实验二网络抓包及协议分析实验

合集下载

实验二用 Wireshark 进行协议分析

实验二用Wireshark 进行协议分析一．分组及实验任务组长：，组员：由于本次试验不需要合作，所以每个人的任务都一样。

任务：1. 学习协议分析软件Wireshark 的使用。

2. 分析以太网帧格式。

3. 分析IP、ICMP、ARP 数据包格式。

二．实验环境1.以太网交换机1 台、PC 机2 台；2.实验拓扑如下：三．实验过程在命令行界面执行命令ping，在Wireshark选项界面的Capture option 中设置过滤规则：“ether proto0x0806”，界面出现了arp request和arp reply的包；设置过滤规则：”ip proto 1 “,界面出现了ICMP request 和ICMP reply 的包；设置过滤规则：“ether proto 0x0806 or ip proto 1”后，界面出现了ARP和ICMP的request包以及reply包。

四．问题解答1. 抓取一对ARP 包（包括ARP request 和ARP reply ），分析以太网帧头的字段。

解：下图是做实验时用软件抓到的ARP包：以太网首部：目的主机采用的是广播地址00:21:97:29:44，源主机的MAC地址是00:21:97:29:80:50;上层协议类型0x0806代表ARP2. 抓取一对封装ICMP 报文的IP 数据报（包括echo 和echo reply ），然后1) 找到两个ICMP 报文中的类型（type）和代码（code ）字段，2) 分析其中一个IP 数据报的首部字段值，3) 并计算首部校验和。

解：1）：这是一个ICMP回应请求报文，报文类型为08，代码字段为00这是一个ICMP回应应答报文，报文类型为00，代码字段为002）：ICMP回应请求报文中IP数据报的首部字段为：45:00:00:3c:a4:2a:00:00:80:01:13:62:c0:98:01:03:c0:98:01:01第一个字节“45”高四位为“4”，代表IP协议的版本为4，低四位为“5”，代表该IP数据报的首部长度为20个字节；第二个字节为“00”，为区分服务；第三、四个字节为“003c”，表示该IP数据报的总长度为60字节（3x16+12=60）；第五六字节为“a42a”,为标识字段；第七八字节为“0000”，前三位为标志字段，表示该数据报为若干数据报片中的最后一个，在这代表只有一个数据报，不存在分片；后十三位为片偏移字段，在这没有意义；第九个字节为“80”，表示生存时间；第十个字节为“01”，表用来示该数据报携带的数据使用的何种协议，在这表示使用的是UDP协议；第十一十二字节为“13 62”,为首部检验和；第十三至第十六字节为“c0 98 01 03”,表示源地址；第十七至第二十字节为“c0 98 01 01”,表示目的地址；3）：数据报首部反码算术求和二进制表示为0011011100111001,取反码为1100100011000110;即首部校验和为1100100011000110；五．实验总结本次试验主要要求我们熟悉wireshark软件，难度不是很大，我们很快就做完了，再结合课堂上学习到的知识，思考题也迎刃而解。

实验2 网络数据包的监听与分析(参考答案)

实验2 网络数据包的监听与分析一实验目的1.掌握使用Wireshark软件监听和捕获网络数据包。

2.掌握通过实际观察网络数据进行分析而了解网络协议运行情况。

二实验要求1.设备要求：计算机若干台（装有Windows 2000/XP/2003操作系统、装有网卡），局域网环境，主机装有Wireshark工具。

2.每组1人，独立完成。

三实验预备知识1.Wireshark简介Wireshark是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析软件之一，支持Linux和Windows平台，支持500多种协议分析。

网络分析系统首先依赖于一套捕捉网络数据包的函数库。

这套函数库工作在在网络分析系统模块的最底层。

作用是从网卡取得数据包或者根据过滤规则取出数据包的子集，再转交给上层分析模块。

从协议上说，这套函数库将一个数据包从链路层接收，将其还原至传输层以上，以供上层分析。

在Linux系统中，1992年Lawrence Berkeley Lab的Steven McCanne 和Van Jacobson提出了包过滤器，称之为BPF（BSD Packet Filter），设计了基于BPF的捕包函数库Libpcap。

在Window系统中，意大利人Fulvio Risso和Loris Degioanni提出并实现了Winpcap函数库，其实现思想来源于BPF。

2.Wireshark的简单操作方法安装Wireshark之前，需要安装Winpcap，安装过程比较简单。

安装完成后，启动Wireshark，如图2.1所示。

图2.1 启动Wireshark后的界面设置Capture选项。

选择“Capture”-“Options”，弹出“Capture Options”界面，设置完成后点击“Capture”而开始捕获数据，如图2.2所示。

图2.2 “Capture Options”界面在“Capture Options”界面中，主要选项如下：•“Interface”是要求选择在哪个接口（网卡）上抓包。

