<think>我们注意到程序输出了很多Unknown TFTP
Opcode: 0，并且源IP和目的IP是多播地址（224
.0
.0
.251）和端口5
35
3（mDNS端口）。这是因为我们的程序捕获了所有UDP数据包，并试图将它们解析为TFTP数据包。但是，非TFTP的UDP数据包也会被处理，导致解析错误。
问题分析：
1
. 当前程序在捕获UDP包后，只通过端口过滤（69端口或双方端口都大于1024）来判断是否为TFTP包。但是，其他协议（如mDNS）也可能使用高端口，因此会被错误地解析。
2
. TFTP协议的数据包前两个字节是操作码（
opcode），正常为1~5。如果收到的UDP包不是TFTP，那么前两个字节可能为0或其他值，导致解析为未知操作码。
解决方案：
我们需要更精确地识别TFTP数据包。TFTP协议的特点：
- 服务端端口为69（初始请求），但后续数据传输使用临时端口（高端口）。
- TFTP数据包的最小长度为4字节（ACK和ERROR包为4字节，其他包更大）。
- 操作码只能是1~5。
因此，我们可以：
a) 在解析前增加操作码检查：如果操作码不在1~5范围内，则跳过解析。
b) 加强端口过滤：只处理满足以下条件之一的UDP包：
- 目标端口是69（初始请求）
- 源端口是69（来自服务器的响应）
- 或者，源端口和目标端口都是高端口（>1024）且数据包符合TFTP格式（操作码在1~5）
但是，仅靠操作码检查可能会误判其他协议的数据包（如果前两个字节恰好是1~5）。因此，我们结合端口和操作码进行判断。
修改建议：
步骤1：在parse_tftp_packet函数开头，增加操作码检查，如果操作码不在1~5，则打印一条消息并返回（或者不打印，直接忽略）。
步骤2：在调用parse_tftp_packet之前，除了端口过滤，再增加一个操作码的初步检查（可选，但为了效率可以在解析前检查）。
然而，我们注意到在main函数中已经进行了端口过滤，但过滤条件过于宽泛。我们可以调整端口过滤条件，只保留：
- 目标端口是69 或者 源端口是69 或者 （目标端口和源端口都大于1024 且 数据包长度>=4 且 前两个字节表示的操作码在1~5）
但是，在main函数中我们还没有解析TFTP数据包，所以无法检查操作码。因此，我们可以在main函数中先进行一个简单的操作码检查（只需要读取前两个字节并判断是否在1~5）。
具体修改如下：
修改main函数中调用解析器的条件：
原条件：
if (!(dst_port == 69 || src_port == 69 ||
(dst_port > 1024 && src_port > 1024)))
continue;
修改为：
// 首先，端口条件：必须满足以下之一
// 1
. 目标端口是69（客户端发往服务器的请求）
// 2
. 源端口是69（服务器发往客户端的响应）
//
3. 双方都是高端口（可能是TFTP数据传输）
if (dst_port == 69 || src_port == 69 || (dst_port > 1024 && src_port > 1024)) {
// 然后，检查数据包长度是否至少4字节（操作码2字节+至少2字节内容）
if (tftp_len < 4) {
// 太短，不是有效的TFTP包
continue;
}
// 检查操作码是否在1~5
uint16_t
opcode = ntohs(*(uint16_t *)tftp_data);
if (
opcode >= TFTP_RRQ &&
opcode <= TFTP_ERROR) {
parse_tftp_packet(tftp_data, tftp_len, src_ip, dst_ip, src_port, dst_port);
} else {
// 可以打印一条调试信息，或者忽略
// 注意：如果不想看到其他协议的数据包，就注释掉打印
// print_timestamp();
// printf("%s
:%d
-> %s
:%d | Not a TFTP packet (
opcode=%d)\n", src_ip, src_port, dst_ip, dst_port,
opcode);
}
}
这样，只有端口条件满足且操作码在1~5之间的包才会被解析。
但是，注意：在初始请求（端口69）中，数据包一定是TFTP包，所以我们可以不对端口69的包进行操作码检查？但为了统一，我们还是检查，因为非TFTP包不会发到69端口，所以理论上不会出现。但是，如果网络中有错误包，我们可以通过操作码检查过滤掉。
另外，我们还可以在parse_tftp_packet函数中保留操作码检查，这样双重保险。
修改parse_tftp_packet函数，在开头增加：
if (len < 4) return;
uint16_t
opcode = ntohs(*(uint16_t *)data);
if (
opcode < TFTP_RRQ ||
opcode > TFTP_ERROR) {
// 不是有效的TFTP操作码
return;
}
这样，即使main函数中漏掉，这里也不会解析。
但是，我们已经在main函数中进行了操作码检查，所以parse_tftp_packet函数中可以不重复检查，但保留长度检查。
考虑到代码清晰，我们可以在parse_tftp_packet函数中不检查操作码范围（因为调用者已经确保操作码在1~5），但保留长度检查。
因此，我们修改main函数中的过滤逻辑，增加操作码检查，只将操作码在1~5之间的包交给解析函数。
修改后的main函数循环部分：
while (1) {
//
... [接收数据包，解析以太网、IP、UDP头]
...
