计算机网络实验八 Sniffer Pro数据包捕获与协议分析汇编
指导手册-SnifferPro 数据包捕获与协议分析
网络分析工具Sniffer Pro一、训练目标1、了解常用网络分析工具2、会使用网络分析工具Sniffer Pro二、实训环境要求利用VMware软件虚拟出一台计算机（称为“虚拟机”或“虚拟系统”），与物理机组成一个最小的网络实验环境，作为网络攻击的目标计算机，物理机作为实施网络攻击的主机。
建议安装方式：在XP系统中，安装虚拟的windows2003/2000 Server系统三、实训内容任务1：网络分析工具Sniffer Pro的使用Sniffer Pro是一种很好的网络分析程序，允许管理员逐个数据包查看通过网络的实际数据，从而了解网络的实际运行情况。
它具有以下特点：1. 可以解码至少450种协议。
除了IP、IPX和其它一些“标准”协议外，Sniffer Pro还可以解码分析很多由厂商自己开发或者使用的专门协议，比如思科VLAN中继协议(ISL)。
2. 支持主要的局域网(LAN)、城域网(WAN)等网络技术(包括高速与超高速以太网、令牌环、802.11b无线网、SONET传递的数据包、T-1、帧延迟和ATM)。
3. 提供在位和字节水平上过滤数据包的能力。
4. 提供对网络问题的高级分析和诊断，并推荐应该采取的正确措施。
5. Switch Expert可以提供从各种网络交换机查询统计结果的功能。
6. 网络流量生成器能够以千兆的速度运行。
7. 可以离线捕获数据，如捕获帧。
因为帧通常都是用8位的分界数组来校准，所以SnifferPro只能以字节为单位捕获数据。
但过滤器在位或者字节水平都可以定义。
需要注意的是，使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。
如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。
因此，网络中捕获的流量越多，Sniffer系统就应该运行得更快、功能更强。
利用Sniffer软件进行网络协议分析
6、查看具体内容。
(三)请同学们分别监测及分析 Telnet、HTTP、ARP 等，并分析 TCP 协议连接建 立、传输、关闭的过程。并将结果反应到实验报告中。 五、思考题
(1)Sniffer 软件如何分析网络流量异常？ (2)Sniffer 此类软件对 Hub 组件的局域网带来什么安全问题？
三、实验步骤： (一)Sniffer 软件的使用
1、打开 Sniffer 软件，选择具体的网卡型号。
2、报文捕获工具栏介绍。
捕获条件 编辑
选择捕获 条件
捕获开始 捕获暂停
捕获停止
捕获停止 并查看
捕获查看
3、捕获报文查看
专家分析 系统
专家分析 系统
捕获报文的 图形分析
捕获报文的其他 统计信息
双击此记录可以 查看详细信息
2、点击 “开始”按钮，进行监听。 3、监听到报文后的界面。选择左侧的 Object，查看其内容。
4 如果监听到满足要求的协议比如 HTTP 协议、比如 Telnet 等协议则单击 F9 或 者 CaptureStop and Play 菜单。
5、选择符合要求的协议，然后点击下面的”Decode”选项。
任意捕 获条件
编辑
协议捕 获编辑
缓冲区 编辑
基本捕获条件
链路层捕获 IP层捕获
链路层捕获 地址条件
数据流 方向
高级捕获条件 在“Advance”页面下，你可以编辑你的协议捕获条件，如图：
选择要捕 获的协议
捕获帧长 度条件
错误帧是 否捕获
保存过滤 规则条件
(二)网络监听。 1、点击“CaptuerDefile Filter”菜单，进行报文监听设置。
超级网络分析工具Sniffer Pro详解
目录基本的TCP/IP协议介绍(IP/TCP/UDP) 1超级网络分析工具Sniffer Pro详解 6TCP/IP网络数据报分析26使用Sniffer工具进行TCP/IP、ICMP数据包分析32TCP协议分析实验37基本的TCP/IP协议介绍(IP/TCP/UDP)IP/IPv4：网际协议IP/IPv4：网际协议（IP/IPv4：Internet Protocol）网际协议（IP）是一个网络层协议，它包含寻址信息和控制信息，可使数据包在网络中路由。
IP 协议是TCP/IP 协议族中的主要网络层协议，与TCP 协议结合组成整个因特网协议的核心协议。