使用网络协议分析器捕捉和分析协议数据包

一、实验目的(1)熟悉ethereal的使用(2)验证各种协议数据包格式(3)学会捕捉并分析各种数据包。

二、使用仪器、器材WinXP、Ethereal软件三、实验内容及原理（1）安装ethereal软件（2）捕捉数据包，验证数据帧、IP数据报、TCP数据段的报文格式。

（3）捕捉并分析ARP报文。

（4）捕捉ping过程中的ICMP报文，分析结果各参数的意义。

（5）捕捉tracert过程中的ICMP报文，分析跟踪的路由器IP是哪个接口的。

（6）捕捉并分析TCP三次握手建立连接的过程。

（7）捕捉整个FTP工作工程的协议包对协议包进行分析说明，依据不同阶段的协议分析，画出FTP工作过程的示意图a.. 地址解析ARP协议执行过程b. FTP控制连接建立过程c . FTP 用户登录身份验证过程d. FTP 数据连接建立过程e. FTP数据传输过程f. FTP连接释放过程（包括数据连接和控制连接）（8）捕捉及研究WWW应用的协议报文，回答以下问题：a. .当访问某个主页时，从应用层到网络层，用到了哪些协议？b. 对于用户请求的百度主页（），客户端将接收到几个应答报文？具体是哪几个？假设从本地主机到该页面的往返时间是RTT，那么从请求该主页开始到浏览器上出现完整页面，一共经过多长时间？c. 两个存放在同一个服务器中的截然不同的Web页（例如，/index.jsp，和/cn/research/index.jsp可以在同一个持久的连接上发送吗？d. 假定一个超链接从一个万维网文档链接到另一个万维网文档，由于万维网文档上出现了差错而使超链接指向一个无效的计算机名，这时浏览器将向用户报告什么？e. 当点击一个万维网文档时，若该文档除了有文本外，还有一个本地.gif图像和两个远地.gif图像，那么需要建立几次TCP连接和有几个UDP过程？（9）捕捉ARP病毒包，分析ARP攻击机制。

（选做）（10）TCP采用了拥塞控制机制，事实上，TCP开始发送数据时，使用了慢启动。

实验二网络抓包实验

试验二、网络抓包试验试验目的：深入理解TCP/IP协议试验内容：使用网络嗅探器，抓取网络上的数据包，进行分析试验要求：分别抓取ARP包，ICMP包，IP包，TCP包，UDP包，HTTP包，DNS包等，分析其各层的头部。

试验步骤：1.打开抓包软件，在capture菜单下选择interfaces，弹出如图窗口，点击capture开始抓包，如图2.点击stop停止抓包，结果如图3.依次分析各种包的头部。

1)ARP包ARP包包括frame、Ethernet、address resolution protocol三部分内容，具体如下：上图显示的是该ARP包的目的地址和源地址。

上图显示的是该ARP包目的ip地址和Mac地址。

2)IP包Ip包由frame、Ethernet、Internet protocol三部分组成。

3)TCP包TCP包由frame、Ethernet、Internet protocol、transmission control protocol四部分组成。

4)UDP包Udp包由frame、Ethernet、Internet protocol、user datagram protocol四部分组成。

5)HTTP包HTTP包由frame、Ethernet、Internet protocol、transmission control protocol、hypertext transfer protocol、line-based text data六部分组成。

6)DNS包Dns包由frame、Ethernet、Internet protocol、user datagram protocol、domain name system五部分组成。

电子科大网络安全实验2Wireshark抓包分析实验完整分析

电⼦科⼤⽹络安全实验2Wireshark抓包分析实验完整分析实验2 Wireshark抓包分析实验⼀、实验原理TCP三次握⼿准则介绍TCP是因特⽹中的传输层协议，使⽤三次握⼿协议建⽴连接。

当主动⽅发出SYN连接请求后，等待对⽅回答SYN，ACK。

这种建⽴连接的⽅法可以防⽌产⽣错误的连接，TCP使⽤的流量控制协议是可变⼤⼩的滑动窗⼝协议。

第⼀次握⼿：建⽴连接时，客户端发送SYN包(SEQ=x)到服务器，并进⼊SYN_SEND状态，等待服务器确认。

第⼆次握⼿：服务器收到SYN包，必须确认客户的SYN(ACK=x+1),同时⾃⼰也送⼀个SYN包(SEQ=y),即SYN+ACK包，此时服务器进⼊SYN_RECV状态。

第三次握⼿：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1),此包发送完毕，客户端和服务器进⼊Established状态，完成三次握⼿。

