ip/tcp decodificação de pacotes sem wireshark

Question

Como podemos manualmente ler e interpretar os pacotes corretamente sem utilizar o wireshark?

Agora, a partir do cabeçalho Ethernet eu sei que o Endereço MAC de Destino deve ser na 5ª byte (após a conversão de bits/bytes).Assim, a partir desta data, eu pensei que seria 4a diante.No entanto, na realidade, é 00:17:f2:d0:4c:82.

O mesmo vale para o IP de origem de destino.Por exemplo, a fonte deve ser de, no 13-16 bytes.De acordo com as leituras, eu acho que ele deve ser 0800 em diante.Mas, na realidade, é no 0a 32 e7 85 mas eu não entendo por que?Eu apenas estou confuso sobre como interpretar esses dados corretamente ou talvez eu sou o entendimento geral a estrutura do cabeçalho incorretamente.

https://ntquan87.wordpress.com/2015/08/17/reading-packet-hex-dumps-manually-no-wireshark/

Answer 1

Meu palpite é que o que você está vendo é um Nível 2 de quadro Ethernet e, portanto, o preâmbulo é falta.Também a Ethernet de soma de verificação, parece estar faltando.Neste caso, tudo parece a linha de cima (o tipo de pacote dentro do quadro Ethernet, IPv4, a versão do pacote IPv4 comprimento, o tipo de pacote, i.é.TCP, dentro do pacote IP, ...).Então você gostaria de ler o seu pacote como na imagem.

A carga TCP é

474554202f20485454502f312e300d0a
557365722d4167656e743a2057676574
2f312e31312e340d0a4163636570743a
202a2f2a0d0a486f73743a207777772e
696574662e6f72670d0a436f6e6e6563
74696f6e3a204b6565702d416c697665
0d0a0d0a

e as decodifica para:

GET / HTTP/1.0
User-Agent: Wget/1.11.4
Accept: */*
Host: www.ietf.org
Connection: Keep-Alive

o que é coerente com o fato de que a porta de destino é de 80.