IP 协议同样都适用于LAN 和WAN 通信。
IP 协议有两个基本任务：提供无连接的和最有效的数据包传送；提供数据包的分割及重组以支持不同最大传输单元大小的数据连接。
对于互联网络中IP 数据报的路由选择处理，有一套完善的IP 寻址方式。
每一个IP 地址都有其特定的组成但同时遵循基本格式。
IP 地址可以进行细分并可用于建立子网地址。
TCP/IP 网络中的每台计算机都被分配了一个唯一的32 位逻辑地址，这个地址分为两个主要部分：网络号和主机号。
网络号用以确认网络，如果该网络是因特网的一部分，其网络号必须由InterNIC 统一分配。
一个网络服务器供应商（ISP）可以从InterNIC 那里获得一块网络地址，按照需要自己分配地址空间。
主机号确认网络中的主机，它由本地网络管理员分配。
当你发送或接受数据时（例如，一封电子信函或网页），消息分成若干个块，也就是我们所说的“包”。
每个包既包含发送者的网络地址又包含接受者的地址。
由于消息被划分为大量的包，若需要，每个包都可以通过不同的网络路径发送出去。
包到达时的顺序不一定和发送顺序相同，IP 协议只用于发送包，而TCP 协议负责将其按正确顺序排列。
除了ARP 和RARP ，其它所有TCP/IP 族中的协议都是使用IP 传送主机与主机间的通信。
实验八--网络性能监测分析工具Sniffer捕获高层协议数据包并分析
实验八-网络性能监测分析工具Sniffer捕获高层协议数据包并分析实验目的: 使用Sniffer抓取ftp的数据报分析FTP的三次“握手”的过程。
分析FTP客户端和服务器端通信过程实验环境: Windows环境下常用的协议分析工具: sniffer 搭建Serv-U FTP Server, 在计算机上建立FTP服务器VMware虚拟机, 用虚拟机进行登录FTP。
实验内容和步骤:1. 建立网络环境。
用Serv-U FTP Server在计算机上建立一台FTP服务器, 设置IP地址为: 192.168.0.10。
在Serv-U FTP Server中已设定用户xyz, 密码123123。
（也可以自行设定其他帐号）2. 在此计算机上安装了sniffer。
3．启动该机器上的虚拟机作为一台FTP客户端, 设置IP地址为: 192.168.0.12。
4. 使用ping命令看是否连通。
记录结果。
5. 使用虚拟机登录FTP服务器。
6. 运行sniffer嗅探器, 并在虚拟机的“运行”中输入ftp://192.168.0.10, 点确定后出现如下图的登录窗口:在登录窗口中输入：用户名（xyz）, 密码（123123）使用sniffer抓包, 再在sniffer软件界面点击“stop and display”, 选择“Decode”选项, 完成FTP命令操作过程数据包的捕获。
8.在sniffer嗅探器软件上点击Objects可看到下图, 再点击“DECODE(反解码)。
记录FTP三次握手信息, 写出判断这三个数据包的依据（如syn及ack）。
记录端口信息等内容。
9．找出数据包中包含FTPUSER命令的数据包, 记录显示的用户名。
10．捕获用户发送PASS命令的数据包, 记录显示的密码。
11. 找出FTP服务器端与客户端端口20进行三次握手打开数据传输。
记录数据信息。
Sniffer Pro分析IP协议数据
实验二使用sniffer pro 分析IP 协议数据（一）实验目的Sniffer pro协议分析器能获取在同一网络内的所有数据流量，掌握sniffer pro的常用方法，能用sniffer分析器获取IP数据报，进行分析验证IP数据报格式。
（二）实验环境需要有sniffer pro的一个物理网络环境，sniffer pro可运行在局域网的任何一台主机上，如果是练习使用，网络最好接在用Hub且在一个子网上，这样能装到hub上每台机器传输的包（三）常用功能介绍1、Dashboard（网络流量表）在网络流量表中有三个表：①网络的使用率②网络每秒钟通过的包的数量③网络每秒的错误率2、Host table（主机列表）这里我们查看本网主机地址及连到外网的服务器地址。
3、Detail（协议列表）在此可以清楚的看到那台机器运行了哪些协议4、Bar流量表在该图中，显示的是整个网络中机器所用带宽前10名的情况。
可以按柱状图和饼图来显示。