HTTP协议介绍HTTP协议⽤于在Internet上发送和接收消息。

HTTP协议是⼀种请求-应答式的协议 ——客户端发送⼀个请求，服务器返回该请求的应答，所有的请求与应答都是HTTP包。

HTTP协议使⽤可靠的TCP 连接，默认端⼝是80。

HTTP的第⼀个版本是HTTP/0.9，后来发展到了HTTP/1.0，现在最新的版本是HTTP/1.1。

HTTP/1.1由RFC 2616 定义。

⼆、实验⽬的1、了解并会初步使⽤Wireshark，能在所⽤电脑上进⾏抓包。

2、了解IP数据包格式，能应⽤该软件分析数据包格式。

3、了解HTTP请求中的三次握⼿准则，并能利⽤该软件对该过程进⾏简要分析。

三、实验内容（1）安装wireshark软件，并使⽤该软件捕获HTTP请求中的报⽂，分析该过程中TCP建⽴连接的握⼿过程以及报头各字段的含义，记录实验结果和数据。

（2）尝试利⽤wireshark软件捕获Ping请求中的报⽂，并分析报⽂中各字段的含义，记录实验结果和数据。

网络数据包协议分析实验

网络数据包协议分析实验一、实验内容掌握Ethereal的基本使用方法，利用Ethereal捕获ICMP，TCP协议数据包，并对其进行分析。

掌握ICMP，TCP协议数据包头部各个数据位的意义。

加深对ICMP，TCP 协议原理的理解。

二、实验步骤1Ethereal的使用安装好Ethereal，然后开始捕获数据包。

选择菜单上的Capture->Interfaces，如图选择好网卡点击Capture，如图正在抓包点击Stop然后主界面得到抓包情况如图：随便选取一个包进行分析即可。

2ICMP协议进入dos界面使用Ping命令，过程中会有ICMP包传输，这时打开Ethereal的抓包工具进行抓包即可。

如图：Ethereal抓到的包如图分析：随便选择一个数据包，然后中间的窗口如图显示分成四层，物理层，MAC层，网络层，ICMP协议。

下面逐步分解：如下图为物理层：显示包的大小为74字节，捕获74字节，包括到达时间，包序号，整个包包含的协议层为eth,ip,icmp，还有数据。

如下图为MAC层：主要信息有MAC层的MAC源地址，目的地址，可以看出地址为6字节48位，还说明了上层协议。

如下图为网络层：分析可知，网络层IP协议层包括版本号（IPV4），首部长度，服务类型，数据长度，标识，标志，寿命，还有上层协议为ICMP。

如下图为ICMP协议：首先是服务类型（请求包），代码号，检验和（正确），标识，序列号，数据。

问题回答：1 What is the IP address of your host? What is the IP address of the destinationhost?答：由网络层分析可知本机IP为1222074915，目的主机IP为1222074913 如图2 Why is it that an ICMP packet does not have source and destination portnumbers?答：它是一种差错和控制报文协议，不仅用于传输差错报文，还传输控制报文。

网络抓包及网络命令实验报告

实验报告题目网络抓包及网络命令实验报告学院专业班级学号学生姓名成绩指导教师完成日期网络工具应用实践实验报告1.实验概要通过使用软件Wireshark抓取网络上的数据包，并作相应分析。

2.实验环境硬件：台式笔记本或Pc、网卡、网络环境。

软件：Windows xp sp3及Windows 7、8。

3.实验目的了解网络抓包的意义，学习并了解使用网络抓包Wiresh 。

对互联网进行数据抓包；了解网络抓包的相关协议。

4.实验要求合理地使用电脑进行数据分析，提高自身对网络的安全意识。

5.实验环境搭建安装Wireshark软件，Wireshark的安装非常简单，只需按照步骤即可。

并且要求电脑具有上网的环境。

6.实验内容及步骤（1）安装Wireshark，简单描述安装步骤。

（2）打开wireshark，选择接口选项列表。

或单击“Capture”，配置“option”选项。

（3）设置完成后，点击“start”开始抓包，显示结果。

（4）选择某一行抓包结果，双击查看此数据包具体结构。

（5）捕捉TCP数据报。

a.写出TCP数据报的格式。

b.捕捉TCP数据报的格式图例。

针对每一个域所代表的含义进行解释。

7.实验过程及结果分析安装Wireshark软件，安装过程如下（如图1-1——1-3）：图1-1图1-2图1-3安装完毕。

打开软件，界面如图1-4：图1-4：打开软解截面图选中Start下的以太网，点击Start就可以捕获以太网上的数据包了。

流量如图1-5：图1-5：流量截图选择某一行抓包结果，双击查看数据属性，如图1-6：图1-6：数据属性截图(4)捕捉到的TCP信息如图1-7：图1-8：TPC信息截图由图可知这个TCP信息如下：Host: 来自Professorlee的新浪博客User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:23.0) Gecko/20100101 Firefox/23.0HTTP/1.1 200 OKServer: nginx/1.2.8Date: Thu, 12 Sep 2013 12:37:01 GMTContent-Type: application/x-javascriptLast-Modified: Thu, 12 Sep 2013 09:51:17 GMTTransfer-Encoding: chunkedConnection: keep-aliveVary: Accept-EncodingExpires: Thu, 12 Sep 2013 12:37:31 GMTCache-Control: max-age=30X-debug: 114.80.223.58Content-Encoding: gzip8.网络抓包相关网络协议TCP/IP协议不是TCP和IP这两个协议的合称，而是指因特网整个TCP/IP协议族。