// 转换IP地址为字符串
inet_ntop(AF_INET, &(ip
->saddr), src_ip, INET_ADDRSTRLEN);
inet_ntop(AF_INET, &(ip
->daddr), dst_ip, INET_ADDRSTRLEN);
uint16_t src_port = ntohs(udp
->source);
uint16_t dst_port = ntohs(udp
->dest);
// 获取TFTP数据负载 (跳过UDP头)
unsigned char *tftp_data = (unsigned char *)udp + sizeof(struct udphdr);
int tftp_len = udp_len
- sizeof(struct udphdr);
// 改进的过滤条件：端口条件满足，且数据包长度至少4字节，且操作码在1~5
int is_candidate = 0;
if (dst_port == 69 || src_port == 69) {
is_candidate = 1;
} else if (dst_port > 1024 && src_port > 1024) {
is_candidate = 1;
}
if (is_candidate) {
// 检查长度至少4字节
if (tftp_len < 4) {
continue;
}
uint16_t
opcode = ntohs(*(uint16_t*)tftp_data);
if (
opcode >= TFTP_RRQ &&
opcode <= TFTP_ERROR) {
parse_tftp_packet(tftp_data, tftp_len, src_ip, dst_ip, src_port, dst_port);
}
// 否则，忽略这个包（不是TFTP）
}
}
这样修改后，非TFTP协议的数据包（如mDNS）就不会被解析，也不会打印未知操作码。
注意：我们仍然打印了端口69和高端口且操作码在1~5的包。如果网络中确实有非TFTP的数据包但是操作码恰好是1~5，那么会被错误解析，但这种概率极低。
另外，我们也可以考虑在parse_tftp_packet函数中对每个case的default分支进行修改，打印未知操作码（虽然理论上不会发生，因为已经过滤）。保留default分支可以防止程序出错。
修改后的parse_tftp_packet函数中default分支可以这样：
default
:
// 由于我们已经在main中过滤了操作码，所以这里不应该出现其他值
// 但为了健壮性，保留
printf("Unknown TFTP
Opcode: %d (this should not happen)",
opcode);
但是，如果出现，说明我们的过滤有问题，所以打印出来有助于调试。
最后，我们还要注意网络字节序和主机字节序。在读取操作码时，我们使用了ntohs，这是正确的。
修改后的代码应该可以避免将mDNS等协议的数据包当作TFTP包解析。
让我们重新编译并运行程序，应该不会再出现mDNS的包被解析为TFTP。
如果还有问题，我们可以进一步调整。
注意：如果TFTP数据包分片，我们的程序可能无法正确处理（因为原始套接字只处理了链路层、IP层和UDP层，但分片重组需要由内核处理，而原始套接字不会自动重组）。不过TFTP通常使用小数据包（每个数据块512字节），所以一般不会分片。
现在，我们修改代码，然后测试。
由于代码较长，这里只给出修改的关键部分。
完整修改后的main函数循环部分：
while (1) {
// 接收数据包
ssize_t data_size = recvfrom(sockfd, buffer, sizeof(buffer), 0, NULL, NULL);
if (data_size < 0) {
perror("Packet receive error");
continue;
}
// 解析以太网帧头
struct ethhdr *eth = (struct ethhdr *)buffer;
// 只处理IPv4包 (0x0800)
if (ntohs(eth
->h_proto) != ETH_P_IP)
continue;
// 解析IP头
struct iphdr *ip = (struct iphdr *)(buffer + sizeof(struct ethhdr));
unsigned short iphdr_len = ip
->ihl * 4;
// 只处理UDP包 (协议号17)
if (ip
->protocol != IPPROTO_UDP)
continue;
// 解析UDP头
struct udphdr *udp = (struct udphdr *)(buffer + sizeof(struct ethhdr) + iphdr_len);
unsigned short udp_len = ntohs(udp
->len);
// 转换IP地址为字符串
inet_ntop(AF_INET, &(ip
->saddr), src_ip, INET_ADDRSTRLEN);