5、Matrix(网络连接)绿线表示正在发生网络的连接，篮协表示过去发生的连接。
6、捕获报文查看Sniffer具有强大的分析能力和解码能力，对捕获的报文提供expert专家系统进行分析7、设置捕获条件基于捕获的条件有两种：①路层捕获②IP层捕获在Advanced条件下，我们还可以编辑协议捕获条件，如设置只捕获ICMP协议，还可以设置捕获的包的大小，包的类型等。
8.定义适配器为获取IP协议数据前，选择Capture菜单中的Defind Filter，选择图中ADDress项，在station和2中分别填写两台主机的IP地址，选择Advanced选项，选择IP/TCP，package size设置为Normal。
9.分析IP协议头信息4位的版本号4位的首部长度8位的服务类型16位的总长度16位的标识8位的生存时间8位的协议16位的首部检验和32位源IP地址和32位目的IP地址（四）实验步骤1、网络流量表在左边，我们可以选择索要显得信息，蓝线表示每秒通过的包的数目，绿线表示网络的使用率，红线表示错误率等2、查看主机列表在这里我们可以看见本网的主机以及连接到外网的主机。
sniffer pro数据包分析
、实验目的：1、理解协议分析仪的工作原理；2、学会使用Sniffer Pro捕获数据包；3、学会分析协议数据包。
二、实验设备硬件：PC机二台和交换机一台。
软件：作服务器的PC需安装Windows 2000 Server，另一台PC作客户机，可为Windows 2000/XP，并安装Sniffer Pro 4.7.5。
拓朴结构图：三、任务描述作为公司网络管理员需要熟悉网络协议，熟练使用协议分析仪。
使用协议分析仪，宏观上，可以进行统计以确定网络性能。
微观上，可以从数据包分析中了解协议的实现情况，是否存在网络攻击行为等，为制定安全策略及进行安全审计提供直接的依据。
四、实验内容和要求1、使用Sniffer Pro捕获数据包；2、定义过滤条件；3、分析数据包协议；4、截获HTTP网页内容（如手机号码）5、截获FTP客户名和密码。
五、实验步骤：1、设置IP地址：为了避免各组的IP地址发生冲突，各组将本组机的IP地址设为192.168.X.N，X为组号，N由组长指定，组内机要不相同。
服务器的IP地址： Sniffer Pro机的IP：2、新建文件夹和文件新建文件夹“D：\MyFTP”和文本文件：“test.txt”。
test.txt中的内容为：Hello, everybody! Miss you!3、新建本地用户：右击“我的电脑”—>“管理”—>“计算机管理” —>“用户”，新建用户FTPuser，密码为ftpXXXX，XXXX为班号+组号，如一班三组为：0103。
4、创建一个FTP站点：a）单击“开始”—》“程序”—》“管理工具”—》“Internet信息服务”，打开“Internet信息服务”管理工具。
b）右键单击“默认FTP站点”，选择“属性”，进入“默认FTP站点属性”设置界面。
c）修改主目录：在“本地路径”输入自己站点所在的文件夹“D:\MyFtp”。
d）设置客户对文件的操作类型（见上图），允许的操作有“读取”、“写入“和“日志”。
数据包捕获实验实验报告
我们在语言，界面，协议方面都充分考虑到了其可扩展性。所以，要在这个版本的基 础上开发新的版本相对来说还是不难的。这样可以很好的复用现在的代码。 5. 操作方便
实验报告
学生姓名：
学 号：
一、实验室名称：软件实验室
二、实验项目名称：数据包捕获实验
三、SnifferFox 工作原理：
软件首先把网卡设置为混杂模式，然后获得网卡接收到的数据，按 TCP/IP 协议对数据包进 行分析，按照用户的要求把一部分包过滤掉，然后再把这些等剩下的数据包写入缓冲区（一块 指定大小的内存块，可以根据用户计算机的内存大小手工设置），显示在用户界面上，当缓冲 区满了的时候，系统会自动把缓冲区的数据写入到外存中去。
报告评分：
指导教师签字：
下图是一个简单的说明。
图表 1 SnifferFox Data Flow Diagram
SnifferFox 是一个多线程的系统，大致可以分成 3 个线程(实现的时候实际只用了 2 个)，抓 包线程(Sniffer Thread)，协议分析和过滤的线程，用户界面。工作在数据链路层，因此可以获 得原始的数据帧，所以 SnifferFox 可以支持 ARP，RARP 等底层协议。