Wireshark抓包工具计算机网络实验

Wireshark抓包⼯具计算机⽹络实验实验⼀ Wireshark 使⽤⼀、实验⽬的1、熟悉并掌握Wireshark 的基本使⽤；2、了解⽹络协议实体间进⾏交互以及报⽂交换的情况。

⼆、实验环境与因特⽹连接的计算机，操作系统为Windows ，安装有Wireshark 、IE 等软件。

三、预备知识要深⼊理解⽹络协议，需要观察它们的⼯作过程并使⽤它们，即观察两个协议实体之间交换的报⽂序列，探究协议操作的细节，使协议实体执⾏某些动作，观察这些动作及其影响。

这种观察可以在仿真环境下或在因特⽹这样的真实⽹络环境中完成。

Wireshark 是⼀种可以运⾏在Windows, UNIX, Linux 等操作系统上的分组嗅探器，是⼀个开源免费软件，可以从/doc/d2530113af45b307e871976b.html 下载。

运⾏Wireshark 程序时，其图形⽤户界⾯如图2所⽰。

最初，各窗⼝中并⽆数据显⽰。

Wireshark 的界⾯主要有五个组成部分：图1命令和菜单协议筛选框捕获分组列表选定分组⾸部明细分组内容左：⼗六进制右：ASCII 码●命令菜单（command menus）：命令菜单位于窗⼝的最顶部，是标准的下拉式菜单。

●协议筛选框（display filter specification）：在该处填写某种协议的名称，Wireshark 据此对分组列表窗⼝中的分组进⾏过滤，只显⽰你需要的分组。

●捕获分组列表（listing of captured packets）：按⾏显⽰已被捕获的分组内容，其中包括：分组序号、捕获时间、源地址和⽬的地址、协议类型、协议信息说明。

单击某⼀列的列名，可以使分组列表按指定列排序。

其中，协议类型是发送或接收分组的最⾼层协议的类型。

●分组⾸部明细（details of selected packet header）：显⽰捕获分组列表窗⼝中被选中分组的⾸部详细信息。

包括该分组的各个层次的⾸部信息，需要查看哪层信息，双击对应层次或单击该层最前⾯的“＋”即可。

A实验二协议分析软件基础实验指导

实验二协议分析软件基础（实验指导）一、实验目的1.掌握如何利用协议分析工具分析IP数据报报文格式，体会数据报发送、转发的过程。

在学习的过程中可以直观地看到数据的具体传输过程。

通过分析截获TCP报文首部信息，理解首部中的序号、确认号等字段是TCP 可靠连接的基础。

通过分析TCP连接的三次握手建立和释放过程，理解TCP 连接建立和释放机制。

．进一步熟悉Wireshark软件的使用方法；2．利用Wireshark（Ethereal）抓包；3．对抓取到的包进行分析，通过分析巩固对Ethernet II 封包、ARP 分组及IP、ICMP 数据包的认识。

二、实验内容和要求1.学习协议分析工具Wireshark（Ethereal）的基本使用方法；2.利用Wireshark（Ethereal）进行IP数据报报文的抓取；3.对抓取到的数据报文进行分析，体会数据报发送、转发的过程。

三、实验主要仪器设备和材料PC机，Windows；Wireshark软件四、实验方法、步骤及结果测试1． ping 命令网络数据包的跟踪1）首先运行Wireshark（Ethereal），在菜单Capture 下点击Interfaces，选取要抓包的网卡，这里选取地址为，如图1.1：图1.1 选择抓取数据包网卡2）之后在主操作系统中命令行界面使用ping ，来ping 163的网站。

如图1.2所示；图1.2 Ping 网易的网站地址3）如图1.3所示，Wireshark抓取了很多的网络数据包，从图1.3可见包括SSDP广播包、ARP、DNS、ICMP等类型的数据包。

图1.3 Wireshark抓取到的网络数据包4)在刚才的Ping命令中主要包含了两种数据包：DNS、ICMP，为了分析刚才的ping 命令，我们需要进一步对数据包进行过滤处理，以确定该命令所产生的具体的网络数据包，并对这些数据包进行进一步的分析。