inet_ntop(AF_INET, &(ip
->daddr), dst_ip, INET_ADDRSTRLEN);
uint16_t src_port = ntohs(udp
->source);
uint16_t dst_port = ntohs(udp
->dest);
// 获取TFTP数据负载 (跳过UDP头)
unsigned char *tftp_data = (unsigned char *)udp + sizeof(struct udphdr);
int tftp_len = udp_len
- sizeof(struct udphdr);
// 改进的过滤条件：端口条件满足，且数据包长度至少4字节，且操作码在1~5
int is_candidate = 0;
if (dst_port == 69 || src_port == 69) {
is_candidate = 1;
} else if (dst_port > 1024 && src_port > 1024) {
is_candidate = 1;
}
if (is_candidate) {
// 检查长度至少4字节
if (tftp_len < 4) {
continue;
}
uint16_t
opcode = ntohs(*(uint16_t*)tftp_data);
if (
opcode >= TFTP_RRQ &&
opcode <= TFTP_ERROR) {
parse_tftp_packet(tftp_data, tftp_len, src_ip, dst_ip, src_port, dst_port);
}
// 否则，忽略这个包（不是TFTP）
}
}
重新编译运行，应该不会再出现Unknown TFTP
Opcode: 0的输出了。
如果还有问题，请提供进一步的错误输出。
注意：在测试时，确保使用NetAssist发送TFTP请求，以验证程序仍然能正确捕获TFTP包。
相关问题：
§§相关问题§§
:
1
. 如何在C语言中实现更精确的网络协议过滤（如基于数据包内容）？
2
. 为什么在原始套接字处理中需要特别注意字节序转换？
3. 如何处理分片的IP数据包以实现完整协议解析？
4
. 如何优化原始套接字的性能以减少CPU占用？</think>### 问题分析：TFTP 解析器误报非TFTP流量
您的程序输出了大量 `Unknown TFTP
Opcode: 0` 的警告，这些是 mDNS（多播DNS）流量（端口5
35
3），不是TFTP流量。问题在于过滤逻辑不够精确，导致程序尝试将非TFTP数据包当作TFTP解析。
### 解决方案：增强过滤逻辑
以下是关键修改点：
#### 1
. **改进端口过滤逻辑**
```c
// 修改main函数中的端口过滤部分
// 原始过滤条件（过于宽泛）：
// if (!(dst_port == 69 || src_port == 69 || (dst_port > 1024 && src_port > 1024)))
// 改进后的精确过滤：
if (dst_port == 69 || src_port == 69) {
// 标准TFTP端口流量
} else if ((dst_port > 1024 && src_port > 1024) &&
(dst_port >= 1024 && dst_port <= 655
35) &&
(src_port >= 1024 && src_port <= 655
35)) {
// 客户端和服务器都在高端口的TFTP数据流量
} else {
continue; // 跳过非TFTP流量
}
```
#### 2
. **增加操作码预检查**
在调用解析函数前增加操作码验证：
```c
// 在调用parse_tftp_packet前添加检查
uint16_t
opcode = ntohs(*(uint16_t *)tftp_data);
if (
opcode < TFTP_RRQ ||
opcode > TFTP_ERROR) {
// 非TFTP操作码，跳过解析
continue;
}
parse_tftp_packet(tftp_data, tftp_len, src_ip, dst_ip, src_port, dst_port);
```
####
3. **添加协议识别标志**
```c
// 在parse_tftp_packet开头添加验证
void parse_tftp_packet(
...) {
if (len < 2) return; // 至少需要2字节的操作码
uint16_t
opcode = ntohs(*(uint16_t *)data);
if (
opcode < 1 ||
opcode > 5) { // TFTP操作码范围是1
-5
print_timestamp();
printf("%s
:%d
-> %s
:%d | Non
-TFTP UDP packet (
Opcode: %d)\n",
src_ip, src_port, dst_ip, dst_port,
opcode);
return;
}
//
...原有解析逻辑
...