这是我们考虑得比较多的一个问题，我们在尽量地让系统的操作方式符合人们的习惯， 使得用户觉得它方便好用。 6. 支持了比较多的协议
以太网中，SnifferFox 分析了 TCP/IP 族的几乎应用层以下的所有协议，应用层的协议 能够识别 112 个。
SnifferPro数据包捕获与协议分析
四、实验总结
1）体会Sniffer的危险性； 2）学习使用Cain & Abel 4.9软件，并与 SnifferPro4.7进行比较
Sniffer Pro数据包捕获与协议分析
一、实验目的
(1)了解Sniffer的工作原理。 (2)掌握SnifferPro工具软件的基本使用 方法。 (3)掌握在非交换以太网环境下侦测、记 录、分析数据包的方法。
二、实验设备与器具
本实验在虚拟机中安装SnifferPro4.7版本， 要求虚拟机开启FTP、HTTP等服务。 物理机通过Ping命令、FTP访问及网页访 问等操作实验网络数据帧的传递。
三、实训内容和要求
（5）监测分析网络中传输的HTTP数据 1）在服务器的Web目录下放置一网页文件。 2）定义过滤规则：点击菜单“Capture”“Define Filter”，在对话框中点“Advanced”选项卡，在该项下 选择“IP”→“TCP”→“HTTP”。设置完成后点击菜单中 “Capture”→“Start'’开始记录监测数据。 3）从工作站用浏览器访问服务器上的网页文件。 4）观察监测到的结果：点击菜单中“Capture”→“Stop and display”，将进入记录结果的窗口，点击下方各选 项卡可观察各项记录。点击“File”→Save”保存记录。 5）记录监测到的HTTP传输记录：点击记录窗口下方的 解码“Decode”选项，进入解码窗口，分析记录，找到 工作站向服务器发出的网页请求命令并记录有关信息。
三、实训内容和要求
（6）监测分析网络中传输的FTP数据 1）启用服务器的Serv-U软件，在FTP服务目录下放置一个文本文件。 2）定义过滤规则：点击菜单“Capture”→“Define Filter”，在 “Summary”选项卡下点击“Reset"按钮将过滤规则恢复到初始状 态，然后在“Advanced”选项卡下选择“IP”→“TCP”→“FTP”。设 置完成后点击菜单“Capture”→“Start”开始记录监测数据。 3）从工作站用FTP下载服务器上的文本文件。 4）观察监测到的结果：点击菜单“Capture”→“Stop and display”，进入记录结果的窗口，点击下方各选项卡观察各项记录并 保存记录。 5）记录监测到的FTP传输记录：点击记录窗口下方的解码 “Decode”选项，进入解码窗口，分析记录，找到工作站向服务器 发出的FTP命令并记录。
计算机网络安全技术与实施实训任务总结报告1.2-2基于SnifferPro软件进行协议分析(TCP-UDP协议)
得
体
会
与
经
验
总
结
很多规范的企业要求员工撰写每天的工作总结或每周的工作报告，通过本报告的撰写，让学生掌握报告撰写的能力。
教
师
评
语
Sniffer Pro软件启动与界面介绍
2.知识及原理重难点
面向连接与面向无连接、端口的作用、TCP协议建立连接过程和释放连接过程、UDP报文头部格式……
3.如何设计与规划任务
在要进行协议分析的网络关键流量处部署协议分析软件及主机……
4.任务实施方法与技巧（可截图说明）
注：将操作中的关键步骤及要点加以说明，可把关键的点截图加以说明，特别是本任务中TCP三次握手和四次挥手过程……
计算机网络安全技术与实施
实训任务1.DP协议）
任务名称
实训任务1.2-2：基于Sniffer Pro软件进行协议分析（TCP&UDP协议）
所属专业
班级
撰写人
学号
合作者
地点
学期
完成时间
XXXX年XX月XX日星期X
技
术
要
点
记
录
1.工具软件使用
网络抓包--sniffer-pro的使用
实验二网络抓包——sniffer pro的使用实验目的：1.了解网络嗅探的原理；2.掌握Sniffer Pro嗅探器的使用方法；实验学时：2课时实验形式：上机实验器材：联网的PC机实验环境：操作系统为Windows2000/XP实验内容：任务一熟悉Sniffer Pro工具的使用任务二使用Sniffer Pro抓获数据包实验步骤：任务一熟悉Sniffer Pro工具的使用1. Sniffer Pro工具简介Sniffer软件是NAI公司推出的功能强大的协议分析软件，具有捕获网络流量进行详细分析、利用专家分析系统诊断问题、实时监控网络活动和收集网络利用率和错误等功能，实验中使用Sniffer Pro4.7.5来截获网络中传输的FTP和HTTP数据包，并进行分析。