我们可以在图1.4所示的椭圆标记的输入框中输入合适的过滤条件就可以准确地将特定的网络数据包过滤出来，图1.4所过滤出来的就是，刚才Ping命令所产生的2个DNS数据包和8个ICMP数据包。

网络抓包实验报告

实验二网络抓包——sniffer pro的使用实验报告实验目的：了解网络嗅探的原理；掌握Sniffer Pro嗅探器的使用方法；实验步骤：任务一熟悉Sniffer Pro工具的使用：络适配器进行镜像，此时正确选择接入网络的网卡，这样sniffer pro才可以把网卡设置为混杂模式，以接收在网络上传输的数据包:Sniffer Pro运行后的主界面:网络监视面板:捕获数据包窗口:专家分析系统提供了一个智能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。

解码分析:对捕获报文进行解码，窗口分为三部分，第一部分时捕捉到的数据包列表，每一行代表一个数据包；第二部分是针对第一部分被选取数据包加以分析的结果；第三部分则是第一部分被选取数据包的原始内容。

过滤规则定义:①“address”是最常用的定义。

其中包括MAC地址、ip地址和ipx地址的定义。

以定义IP地址过滤为例，如下图所示：②“advanced”定义捕获的相关协议的数据包。

如图所示：③“buffer”定义捕获数据包的缓冲区。

如图所示：④最后，需将定义的过滤规则应用于捕获中，在主界面选择任务二捕获HTTP数据包并分析：1.定义过滤的地址规则：2.定义过滤的协议规则：3.开始捕获主机的有关HTTP协议的数据包：4. 开始捕捉之后，显示捕捉的Packet的数量：5. 主机登陆一个Web站点，并输入自己的邮箱地址和密码。

按钮，停止抓包，系统自动打开捕获数据包窗口。

析捕获的数据包。

8. 通过报文解码窗口分析TCP和IP包头结构:由图可知：本机无线局域网物理地址为00-25-D3-BC-32-55，IP地址为10.10.173.156。

10.10.173.156，总计1462个字节。

前六个字节为目的主机（本机）的MAC地址，两个字节规定数据进入网络层使用的协议类型为IP协议，TCP报头结构：IP报头结构：思考：本实验是在交换式环境下进行的，因此抓获的数据包具有什么特点？如果在共享式环境下进行抓获的数据包又有什么特点？交换式网络只能抓到本机收到或者发出的数据包，以及广播中的数据包共享式网络以广播方式发送数据包的形式使得任何网络接收设备都可接收到所有正在传送的通讯数据, 不过只将判断为应该接收的数据包传给上层应用程序处理。

网络抓包分析实验报告(HTTP)

网络抓包分析实验报告一：实验目的：1.学习使用网络数据抓包软件Ethereal，对互连网进行数据抓包，巩固对所学知识的理解二：实验内容：1：分析http协议请求的响应过程。

2：分析TCP的处理过程，HTTP，TCp的报文格式。

三：实验工具Wireshark抓包软件四：实验步骤1、安装Wireshark，简单描述安装步骤。

2、打开wireshark，选择接口选项列表。

或单击“Capture”，配置“option”选项。

3、设置完成后，点击“start”开始抓包，显示结果。

4、选择某一行抓包结果，双击查看此数据包具体结构五：分析1：http请求报文分析（第8个包）请求行：方法字段：GET，版本是http/1.1.首部行：主机host：；Connection：Keep-Alive，即保持持久连接；Accept-language：zh-cn，即接收语言是中文。

2．http响应报文（第55个包）状态行：http/1.1 200 OK；请求成功。

首部行：响应Date：sat，21，Apr 2012 04:58:18 GMT;Content-Type：text/html 指示实体主体中的对象是text/html文本；Content-Length：35593 表明了被发送对象的字节数是35593个字节。

:3：TCP报文格式分析：报文格式：如截图可知：源端口号：80，目的端口号3968，序号：1，确认号：424，首部长度：20 bytes，Flags=0X10（URG=0，ACK=1，PSH=0，RST=0，SYN=0，FIN=0）接收窗口大小：65112；检验和：0x8a44。

4：TCP响应（3次握手）分析：1）服务器应用启动,进入LISTEN状态；2）客户端向服务器端发送一个TCP报文段，该段设置SYN标识，请求跟服务器端应用同步，之后进入SYN-SENT状态，等待服务器端的响应；（第5个包）3）服务器端应用收到客户端的SYN 段之后，发送一个TCP段响应客户端，该段设置SYN和ACK标识，告知客户端自己接受它的同步请求，同时请求跟客户端同步。