}
```
#### 4
. **完整修复版代码**
```c
#include <stdio
.h>
#include <stdlib
.h>
#include <string
.h>
#include <unistd
.h>
#include <arpa/inet
.h>
#include <net/ethernet
.h>
#include <netinet/ip
.h>
#include <netinet/udp
.h>
#include <netinet/in
.h>
#include <sys/socket
.h>
#include <sys/ioctl
.h>
#include <net/if
.h>
#include <time
.h>
#include <netpacket/packet
.h>
#include <linux/if_ether
.h>
#define TFTP_RRQ 1
#define TFTP_WRQ 2
#define TFTP_DATA
3
#define TFTP_ACK 4
#define TFTP_ERROR 5
const char *tftp_errors[] = {
"未定义错误", "文件未找到", "访问违规", "磁盘满或分配超过",
"非法操作", "未知传输ID", "文件已存在", "无此用户"
};
void print_timestamp() {
time_t now = time(NULL);
struct tm *t = localtime(&now);
printf("[%02d
:%02d
:%02d] ", t
->tm_hour, t
->tm_min, t
->tm_sec);
}
void parse_tftp_packet(const unsigned char *data, int len,
const char *src_ip, const char *dst_ip,
uint16_t src_port, uint16_t dst_port) {
if (len < 2) return;
uint16_t
opcode = ntohs(*(uint16_t *)data);
// 验证操作码有效性
if (
opcode < TFTP_RRQ ||
opcode > TFTP_ERROR) {
print_timestamp();
printf("%s
:%d
-> %s
:%d | Non
-TFTP UDP packet (
Opcode: %d)\n",
src_ip, src_port, dst_ip, dst_port,
opcode);
return;
}
print_timestamp();
printf("%s
:%d
-> %s
:%d | ", src_ip, src_port, dst_ip, dst_port);
switch (
opcode) {
//
... 原有case保持不变
...
}
}
int main(int argc, char *argv[]) {
//
... 初始化代码保持不变
...
while (1) {
//
... 数据包接收和解析保持不变
...
// 改进的端口过滤
if (dst_port == 69 || src_port == 69) {
// 标准TFTP端口
} else if ((dst_port > 1024 && src_port > 1024) &&
(dst_port >= 1024 && dst_port <= 655
35) &&
(src_port >= 1024 && src_port <= 655
35)) {
// 高端口TFTP数据
} else {
continue;
}
// 操作码预检查
if (tftp_len < 2) continue;
uint16_t
opcode = ntohs(*(uint16_t *)tftp_data);
if (
opcode < TFTP_RRQ ||
opcode > TFTP_ERROR) continue;
parse_tftp_packet(tftp_data, tftp_len, src_ip, dst_ip, src_port, dst_port);
}
close(sockfd);
return 0;
}
```
### 问题原因详解
1
. **端口过滤不足**：
- 原代码 `(dst_port > 1024 && src_port > 1024)` 条件过于宽泛
- mDNS使用5
35
3端口（>1024），被误判为TFTP流量
2
. **缺少协议验证**：
- 未验证数据包是否包含有效的TFTP操作码
- mDNS数据包前两个字节为0，被错误解析为操作码0
3. **未处理非TFTP流量**：
- 程序未区分真正的TFTP流量和其他高端口UDP流量
- 所有满足端口条件的UDP包都被尝试解析
### 测试建议
1
. **使用tcpdump验证**：
```bash
sudo tcpdump
-i ens
33 udp port 69
-vv
-X
```
2
. **模拟TFTP流量测试**：
```bash
# 在另一终端运行
echo "test" > test
.txt
tftp localhost
tftp> put test
.txt
```
3. **过滤特定流量**（可选）：
```c
// 添加IP过滤（示例）
if (strcmp(src_ip, "192
.168
.1
30
.1") != 0 &&
strcmp(dst_ip, "192
.168
.1
30
.1") != 0) {
continue;
}
```
### 优化方向
1
. **添加白名单功能**：
```c
char *allowed_ips[] = {"192
.168
.1
30
.1", "192
.168
.1
30
.2"};
int allowed = 0;
for (int i = 0; i < sizeof(allowed_ips)/sizeof(char*); i++) {
if (strcmp(src_ip, allowed_ips[i]) == 0 ||
strcmp(dst_ip, allowed_ips[i]) == 0) {
allowed = 1;
break;
}
}
if (!allowed) continue;
```
2
. **添加协议统计**：
```c
static int total_packets = 0;
static int tftp_packets = 0;
static int non_tftp_packets = 0;
total_packets++;
if (is_tftp) tftp_packets++;
else non_tftp_packets++;
if (total_packets % 50 == 0) {
printf("[Stats] TFTP
: %d, Non
-TFTP
: %d, Total
: %d\n",
tftp_packets, non_tftp_packets, total_packets);
}
```
3. **添加详细日志模式**：
```c
int verbose = 0; // 通过命令行参数设置
if (verbose &&
opcode == 0) {
printf("Full Hex Dump
:\n");
for (int i = 0; i < len; i++) {
if (i % 16 == 0) printf("\n%04X
: ", i);
printf("%02X ", data[i]);
}
printf("\n");
}
```
本文通过实例详细解析了x86指令集中的前缀指令功能及其使用方法，包括如何改变默认操作数大小和重复执行指令等特性。
Prefixes的几个特性
一个OpCode中可以有多个Prefixes。
扫一扫
1250
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