2. 使用说明在sniffer pro初次启动时，可能会提示选择一个网络适配器进行镜像，如图1所示，此时正确选择接入网络的网卡，这样sniffer pro才可以把网卡设置为混杂（Promiscuous）模式，以接收在网络上传输的数据包。
图1 网卡设置Sniffer Pro运行后的主界面如图2所示。
图2 sniffer pro主界面（1）工具栏简介如图3所示。
快捷键的含义如图4所示。
（2）网络监视面板简介在捕获过程中可以通过Capture Panel 查看网络的利用率、捕获报文的数量和缓冲区的利用率,如图5所示。
（3）捕获数据包窗口简介Sniffer 软件提供了强大的分析能力和解码功能。
如图6所示，对于捕获的报文提供了一个Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。
图3工具栏捕获停止捕获条件选择捕获捕获开始捕获暂停捕获停止并查看捕获查看编辑条件图4 快捷键含义图5 Capture Panel图6 捕获数据窗口●专家分析专家分析系统提供了一个智能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。
sniffer实验-一、实验目的：练习sniffer工具的基本使用方法，用
一、实验目的：练习sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。
二、实验环境：通过集线器连接的多台PC，预装Windows 2000 Professional。
三、实验内容：
1、捕获数据包
（1）选择Monitor|Matrix命令，此时可看到网络中的Traffic Map 视图。
（2）选择Capture|Define Filter命令，然后在Advanced选项卡中选中IP，从而定义要捕捉的数据包类型。
（3）回到Traffic Map视图中，选中要捕捉的主机IP地址，然后单击鼠标右键，选择Capture命令，sniffer则开始捕捉指定IP地址的主机的数据包。
2、分析捕获的数据包
（1）从Capture Panel中看到捕获的数据包达到一定数量后，停止
捕捉，单击Stop and Display按钮，就可以停止捕获包。
（2）窗口中列出了捕捉到的数据，选中某一条数据后，下面分别
显示出相应的数据分析和原始的数据包。
单击窗口中的某一条数
据，可以看到下面相应的地方的背景变成灰色，表明这些数据与
之对应。
四、实验界面：
五、结论
sniffer软件是NAI公司推出的功能强大的协议分析软件。
Sniffer支持的协议丰富，解码分析速度快。
其中sniffer pro版可以运行在各种windows平台上。
Sniffer是一种常用的收集有用数据的方法，这些数据可以是用户的帐号和密码，还可以是一些商用机密数据等。
协议分析和网络嗅探_2
• 如图20所示，选择Data Pattern项，点击箭 头所指的Add Pattern按钮
图-20
• 出现图21界面，按图设置OFFset为2F,方格内填入18，name可任意 起。确定后如图22点击Add NOT按钮,再点击Add Pattern按钮增加第 二条规则
图-21
图-22
• 安装非常简单，setup后一路确定即可，第 一次运行时需要选择你的网卡。
图-1
图-2
图-3
图-4
图-5
图-6
图-7
图-8
图-9
图-10
图-11
例:192.168.113.208 这台机器telnet到192.168.113.50，用 Sniff Pro抓到用户名和密码
步骤1：设置规则
Wed Aug 9 05:54:50 EDT 2000) ready. • User (192.168.113.50:(none)): test • 331 Password required for test. • Password:
• 步骤4：察看结果
• 图16中箭头所指的望远镜图标变红时，表示已捕捉到数据，点击该图 标出现图25界面，选择箭头所指的Decode选项即可看到捕捉到的所 有包。可以清楚地看出用户名为test密码为123456789。
