，可以是一些商用机密数据等等。
2.2.1局域网的连接方式
局域网的连接设备主要有HUB和交换机。由于以HUB连接的以太网等很多网络是基于总线方式的，所以当一个机器给另一个机器发送数据时，HUB会将要传送的数据包发送至本网段内的所有主机。这种以广播方式发送数据包的形式使得任何网络接收设备都可以接收到所有正在传送的通讯数据，不过通常情况下主机只将判断为应该接收的数据包传给上层应用程序处理。所以在共享HUB情况下同一网段的所有机器的网卡都能接收到数据。
而交换机能记住每个端口的MAC地址，该哪个机器接收就发往哪个端口，而不是像HUB那样发给所有的端口，所以交换机环境下只有该接收数据的机器的网卡能接收到数据。HUB的工作模式使得共享决定了同一网段同一时间只能有两个机器进行数据通信，而交换机在两个机器传输数据的时候其它端口没有占用，所以其它端口之间也可以同时传输。这就是HUB与交换机不同的两个地方，HUB是同一时间只能有一个机器发送数据并且所有机器都可以接收，只要不是广播数据，交换机同一时间可以有一对机器进行数据传输并且数据是私有的。
2.2.2网卡工作模式
&n