数据包抓包分析.docVIP

数据链路层数据包抓包分析 实验内容（1）安装Wireshark软件。 （2）掌握抓包软件的使用 （3）掌握通过抓包软件抓取帧并进行分析的办法 实验步骤 （1）常用的抓包软件包括Sniffer、NetXRay、Wireshark (又名EtheReal)。 我们采用免费的Wireshark，可以从或其他网站下载。安装完成后，Wireshark的主界面和各模块功能如下： 命令菜单（command menus）：最常用菜单命令有两个：File、Capture。File菜单允许你保存捕获的分组数据或打开一个已被保存的捕获分组数据文件。Capture菜单允许你开始捕获分组。 显示筛选规则（display filter specification）：在该字段中，可以填写协议的名称或其他信息，根据此内容可以对分组列表窗口中的分组进行过滤。 捕获分组列表（listing of captured packets）：按行显示已被捕获的分组内容，其中包括：Wireshark赋予的分组序号、捕获时间、分组的源地址和目的地址、协议类型、分组中所包含的协议说明信息。在该列表中，所显示的协议类型是发送或接收分组的最高层协议的类型。 分组首部明细（details of selected packet header）：显示捕获分组列表窗口中被选中分组的头部详细信息。包括：与以太网帧有关的信息，与包含在该分组中的IP数据报有关的信息。如果利用TCP或UDP承载分组， Wireshark也会显示TCP或UDP协议头部信息。最后，分组最高层协议的头部字段也会被显示。 分组内容窗口（packet content）：以ASCII码和十六进制两种格式显示被捕获帧的完整内容。 （2）下面我们进行抓包练习。 在capture菜单中选中options,可以设置抓包选项，如下图所示，这里我们需要选择要对其进行抓包的网卡。选择完成后按“start”开始抓包。 过几秒钟后选择菜单capture-stop停止抓包。显示抓包结果： 任意选中一帧，可以看到该帧所在的各层分组的头部如下： 通过头部信息可以看出，该帧在数据链路层使用的是Ethernet II协议，到网络层被封装为IP数据包，到传输层被封装为UDP数据包,没有应用层协议。 点开Ethernet II前的+号，可以看到该帧在数据链路层的详细信息： 可以看出该帧的源Mac地址为00：30：18：a9：c5：aa,目的Mac地址为： 94：0C：6d：66：00：8a, 类型特征码为0800（即表示IP封装），在数据区可以看到该帧的完整数据（16进制表示，可以在数据区右键选择2进制表示）。从16进制表示的数据上可以看出该帧完全符合以太网帧格式。 （3）下面我们进行抓包实战并按要求回答问题。假定如下拓扑： 我们用主机A ping 主机B,同时进行抓包： 在抓包结果中我们可以看到如下4个包： 依次选中这4个包，点开首部明细区Ethernet II前的+号，可以看到详细信息： 分析这些信息，可以发现ping的过程如下：（两人一组实验，按实际实验结果填写） 1．主机A发出ARP包询问“谁知道主机B的Mac,请告诉我”，该ARP包所在的帧的目的Mac地址为_______________________________,说明这是一个广播包。 2. 机房中的所有机器都收到了这个广播包，其中有一台机器回答了一个ARP包，该包说：主机B的Mac地址为_______________________________, 回答的机器是： □主机B □交换机 因为该ARP包所在的帧的源地址为_______________________________ 3.主机A向主机B发出一个ping request(ping请求)包，该包所在的帧的类型字段的值为____________ (16进制表示)，说明该帧的上层协议为____________。 从首部明细区的封装过程可以看出，该包的最高层封装协议为 □Ethernet □IP □ICMP 4.主机B向主机A发出一个ping reply(ping响应)包。 网络层数据包抓包分析 相关理论 网络层使用的协议包括IP、ICMP、ARP等。其中IP数据包占据网络流量的大部分。IP数据包分为“报头区”和“数据区”两部分，其格式如下： 格式中主要字段含义如下： 版本：长度为4位。取值一般为0100（Ipv4）或0110（Ipv6）。 报头长度：长度为4位。指明“报头区”的长度，以32bit为单位。在“报头区”中只有“选项+填充”字段的长度是可变的，其他字段的长度都是固定的。例如：某IP包的报头长度值为0111，表示该IP包的报头长度为7*32bit=28byte，可以计算出该IP包“选项+填充”字段的长度为（7-5）*3