协议，而另一些可能能够分析几百种协议。 • 一般情况下，大多数的嗅探器至少能够分析下面的协议： • A.标准以太网 • B.TCP/IP • C.IPX 4.DECNet
• 4.各种Sniffer • A. Network General. • Network General开发了多种产品。最重要的是Expert
Sniffer，它不仅仅可以sniff ， 还能够通过高性能的专门 系统发送/接收数据包，帮助诊断故障。
sniffer pro协议分析新手教程、工具及文档
sniffer pro (学习笔记)边学边记系列~~~好戏马上就开始喽~~~一:sniffer pro问题集锦1.为什么SNIFFER4.75在我的机子上用不了？4.7.5 With SP5以上支持千兆以太网,一般我们从网络上下载的4.75不支持千M 网卡2.如何导入导出snifferPro定义的过滤器的过滤文件?方法一、强行覆盖法C:\Program Files\NAI\SnifferNT\Program\下面有很多Local打头的目录，对应select settings里各个profile，进入相应的local目录，用sniffer scan.csf 去覆盖Sniffer.csf(捕获过滤）或者snifferdisplay.csf（显示过滤）方法二、声东击西法C:\Program Files\NAI\SnifferNT\Program\下面有个文件Nxsample.csf，备份。
用Sniffer scan.csf替换nxsample.csf启动Sniffer新建过滤器在新建过滤器对话框的sample选择里选择相应的过滤器，建立新过滤。
反复新建，直到全部加入3.sniffer的警报日志是些做什么用的??sniffer警报日志也是sniffer专家系统的一部分,通常不正常的TCP/IP通讯会产生警报和日志.比如: ping 的反映时间太长, 某一个会话中丢包或者重传数过多,单位时间产生的广播/多播数过多等等.4.利用ARP检测混杂模式的节点文章很长,原贴位于:/viewthread.php?tid=1605.sniffer 中，utilization是按什么计算的？Octect就是字节的意思。
Sniffer表盘的利用率是根据你的网卡的带宽来计算的，如果要监测广域网带宽的话，需要使用Sniffer提供的相应的广域网接口设备：比如 Snifferbook用来接入E1、T1、RS/V等链路，这时它所显示出的带宽就是正确的广域网带宽（如非信道化E1它会显示2.048Mbs）。
Sniffer Pro抓包报告
Sniffer Pro抓包报告信研104 唐路 s2*******所用软件：Sniffer Pro v4.90.102使用ipconfig/all查看本机的基本信息如下：一、捕获TCP数据包传输控制协议TCP是网络上最常用的协议，本次使用平时较典型的HTTP 协议对TCP报文进行分析。
首先定义TCP过滤器，然后用本机(115.25.13.148)登陆北科大网站(202.204.60.28)进行HTTP测试。
图1显示了HTTP客户端与HTTP服务器之间在测试阶段的所有帧。
图1 TCP通讯的过程1、TCP三次握手(1)第一行表示TCP三次握手的起点。
在第一个数据包中，本机即HTTP客户端(115.25.13.148)向北科大服务器(202.204.60.28)发送了一个数据包，该数据包的目的端口D=80即是HTTP端口，源端口(2357)是网站从非保留端口范围中随机选择的。
SYN是TCP/IP建立连接时使用的握手信号，可以识别第一次握手。
序号SEQ=4106320857也是随机选择的，用来识别这次TCP对话。
(2)第二行表示TCP第二次握手。
服务器通过发送带有回执号ACK=4106320858的帧来发送回执对话，这个帧比上一个序号大1。
同时，服务器还在帧中包含了一个新的随机序号SEQ=2280077526，用来识别这次对话。
(3)第三行是三次握手的最后一帧。
本机发送了一个回执数据报ACK=2280077527，确认收到了来自服务器的帧。
这样就建立了对话。
现在本机和服务器就可以交换数据了。
2、以太网报文结构如图2所示，这是TCP第一次握手时的数据帧，在Sniffer的解码表中分别对每一个层次协议进行解码分析。
