用Socket类抓了一些数据包，如何分析// 接收数据包，代码是网来找来的
unsafe private void Receive(byte[] buf, int len)
{
IPAddress temp_ip; // IP头结构
fixed (byte* fixed_buf = buf)
{
IPHeader* head = (IPHeader*)fixed_buf;//把数据流整和为IPHeader结构
uint headerLength = (uint)(head->ip_verlen & 0x0F) << 2; // IP头的长度 byte[] IPHeaderBuffer = new byte[headerLength];
byte[] MessageBuffer = new byte[len - e.HeaderLength]; Array.Copy(buf, 0, IPHeaderBuffer, 0, headerLength);
Array.Copy(buf, headerLength, MessageBuffer, 0, MessageBuffer.Length);
}
}不同协议，结构不样吧
如果是一个http回应包，里面是html代码，要怎么分析MessageBuffer中的字节流
我想获取数据包中的html代码。请大家指点一下
unsafe private void Receive(byte[] buf, int len)
{
IPAddress temp_ip; // IP头结构
fixed (byte* fixed_buf = buf)
{
IPHeader* head = (IPHeader*)fixed_buf;//把数据流整和为IPHeader结构
uint headerLength = (uint)(head->ip_verlen & 0x0F) << 2; // IP头的长度 byte[] IPHeaderBuffer = new byte[headerLength];
byte[] MessageBuffer = new byte[len - e.HeaderLength]; Array.Copy(buf, 0, IPHeaderBuffer, 0, headerLength);
Array.Copy(buf, headerLength, MessageBuffer, 0, MessageBuffer.Length);
}
}不同协议，结构不样吧
如果是一个http回应包，里面是html代码，要怎么分析MessageBuffer中的字节流
我想获取数据包中的html代码。请大家指点一下
获得了具体协议后跳过IP头使用具体的协议结构对协议头进行解析，可以获得更详细的协议信息
补习下 IP数据包 结构
(1)版本 占4位，指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的IP协议版本号为4（即IPv4）。关于IPv6，目前还处于草案阶段。(2)首部长度 占4位，可表示的最大十进制数值是15。请注意，这个字段所表示数的单位是32位字（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长度就是20字节（即首部长度为0101），这时不使用任何选项。(3)区分服务 占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。(4)总长度 总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据报的最大长度为216-1=65535字节。
在IP层下面的每一种数据链路层都有自己的帧格式，其中包括帧格式中的数据字段的最大长度，这称为最大传送单元MTU(Maximum Transfer Unit)。当一个数据报封装成链路层的帧时，此数据报的总长度（即首部加上数据部分）一定不能超过下面的数据链路层的MTU值。(5)标识(identification) 占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。(6)标志(flag) 占3位，但目前只有2位有意义。
● 标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。
● 标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。(7)片偏移 占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。(8)生存时间 占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。(9)协议 占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。(10)首部检验和 占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。不检验数据部分可减少计算的工作量。(11)源地址 占32位。(12)目的地址 占32位。
/// 网络协议
/// </summary>
public string Protocol
{
get
{
switch (ReceiveBuffer[9])
{
case 1: return "ICMP";
case 2: return "IGMP";
case 6: return "TCP";
case 17: return "UDP";
default: return "UNKNOWN";
}
}
}
/// <summary>
/// 源地址
/// </summary>
public IPAddress OriginationAddress
{
get { return new IPAddress(new byte[] { ReceiveBuffer[12], ReceiveBuffer[13], ReceiveBuffer[14], ReceiveBuffer[15] }); }
} /// <summary>
/// 源端口
/// </summary>
public int OriginationPort
{
get { return ReceiveBuffer[header_length] * 256 + ReceiveBuffer[header_length + 1]; }
} /// <summary>
/// 目的地址
/// </summary>
public IPAddress DestinationAddress
{
get { return new IPAddress(new byte[] { ReceiveBuffer[16], ReceiveBuffer[17], ReceiveBuffer[18], ReceiveBuffer[19] }); }
} /// <summary>
/// 目的端口
/// </summary>
public int DestinationPort
{
get { return ReceiveBuffer[header_length + 2] * 256 + ReceiveBuffer[header_length + 3]; }
}
对应的来源端口是 80
对应的目的地址是 本地地址
字符串分析...
用 System.Text.Encoding.Default.GetString(buffer) 把字节转为字符串就可以呢..
不过首先要把数据包内的消息部分分离出来
================================
Socket类抓到的是IP包吗？
IP包 = IP头 + 数据 是这样吗1.IP头: IP头结构2,3楼有说明了
2.数据: 是什么，如果这个IP头中指示是TCP协议，那么这数据是不是一个TCP包
再如何分析这个TCP包，读取其中的数据内容(因为是http响应包,里面一定有html代码)
-------
MessageBuffer中是一个TCP包，怎么去掉TCP包头
抓出真正的数据System.Text.Encoding.Default.GetString(真正的数据) 把字节转为字符串