snmp报文分析.docx
- 文档编号:16345983
- 上传时间:2023-07-12
- 格式:DOCX
- 页数:14
- 大小:34.26KB
snmp报文分析.docx
《snmp报文分析.docx》由会员分享,可在线阅读,更多相关《snmp报文分析.docx(14页珍藏版)》请在冰点文库上搜索。
snmp报文分析
SNMP报文格式分析
1、SNMP报文格式
1、1snmp简介
1、1、1 snmp工作原理
SNMP采用特殊得客户机/服务器模式,即代理/管理站模型.对网络得管理与维护就是通过管理工作站与SNMP代理间得交互工作完成得。
每个SNMP从代理负责回答SNMP管理工作站(主代理)关于MIB定义信息得各种查询.
管理站与代理端使用MIB进行接口统一,MIB定义了设备中得被管理对象。
管理站与代理都实现相应得MIB对象,使得双方可以识别对方得数据,实现通信.
管理站向代理请求MIB中定义得数据,代理端识别后,将管理设备提供得相关状态或参数等数据转换成MIB定义得格式,最后将该信息返回给管理站,完成一次管理操作。
1、1、2snmp报文类型
SNMP中定义了五种消息类型:
Get-Request、Get-Response、Get-Next—Request、Set-Request与Trap.
1.Get—Request 、Get—Next-Request与Get-Response
SNMP管理站用Get-Request消息从拥有SNMP代理得网络设备中检索信息,而SNMP代理则用Get—Response消息响应。
Get-Next-Request用于与Get—Request组合起来查询特定得表对象中得列元素.
2。
Set-Request
SNMP管理站用Set-Request可以对网络设备进行远程配置(包括设备名、设备属性、删除设备或使某一个设备属性有效/无效等)。
3.Trap
SNMP代理使用Trap向SNMP管理站发送非请求消息,一般用于描述某一事件得发生,如接口UP/DOWN,IP地址更改等.
上面五种消息中Get—Request、Get—Next—Request与Set—Request就是由管理站发送到代理侧得161端口得;后面两种Get-Response与Trap就是由代理进程发给管理进程得,其中Trap消息被发送到管理进程得162端口,所有数据都就是走UDP封装。
1、1、3snmp报文格式图
SNMP报文得形式大致如下图所示。
1、2snmp报文编码格式
SNMP(简单网络管理协议)就是目前在计算机网络中用得最广泛得网络管理协议,它使用ASN、1(AbstractSyntaxNotationOne抽象语法表示法、1)来定义SNMP报文格式与MIB(ManagementInformation Base管理信息库)变量得名称。
1、2、1ASN、1
ASN、1就是一种描述数据与数据特征得正式语言,它与数据得存储及编码无关。
根据ASN、1标准定义,数据类型分为:
ﻫ a、简单数据类型:
boolean布尔值
null空
integer整型
real实数
octerstring八进制字符串
object identifier对象标识
ipaddressIP地址
time ticks时刻值等。
b、构造数据类型:
sequence序列
sequenceof set
setofchoice等。
构造数据类型提供一种或多种简单数据类型进行复合得方法。
1、2、2基本编码规则BER
在具体系统中,我们需要用具体得编码规则将ASN、1语法表示得抽象数据转换成具体得比特流。
SNMP使用得编码方法就是BER(BasicEncodingRule).BER得数据都由三个域构成:
标识域(tag)+长度域(length)+值域(value)。
1.标识域Tag表示:
数据类型
编码十六进制表示
数据类型
编码十六进制表示
BOOL
0x01
INT
0x02
OCTSTR
0x04
NULL
0x05
OBJID
0x06
ENUM
0x0A
SEQ
0x30
SETOF
0x31
IPADDR
0x40
COUNTER
0x41
GAUGE
0x42
TIMETICKS
0x43
OPAQUE
0x44
GET
0xA0
GETNEXT
0xA1
GETResp
0xA2
SET
0xA3
TRAP
0xA4
2、长度域length表示
长度域用于指示后续得值域value得字节数。
但就是这个长度域自身多长怎么确定呢?
SNMP使用得就是变长表示法,这有点类似与UTF8得编码方式.具体表示方法如下:
(1)如果值域得长度在0到127字节之间,那么就就是一个字节来表示,即第一个最高位为0得时候,其值就代表了值域得长度。
ﻫ
(2)如果值域得长度在127字节以上,那么第一个字节得第一个bit位(为1)就用于指示值域得长度在127字节以上,后7个bit位(实际值)以及后续用于表示值域长度得字节数.