链路层对应“DLC”；网络层对应“IP”；传输层对应“TCP”；应用层对应的是“HTTP”等高层协议(由于TCP第一次握手时还未产生HTTP高层协议，所以下图不存在“HTTP”)。
Sniffer可以针对众多协议进行详细结构化解码分析，并利用树形结构良好的表现出来。
实验四SnifferPro数据包捕获与协议分析(2)报告
8）“00 50 56 C0 00 03”表示源主机MAC地址为：
9）“C0 A8 01 64”表示目的主机主机IP地址为：192.168.1.100
以下是ARP数据包头中部分的分析：
（4）抓取TCP协议数据包，分析TCP协议的头部信息
实验步骤及内容：
一、规划IP地址，使得虚拟机与主机通信（自定义模式）主机使用虚拟网卡1，主机IP为192.168.1.100子网掩码255.255.255.0，共享的VMNET1虚拟机IP为192.168.1.4子网掩码255.255.255.0默认网关为192.168.1.4，首选DNS为114.114.114.114。
在往前看，可知以太网首部（14字节）如下
往最后看，为18字节的填充位：
可知，该ARP数据包并没有填充位。
结合上面抓包信息以及ARP报头结构，可将28字节的ARP帧结构进行如下详细地分析：
00 01
08 00 06 04 00 02 00 0C 29 1F 3E D3 C0 A8 01 04
00 50 56 C0 00 03 C0 A8 01 64
以下截取的是TP头部的部分对应的详细信息。
（2）抓取ICMP协议数据包，分析ICMP协议的头部信息。
由上抓包截图可知，ICMP的报头头为：08 00 42 5E 02 00 0B 00 41 42……
参照以上图并结合ICMP报文头部格式可以进行详细的ICMP数据报格式分析；
1）“08”表示一个8位类型字段，表示ICMP数据包类型。
注：一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
惠州学院《计算机网络》实验报告
实验08 Sniffer Pro数据包捕获与协议分析
1. 实验目的
（1）了解Sniffer的工作原理。
（2）掌握SnifferPro工具软件的基本使用方法。
（3）掌握在非交换以太网环境下侦测、记录、分析数据包的方法。
2. 实验原理
数据在网络上是以很小的被称为“帧”或“包”的协议数据单元（PDU）方式传输的。
以数据链路层的“帧”为例，“帧”由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网帧的前12个字节存放的是源MAC地址和目的MAC地址，这些数据告诉网络该帧的来源和去处，其余部分存放实际用户数据、高层协议的报头如TCP／IP 的报头或IPX报头等等。
帧的类型与格式根据通信双方的数据链路层所使用的协议来确定，由网络驱动程序按照一定规则生成，然后通过网络接口卡发送到网络中，通过网络传送到它们的目的主机。
目的主机按照同样的通信协议执行相应的接收过程。
接收端机器的网络接口卡一旦捕获到这些帧，会告诉操作系统有新的帧到达，然后对其进行校验及存储等处理。
在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的MAC地址和自己的物理地址一致或者是广播地址，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。
如果网络中某个网络接口卡被设置成“混杂”状态，网络中的数据帧无论是广播数据帧还是发向某一指定地址的数据帧，该网络接口卡将接收所有在网络中传输的帧，这就形成了监听。
如果某一台主机被设置成这种监听（Snfffing）模式，它就成了一个Sniffer。
一般来说，以太网和无线网被监听的可能性比较高，因为它们是一个广播型的网络，当然无线网弥散在空中的无线电信号能更轻易地截获。
3. 实验环境与器材
本实验在虚拟机中安装SnifferPro4.7版本，要求虚拟机开启FTP、HTTP等服务，即虚拟机充当服务器，物理机充当工作站。
物理机通过Ping命令、FTP访问及网页访问等操作实验网络数据帧的传递。
4. 实验内容
介绍最基本的网络数据帧的捕获和解码，详细功能请参阅本教材辅助材料。
（1）Sniffer Pro 4.7的安装与启动
