怎樣確認(rèn)一個(gè)數(shù)據(jù)包是 mysql 數(shù)據(jù)包？

FightForWin

hi， 大家好.

有沒(méi)有辦法確認(rèn)在網(wǎng)絡(luò)上抓的包是一個(gè) mysql 數(shù)據(jù)包， 比如是 mysql 登錄或其他什么的。

我用 wireshark 抓包， 三次握手完他就知道數(shù)據(jù)包使用的協(xié)議是 mysql ， 請(qǐng)問(wèn)是用什么方法。 謝謝。

FightForWin

但是端口變了呢？
mysql 服務(wù)器的端口并一定非用 3306 不可吧？

FightForWin

那有方法判斷數(shù)據(jù)包是否為 mysql 包嗎？
mysql 協(xié)議有沒(méi)有特殊的字段指明？ 我看了 mysql 協(xié)議， 沒(méi)看出什么來(lái).
謝謝。

phphp

對(duì)于新建請(qǐng)求，TCP三次握手后是服務(wù)端（mysqld）主動(dòng)給客戶端發(fā)送握手包，其中就包含mysql版本串（如mysql-5.1.58），可用這個(gè)做為特征。

1. Handshake Initialization Packet
   
2. From server to client during initial handshake. The follow is taken from sql/sql_acl.cc:
   
3. Bytes                        Name
   
4. -----                        ----
   
5. 1                            protocol_version
   
6. n (Null-Terminated String)   server_version//看這里
   
7. 4                            thread_id
   
8. 8                            scramble_buff
   
9. 1                            (filler) always 0x00
   
10. 2                            server_capabilities
    
11. 1                            server_language
    
12. 2                            server_status
    
13. 2                            server capabilities (two upper bytes)
    
14. 1                            length of the scramble
    
15. 10                            (filler)  always 0
    
16. n                            rest of the plugin provided data (at least 12 bytes)
    
17. 1                            \0 byte, terminating the second part of a scramble
    

復(fù)制代碼

對(duì)于已有連接上的包，可嘗試用mysql協(xié)議去翻譯，能正確識(shí)別就是mysql數(shù)據(jù)包。

參考：http://forge.mysql.com/wiki/MySQL_Internals_ClientServer_Protocol