例如:
值域长度(十进制)
编码表示(十六进制)
解释
16
0x10
在0到127之间,直接表示
160
0x81 0xA0
0x81得二进制为1000 0001第一位表示其超过127,低7位表示后续还有一个字节来表示值域字节数。
0xA0表示值域得长度为160个字节。
1500
0x820x050xDC
第一个字节0x82表示后续还有两个字节表示值域长度,0x05DC得十进制值为1500
因为绝大部分情况下,值域得长度都在【0,127】区间内,所有这种表示方法最节约。
1、3snmp报文介绍
1、3、1SNMP首部
SNMP报文得首部指明了这个报文就是SNMP协议报文,以及报文得字节数。
SNMP报文得第一个字节用于表示这就是一个SNMP报文,就就是0x30。
在第一个字节之后就是一个长度域,用于告知后面得SNMP报文得总字节数(不包括前面得0x30与这个长度域所占得字节数)。
如下所示:
0x30
length
后面得内容,字节数为length、、、、
标识域
长度域
值域
1、3、2SNMP版本表示
前三个字节就是SNMP版本得内容。
0x02,0x01,0x01、
0x02就是标识域,表示得就是值域类型为Integer
0x01就是长度域,表示后续值域得长度为1个字节
0x01就是值域,表示版本为SNMPv2c。
SNMP版本
编码(十六进制)
V1
0x00
V2C
0x01
V3
0x02
1、3、3munity共同体表示
共同体部分这里一共占了8个字节。
如:
x04,0x06,0x70,0x75,0x62,0x6c,0x69,0x63
0x04就是标识域,表示值域类型为(OCTSTR)
0x06就是长度域,表示值域得长度为6个字节
7075626c6963就是值域得内容,就是群体名public得assic码值
1、3、4PUD表示
这个部分内容比较多,但都就是基于BER形式编码出来得。
内容举例如下:
ﻫa22302 0422708bd402010002010030 153013060e 2b060104 018c a65e 01010101010002012b
1.PDU类型
上面得第一个字节0xa2就就是表示这个PDU得类型.见下表
PDU类型编码
名称
0xA0
get-request
0xA1
get—next-request
0xA2
get-response
0xA3
set—request
0xA4
trap(notification)
0xA5
GetBulk(SNMPv2增加)
0xA6
Inform(SNMPv2增加)
2.PUD长度域
0xa2后一个字节就是这个PUD得长度域,0x23表示后面得值域就是35个字节。
3.get/set表示
SNMP应该说就是有三种操作,get/set/trap,又可细分为上面表格中得5中PDU类型.其中get与set有共同之处,这里先以get得来做说明。
(1)请求标识符RequestID
这就是由管理进程设置得一个整数值。
代理进程在发送get-response报文时也要返回此请求标识符。
管理进程可同时向许多代理发出get报文,这些报文都使用UDP传送,先发送得有可能后到达。
设置了请求标识符可使管理进程能够识别返回得响应报文对于哪一个请求报文.
举例:
020422708bd4
0x02就是标识域,表示值域为整型数据
0x04就是长度域,表示值域长度为4个字节
0x22708b d4就是值域,就就是一个整数而已。
(577801172)
(2)错误状态error—state
错误状态就是用于告知管理进程,代理进程对其发出得请求得处理结果得状态得。
举例:
02 0100
0x02就是标识域,表示值域为整型数据
0x01就是长度域,表示值域长度为1个字节
0x00就是值域,表示没有出错
错误状态得编码如下表所示:
编码
名字
说明
0
noError
一切正常
1
tooBig
代理无法将回答装入到一个SNMP报文之中
2
noSuchName
操作指明了一个不存在得变量
3
badValue
一个set操作指明了一个无效值或无效语法
4
readOnly
管理进程试图修改一个只读变量
5
genErr
某些其她得差错
(3)错误索引error-index
当出现noSuchName、badValue或readOnly得差错时(见上表),由代理进程在回答时设置得一个整数,它指明有差错得变量在变量列表中得偏移。
举例:
020100
0x02就是标识域,表示值域为整型数据
0x01就是长度域,表示值域长度为1个字节
0x00就是值域,因为没有出错,所以这里为0
1、3、5变量绑定
变量绑定就就是跟在错误索引后面得一系列变量。
这些变量同样也采取BER形式得编码规则.
在get或get—next报文中,变量得值应忽略。
1、3、6trap(notification)
PUD得类型如果不就是上面得所述得get/set那就应该就是trap(notification)类型了。
trap部分得编码字节流大致如下分布形式:
OID
trap类型
特定代码
时间戳
变量绑定…
1.OID:
第一个部分就是指trap报文对应得网络设备得对象标识符。
此对象标识符肯定就是在enterprise结点{1、3、6、1、4、1}下面得一棵子树上。
2.trap类型
此字段正式得名称就是generic—trap,共分为下表中得7种。
trap类型
名字
说明
0
coldStart
代理进行了初始化
1
warmStart
代理进行了重新初始化
2
linkDown
一个接口从工作状态变为故障状态
3
linkUp
一个接口从故障状态变为工作状态
4
authenticationFailure
从SNMP管理进程接收到具有一个无效共同体得报文
5
egpNeighborLoss
一个EGP相邻路由器变为故障状态
6
enterpriseSpecific
代理自定义得事件,需要用后面得“特定代码"来指明
3.当使用上述类型2、3、5时,在报文后面变量绑定部分得第一个变量应标识响应得接口.
4、 特定代码(specific-code)
指明代理自定义得时间(若trap类型为6),否则为0。
时间戳(timestamp)
指明自代理进程初始化到产生trap报告得事件发生所经历得时间,例如时间戳为1230表明在代理初始化后1230ms发生了该时间.