1）启动Sniffer Pro 4.7。
在获取Sniffer Pro 4.7软件的安装包后，运行安装程序，按要求输入相关信息并输入注册码，若有汉化包请在重启计算机前进行汉化。
完成后重启计算机，点击“开始”→“程序”→“Sniffer Pro”→“Sniffer”，启动“Sniffer Pro 4.7”程序。
2）选择用于Sniffer的网络接口。
如果计算机有多个网络接口设备，则可通过菜单“File”→“Select Settings”，选择其中的一个来进行监测。
若只有一块网卡，则不必进行此步骤。
（2）监测网络中计算机的连接状况
配置好服务器和工作站的TCP/IP设置并启动Sniffer Pro软件，选择“菜单”中“Monitor”“Matrix”，从工作站访问服务器上的资源，如WWW、FTP等，观察检测到的网络中的连接状况，记录下各连接的IP地址和MAC地址。
如图15-8所示。
图15-8 被监控计算机列表
（3）监测网络中数据的协议分布
选择菜单“Monitor”→“Protocal distribution”，监测数据包中的使用的协议情况，如图15-9所示。
记录下时间和协议分布情况。
图15-9 被监控网络协议分布
（4）监测分析网络中传输的ICMP数据
1）定义过滤规则：点击菜单“Capture”→“Define Filter”，在在对话框中进行操作。
●点击“Address”（地址）选项卡，设置：“地址类型”为IP，“包含”本机地址，即
在“位置1”输入本机IP地址，“方向”（Dir.）为“双向”，“位置2”为“任意的”。
●点击“Advanced”选项卡，在该项下选择“IP”→“ICMP”。
设置完成后点击菜单
中“Capture”→“Start”开始记录监测数据。
显示如图15-10和图15-11所示。
图15-10 监控地址选择图15-11 监控协议选择
3）从工作站Ping服务器的IP地址。
4）观察监测到的结果：点击菜单中“Capture”→“Stop and display”，将进入记录结果的窗口。
点击下方各选项卡可观察各项记录，可通过“File”→Save”保存监测记录。
5）记录监测到的ICMP传输记录：点击记录窗口下方的解码“Decode”选项，进入解码窗口，分析记录，找到工作站向服务器发出的请求命令并记录有关信息。
结果如图15-12。
图15-12 ICMP数据包解码示例
（5）监测分析网络中传输的HTTP数据
1）在服务器的Web目录下放置一个网页文件。
2）定义过滤规则：点击菜单“Capture” “Define Filter”，在对话框中点“Advanced”选项卡，在该项下选择“IP”→“TCP”→“HTTP”。
设置完成后点击菜单中“Capture”→“Start'’开始记录监测数据。
3）从工作站用浏览器访问服务器上的网页文件。
4）观察监测到的结果：点击菜单中“Capture”→“Stop and display”，将进入记录结果的窗口，点击下方各选项卡可观察各项记录。
点击“File”→Save”保存记录。
5）记录监测到的HTTP传输记录：点击记录窗口下方的解码“Decode”选项，进入解码窗口，分析记录，找到工作站向服务器发出的网页请求命令并记录有关信息。
（6）监测分析网络中传输的FTP数据
1）启用服务器的Serv-U软件，在FTP服务目录下放置一个文本文件。
最好在FTP中建立两个用户，即匿名用户（anonymous）和一个授权用户（用户名、权限自定）。
2）定义过滤规则：点击菜单“Capture”→“Define Filter”，在“Summary”选项卡下点击“Reset"按钮将过滤规则恢复到初始状态，然后在“Advanced”选项卡下选择“IP”→“TCP”→“FTP”。
设置完成后点击菜单“Capture”→“Start”开始记录监测数据。
3）从工作站用FTP下载服务器上的文本文件。
4）观察监测到的结果：点击菜单“Capture”→“Stop and display”，进入记录结果的窗口，点击下方各选项卡观察各项记录并保存记录。
监控显示如图15-13所示。
可以看到登录密码也是明文显示的。
图15-13 FTP数据包解码结果
5）记录监测到的FTP传输记录：点击记录窗口下方的解码“Decode”选项，进入解码窗口，分析记录，找到工作站向服务器发出的FTP命令并记录。
实验图片。