实验2 网络协议TCP-IP分析

实验2 网络协议TCP/IP分析了解Sniffer Pro相关协议和网络分析程序是开始进行分析时必须要进行的内容。

通过本次实验向同学们解释如何使用Sniffer Pro这个工具来监控网络程序，使你可以初步了解如何用Sniffer Pro来进行网络和协议分析。

2.1.1 开始与停止捕获过程捕获数据的机制相对比较简单，所有需要做的就是进行实际的分析。

在解释要查找什么、分析什么以及分析过程的细节。

1．首先，打开Sniffer Pro程序，如果系统要求的话，还要选择一个适配器。

打开了程序后，会看到图2.1中的屏幕。

图2.1 浏览Sniffer Pro程序2．打开Sniffer Pro程序后，选择Capture（捕获）－Start（开始），或者使用F10键，或者是工具栏上的开始箭头（通过这次实验，大家应该非常了解这个菜单结构了）。

因为捕获过程需要几分钟才能完成，这时我们可以先了解如何自定义Sniffer Pro高级与捕获窗口，这样后面就可以节省一点时间。

3．下面，在Sniffer Pro程序中，会看到高级系统被自动调用，如图2.2所示。

打开这个窗口后，不会看到任何东西，除非停止捕获过程才可以查看内容。

让捕获过程持续运行一段时间，这时可以自定义高级系统，这样就能实时地看到不断出现的问题。

4．浏览图2.2中的屏幕。

高级窗口这时会滚动到窗口左边，只能看到工具栏，而没有任何详细资料。

如果要查看详细资料，就要找到高级窗口对话框左上角的箭头，这个箭头在“层次”这个词的右边。

单击这个箭头后，会显示出高级功能的另一部分窗口，如图2.3所示。

图2.2 开始捕获过程时调用高级系统这里有很多内容，不要急于了解所有这些内容。

后面学习中再解释所有的Sniffer Pro的高级功能。

现在，你只需要了解如何进行基本的捕获过程。

在掌握了“怎样”这个问题后，就可以接着去了解“什么”和“为什么”的问题。

5．你可以看到我们能自定义Sniffer Pro程序用于将来的捕获过程，所以我们在下面要对如何使用高级功能进行分析。

Wireshark抓包分析实验

实验Wireshark抓包分析实验一、实验目的1、了解并会初步使用Wireshark，能在所用电脑上进行抓包2、了解IP数据包格式，能应用该软件分析数据包格式3、查看一个抓到的包的内容，并分析对应的IP数据包格式4、学会使用nslookup工具查询并分析Internet 域名信息或诊断DNS 服务器。

5、会用wireshark分析DNS协议。

对DNS协议有个全面的学习与了解。

二、实训器材1、接入Internet的计算机主机；2、抓包工具WireShark。

三、实验内容（一）IP包分析实验1、打开wireshark，选择接口选项列表。

或单击“Capture”，配置“option”选项。

2、设置完成后，点击“start”开始抓包，显示结果。

3、选择某一行抓包结果，双击查看此数据包具体结构。

4、查看IP数据报。

[1]写出IP数据报的格式。

[2]捕捉IP数据报的格式图例。

[3]记录IP数据报包的所有域，针对每一个域所代表的含义进行解释。

（二）DNS协议分析实验1、启动WireShark，并开始抓包。

2、在命令行运行nslookup 发现成都大学或其他单位官方DNS服务器。

nslookup /3、停止抓包4、显示过滤DNS包，查看其请求包和响应包的运输层协议是UDP 还是TCP，DNS请求包的目的端口及DNS响应包的源端口号分别是多少，DNS 请求包是发往哪个地址的，用ipconfig查看你的本地DNS服务器的IP地址，判断它们是否相同。

5、查看接下来你的主机发出的一些TCP SYN 包，其中的目的IP地址是否有刚才DNS应答包中的IP地址?Wireshark抓包分析实验报告一．实验目的1.了解并初步使用Wireshark，能在所用电脑上进行抓包。