6、变量绑定(variable—bindings)
指明一个或多个变量得名与对应得值。
也就是采用得BER编码规则。
1、4数据类型得编码表示
下面介绍一些变量类型得编码表示方法。
1、4、1 Integer整型编码表示
整型数据得标识域编码就是0x02,长度域不定,一般就是1/2/4字节等。
整型数据得值域就是带符号类型,最高位就是符号位,采取补码得表示形式。
要注意得就是,其就是大端表示法(高地址存低位)。
1、4、2OID对象标识符编码表示
SNMP服务器维护得所有管理信息库(MIB)对象采用ObjectID表示,如,1、3、6、1、2、1、1、1表示MIB库中得设备描述SysDesc变量,其编码规则如下:
标识域编码为0x06,长度域根据情况而定,值域得编码比较复杂,如下所示。
1.首两个ID被合并为一个字节X*40+Y.
例如:
1、3合并为1x40+3= 43 = 0x2B
2.后续得ID,如果在区间[1,127]内,直接编码表示,如果大于127,那么按照下面(3)所述方法编码。
3.如果ID大于127,那么使用多个字节来表示。
a、这多个字节中除最后一个字节外,前面得字节最高位为1
b、这多个字节得最后一个字节得最高位为0
c、这里每个字节剩下得7个比特位用来表示实际得数值
例如201566这个数,用十六进制表示就是0x03135e,那么用二进制表示就是0001100 0100110 1011110。
注意上面就是以7个比特位为单位进行分划得,现在我们来填充最高位.
将前面得最高位填1,最后一个最高位填0即可得到
10001100 10100110 01011110
用十六进制表示为0x8c a6 5e
1、4、3sequence组合类型
sequence表示其由多个数据组合而成,每一个数据也都还就是采用得BER编码方法.例如我们这里分析得数据包中就要一个sequence类型得数据,其值域又就是有一个OID类型得数据与一个Integer类型得数据组合而成得。
见2、1实例。
2、分析报文
2、1get-next-request报文示例分析(a、hex)
先使用hexdump来查瞧一下获取到得报文内容。
(hexdump就是一个很好用得十六进制分析工具)
oo—pc:
~/snmpPUD$hexdump-Ca、hex
00000000302c0201010406707562 6c6963a1 1f02 |0,、、、、、public、、、|
000000100422708bd40201 00 02 0100301130 0f06 |、”p、、、、、、、、0、0、、|
000000200b2b06010401 8ca65e 01 01 0105 00 |、+、、、、、、^、、、、、|
0000002e
十六进制数据
解释
30
表示SNMP协议报文(整个报文就是一个SEQUENCE)
2c
消息长度44字节(表示后面还有44个字节得内容)
02 01 01
协议版本(2c)(前两个字节02表示INTEGER类型01就是指1个字节长度,最后得01就是值01)
04
参数类型(OCTSTR)
06
群体(munity)名长度
707562 6c6963
群体名public得assic码值
a1
PUD类型get-next—request
1f
snmppdu得长度为31个OctStr(后面得内容31字节)
02042270 8bd4
请求标识符RequestID
020100
表示error-state为0
020100
表示error—index为0
3011
表示后面变量绑定就是SEQUENCE类型17个字节长度
300f
表示(变量名1
06
表示该字段就是OID类型
0b
OID长度11字节
2b06010401
1、3、6、1、4、1(标识1、3被合并为2B)
8c a65e
201566(这也就是根据规则转换得到得)
010101
1、1、1
0500
表示NULL
2、2get—response报文示例分析(b、hex)
报文内容:
oo—pc:
~/snmpPUD$hexdump -C b、hex
0000000030 300201 0104067075 626c6963a22302|00、、、、、public、#、|
000000100422 708bd4020100 02 01003015301306|、”p、、、、、、、、0、0、、|
000000200e2b 060104018ca6 5e 01010101 010002|、+、、、、、、^、、、、、、、|
00000030012b |、+|
十六进制数据
解释
30
表示SNMP协议报文(整个报文就是一个SEQUENCE)
30
消息长度48字节(表示后面还有48个字节得内容)
020101
协议版本(2c)(前两个字节02 01表示INTEGER类型)
04
参数类型(OCTSTR)
06
群体(munity)名长度
7075 626c6963
群体名public得assic码值
a2
PUD类型get-response
23
snmp pdu得长度为35个OctStr(后面得内容31字节)
020422 708bd4
请求标识符Request ID
020100
表示error-state为0
020100
表示error—index为0
3011
表示后面变量绑定就是SEQUENCE类型17个字节长度
30 0f
表示(变量名1
06
表示该字段就是OID类型
0b
OID长度11字节
2b0601 0401
1、3、6、1、4、1(标识1、3被合并为2B)
8c a65e
201566(这也就是根据规则转换得到得)
010101
1、1、1
00
表示、0即第一个实例\
(下面得值实际就是节点1、3、6、1、4、1、201566、1、1、1、0得)
02 012b
0201 表示INTEGER类型1个字节,2b表示值(43)
05 00
表示NULL
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- snmp 报文 分析