2.了解IP数据包格式，能应用该软件分析数据包格式。

3.查看一个抓到的包的内容，并分析对应的IP数据包格式。

4.学会使用nslookup工具查询并分析Internet 域名信息或诊断DNS 服务器。

实验二网络协议分析

实验二网络协议分析一、实验目的1.了解协议分析软件的功能和特点。

2.学会使用Iris进行网络数据包捕获。

3.学会使用ipconfig命令查看主机的IP地址。

4.学会使用Ping命令判断网络的连通性。

5.学会使用过滤有选择的捕获所需要的数据包。

6.学会基本的数据包分析。

7.学会使用ping的重要参数。

8.通过使用协议分析软件掌握ICMP(因特网控制报文协议)的工作过程。

二、实验环境小型局域网，运行Windows XP操作系统的PC机，协议分析软件Iris。

三、实验原理局域网，位于同一个物理网络，如果正确的配置两台主机的IP地址，即可使用ping 命令测试两台主机的连通性。

Ping 使用了IP 协议中的ICMP 协议，用于判断两台主机的连通性。

如果两台主机能互相Ping通则说明这两台主机的在物理层、数据链路层和网络层能正常通信。

网络协议分析软件又称为网络嗅探器，主要的作用是捕获所有流入和流出网卡的数据包，并对捕获的包进行已知协议的解析。

对于网络管理员来说，网络协议分析软件有助于了解网络通信情况，诊断网络通信故障。

对于网络初学者来说，网络协议分析软件有助于加深网络各种协议的理解，使网络协议的学习更直观。

常见的网络协议分析软件有Sniffer pro,Iris和Wireshark等，其中Sniffer pro适用于专业的网络管理员，其特点在于功能强大，专业性强。

Iris和Wireshark的特点是简单易用，适合网络学习者用于学习网络协议。

Wireshark属于开源免费软件，其功能的扩展性更好。

本实验使用Iris作为协议分析工具。

四、实验步骤1.观察实验室拓扑结构，检查相应设备是否连接好。

2.配置主机的IP 地址。

具体的配置方法是：选择开始菜单-设置-控制面板-网络连接。

打开网络连接对话框，如图所示：右键选择需要配置IP地址的网卡，选择属性，进入网卡的属性配置对话框。

如图所示：选择Internet协议(TCP/IP),点击属性按钮，进入IP地址配置对话框，如图所示：（此处已选择了自动获取）在IP地址编辑区输入IP地址和子网掩码，本实验不需要输入网关地址和DNS地址，点击确定，IP 地址配置完成。

实验二 WireShark(Ethereal)抓包实验

WireShark的安装很简单，安装过程中会提示安装WinPcap，一切都按默认设置即可。
10
10
（二）捕获数据包的一般操作
步骤 01 启动Wireshark，显示图2-1所示的主界面。
图2-1 启动Wireshark
11
11
（二）捕获数据包的一般操作
步骤 02
首先设置捕获参数。选择“Capture”（捕获）菜单中的“Options”（选项）命令，打开“Capture Option”（捕获选项）对话框。“Capture Option”对话框显示了多项设置和过滤器，用于确定捕获的数据通信类型及数量等，如图2-2所示。
即“途经”该网卡但不发往该计算机的数据包）。
13
13
（二）捕获数据包的一般操作
步骤 05 步骤 06
“Capture”设置区的“Capture Filter”栏用来设置是抓包过虑，除非需要过虑特定的数据包，否则一般情况下可以保持默认设置，即留空。单击“Start”（开始）按钮即可开始数据包捕获。图2-3所示为开启捕获后的Wireshark的主显示窗口，主要有五个组Байду номын сангаас部分。
与上一次显示帧的时间间隔
帧号为6 捕获长度为74字节
与上一次被捕获帧的时间间隔
与参考帧或第1帧的时间间隔帧长为74字节帧不会被忽略
帧没有被标记
图2-7 物理层数据帧概况
帧内封装的协议层次结构被着色字符串为icmp， icmpv6
19
被着色规则名称为ICMP
19
（三）ping PDU数据的捕获和分析
菜单和工具命令协议筛选数据包列表
数据包首部明细数据包内容
14 图2-3 开启捕获后的主显示窗口

网络协议分析 Wireshark 抓包实验

跟踪210.以及利用专家分析系统诊断问题的过程。 5. 实时监控网络活动，并收集网络利用率、错误等信息。 6. 针对感兴趣的层次协议进行解码分析。如DLC对应链路层，IP对应网络层，UDP对应传输
层，RTP对应应用层高层协议等。 4、端口扫描数据捕获与分析
分析：
IP：源ip地址：66.249.89.99 目的ip地址：210.31.40.191 IP协议版本：4 头部长度：20字节 TTL值为254，可判断目的主机操作系统为windows 版本：4 总长度：558 变时：0×f74a 协议：TCP（6）头部校验和：源地址：66.249.89.99 目的地址：210.31.40.191 TCP：源端口：http(80) 目的端口：tcoaddressbook(1977) 序列号:11681 下一相关序列号：12644 Ack号：519 头部长度：20字节窗口大小：9789
用协议分析仪分析协议的方法。 2. 了解Ping命令的工作过程； 3. 了解FTP协议的工作过程。
二、实验前的准备
熟悉Ping命令，FTP协议；了解协议分析仪的功能和工作原理；了解Wireshark或Sniffer分析仪的使用方法；阅读本实验的阅读文献；
三、实验内容要求
学习捕获选项的设置和使用。使用Wireshark或Sniffer分析仪捕获一段Ping命令的数据流，并分析其工作过程。设置显示过滤器，以显示所选部分的捕获数据。完成网络监视功能测试；实现数据报文解码分析。保存捕获的数据，分别是TEXT文件和XML文件。
分析：
IP：源ip地址：210.31.40.191 目的ip地址：210.31.32.5 IP协议版本：4 头部长度：20字节 TTL值为128 版本：4 总长度：40 变时：0×f6b4 协议：TCP（6）头部校验和：源地址：210.31.40.191 TCP：源端口：drp(1974) 目的端口：ftp(21) 序列号:128 下一相关序列号：546 Ack号：127 头部长度：20字节窗口大小：64991

实验二网络抓包及协议分析软件使用说明

实验二网络抓包及协议分析软件使用说明⏹目的及意义：利用网络协议分析工具Ethereal截获网络中传送的数据包，通过观察分析，从而了解和认识（理解）协议的运行机制。

⏹下载与安装：在Windows下安装Ethereal,可从下载安装软件，然后执行安装。

Ethereal 在0.10.12版本后都内置了Winpcap,如没内置的Winpcap，可先安装Winpcap。

有关Winpcap的详细信息可参考。

一．实验目的：1．了解抓包与协议分析软件的简单使用方法。

2．了解并验证网络上数据包的基本结构。

二．实验环境1．硬件：PC、配备网卡，局域网环境。

2．软件：Windows 2000或者XP操作系统、winpcap、analyzer。

三．实验内容利用Ethereal软件抓取网络上的数据包，并作相应分析。

四．实验范例（1）安装Etheral的安装非常简单，只要按照提示安装即可。

（2）运行双击桌面的Ethereal，显示“The Ethereal Network Analyzer”的主界面，菜单的功能是：（3）设置规则这里有两种方式可以设置规则：●使用interface1）选择Capture—>interfaces，将显示该主机的所有网络接口和所有流经的数据包，单击“Capture”按钮，及执行捕获。

2）如果要修改捕获过程中的参数，可以单击该接口对应的“Prepare”按钮。

在捕获选项对话框中，可以进一步设置捕获条件：●Interface——确定所选择的网络接口●Limit each packet to N bytes——指定所捕获包的字节数。

选择该项是为了节省空间，只捕获包头，在包头中已经拥有要分析的信息。

●Capture packet in promiscuous mode——设置成混杂模式。

在该模式下，可以记录所有的分组，包括目的地址非本机的分组。

●Capture Filter——指定过滤规则有关过滤规则请查阅以下使用Filter方式中的内容。

实验二网络抓包及协议分析软件使用说明

实验二网络抓包及协议分析软件使用说明⏹目的及意义：利用网络协议分析工具截获网络中传送的数据包，通过观察分析，从而了解和认识（理解）协议的运行机制。

⏹下载与安装：在下安装,可从下载安装软件，然后执行安装。

在0.10.12版本后都内置了,如没内置的，可先安装。

有关的详细信息可参考。

一．实验目的：．了解抓包与协议分析软件的简单使用方法。

．了解并验证网络上数据包的基本结构。

二．实验环境．硬件：、配备网卡，局域网环境。

．软件：或者操作系统、、。

三．实验内容利用软件抓取网络上的数据包，并作相应分析。

四．实验范例（1）安装的安装非常简单，只要按照提示安装即可。

（2）运行双击桌面的，显示“”的主界面，菜单的功能是：（3）设置规则这里有两种方式可以设置规则：●使用1）选择—>，将显示该主机的所有网络接口和所有流经的数据包，单击“”按钮，及执行捕获。

2）如果要修改捕获过程中的参数，可以单击该接口对应的“”按钮。

在捕获选项对话框中，可以进一步设置捕获条件：●——确定所选择的网络接口●——指定所捕获包的字节数。

选择该项是为了节省空间，只捕获包头，在包头中已经拥有要分析的信息。

●——设置成混杂模式。

在该模式下，可以记录所有的分组，包括目的地址非本机的分组。

●——指定过滤规则有关过滤规则请查阅以下使用方式中的内容。

●——指定捕获结果存放位置●——实时更新分组每个新分组会随时在显示结果中出现，但在重网络流量时会出现丢包现象。

●——设置停止跟踪的时间如捕获到一定数量的分组（…）、跟踪记录达到一定的大小(…)或在一个特定的时间后(…)。

●——设置名字解析如启用地址转换（），可以将地址转换成厂商、网络地址转换( )，可以将地址转换成主机名、传输名字转换( )，可以将端口号翻译成协议，但在重网络流量时会出现丢包现象。

3）设定完毕后，单击“”按钮将按照新设定的条件执行捕获。

●使用1）选择—> ，显示过滤器对话框，该过滤器可以过滤掉不感兴趣的数据包，使捕获的结果减少。