实验二Wireshark使用及ARP协议学习与分析(自学部分).doc

计算机网络课程实验项目2Wireshark使用及ARP协议学习与分析第一部分 Wireshark使用一、实验项目名称及实验项目编号 Wireshark使用二、课程名称及课程编号 计算机网络三、实验目的通过本实验使学生：1了解数据包捕获的方法、原理；2学习数据包捕获软件（Wireshark）的安装、配置方法；3学习数据包捕获软件（Wireshark）的使用。四、实验原理Wireshark介绍Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包， 并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。Wireshark的主要应用如下：（1）网络管理员用来解决网络问题（2）网络安全工程师用来检测安全隐患（3）开发人员用来测试协议执行情况（4）用来学习网络协议（5）除了上面提到的，Wireshark还可以用在其它许多场合。Wireshark的主要特性（1）支持UNIX和Windows平台（2）在接口实时捕捉包（3）能详细显示包的详细协议信息（4）可以打开/保存捕捉的包（5）可以导入导出其他捕捉程序支持的包数据格式（6）可以通过多种方式过滤包（7）多种方式查找包（8）通过过滤以多种色彩显示包（9）创建多种统计分析五、实验内容1了解数据包分析软件Wireshark的基本情况；2安装数据包分析软件Wireshark；3配置分析软件Wireshark；4对本机网卡抓数据包；5分析各种数据包。六、实验方法及步骤1Wireshark的安装及界面（1）Wireshark的安装（2）Wireshark的界面启动Wireshark之后，主界面如图：主菜单项：主菜单包括以下几个项目:File包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出Wireshark项. Edit包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。） View控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点 GO包含到指定包的功能 Capture允许您开始或停止捕捉、编辑过滤器。 Analyze包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP流等功能。见 Statistics包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。见 Help包含一些辅助用户的参考内容。如访问一些基本的帮助文件，支持的协议列表，用户手册。在线访问一些网站，“关于”等等。 2Wireshark的设置和使用1）启动Wireshark以后，选择菜单Capature-Interfaces,选择捕获的网卡，单击Capture开始捕获2）当停止抓包时，按一下stop，抓的包就会显示在面板中，并且已经分析好了。下面是一个截图如图2-2所示。图2-2 Wireshark数据包分析Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。2）设置capture选项选择菜单captureInterface，如图2-3所示，在指定的网卡上点“Prepare”按钮，设置capture参数。图2-3 capture选择设置Interface：指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以。Limit each packet：限制每个包的大小，缺省情况不限制。Capture packets in promiscuous mode：是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。Filter：过滤器。只抓取满足过滤规则的包（可暂时略过）。File：如果需要将抓到的包写到文件中，在这里输入文件名称。use ring buffer：是否使用循环缓冲。缺省情况下不使用，即一直抓包。注意，循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。其他的项选择缺省的就可以了。2显示过滤器的使用方法在抓包完成以后用显示过滤器，可以在设定的条件下（协议名称、是否存在某个域、域值等）来查找你要找的数据包。如果只想查看使用TCP协议的包，在Wireshark 窗口的左下角的Filter 中输入TCP，然后回车，Wireshark 就会只显示TCP协议的包。如图2-4所示。图2-4 设置过滤条件为TCP报文如果想抓取IP 地址是10.20.61.15的主机，它所接收收或发送的所有的TCP报文，那么合适的显示Filter（过滤器）就是如图2-5所示。图2-5 设置过滤条件为IP 地址是10.20.61.15 的主机所有的TCP报文3用Wireshark分析数据包Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。使用Wireshark可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。用Wireshark分析ARP数据包。1） 将Filter过滤条件设为arp，回车或者点击“Apply”按钮，显示如图2）现在只有ARP协议了。其他的协议数据包都被过滤掉了。选中一个数据帧，然后从整体上Wireshark的窗口，主要被分成三部分：上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。中间部分的三行前面都有一个“+”，点击它，这一行就会被展开。现在展开第一行。看到的结果如下：在上图中我们看到这个帧的一些基本信息： 帧的编号：4（捕获时的编号）帧的大小：60字节。（以太网的帧最小64个字节，而这里只有个字节，应该是没有把四个字节的CRC计算在里面，加上它就刚好。）帧被捕获的日期和时间：Arrival Time: Sep 17, 2010 21:46:43.628154000帧距离前一个帧的捕获时间差： 0.351800000 seconds帧距离第一个帧的捕获时间差： 0.932879000 seconds帧装载的协议：ARP下面看第二行：在上图中，我们在上面一栏每选到一部分，在下面一栏就会显示对应的数据部分。我们可以看到：目的地址（Destination）：ff:ff:ff:ff:ff:ff （这是个MAC地址，这个MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）源地址（Source）：Source: 5c:ff:35:03:4b:15 (5c:ff:35:03:4b:15)，那么我们知道，5c:ff:35是以太网网卡厂商 拥有的一个以太网地址块。帧中封装的协议类型：0x0806，（这个是ARP协议的类型编号。）Trailer：是协议中填充的数据，为了保证帧最少有64字节。接下来展开第三行，结果如下：在上图中，我们可以看到如下信息：硬件类型（ardware type）：thernet(0X0001)协议类型（rotocol type）： IP(0X0800)硬件信息在帧中占的字节数（ardware size）：6协议信息在帧中占的字节数（rotocol size）：4操作码（opcode）：requset(0X0001)发送方的地址（Sender MAC address）： 5c:ff:35:03:4b:15 (5c:ff:35:03:4b:15)发送方的IP地址（Sender IP address）： 10.20.61.37 (10.20.61.37)目标的地址（Target MAC address:）： 00:00:00_00:00:00 (00:00:00:00:00:00)目标的IP地址（Target IP address:）：Target IP address: 10.20.61.254 (10.20.61.254)七、实验要求：（1）、设置抓包条件为TCP协议报文，进行报文捕获分析。（2）、设置抓包条件为端到端的MAC地址或IP地址（即设定源MAC和目的MAC，或源IP和目的IP）进行报文捕获分析；八、场地、设备及器材 pc机Windows XP中的Wireshark软件第二部分 ARP协议学习与分析一、实验项目名称及实验项目编号 ARP协议学习与分析二、课程名称及课程编号 计算机网络三、实验目的通过本实验使学生：1学习ARP协议的工作原理以及ARP分组格式；2学习使用WireShark对ARP协议进行分析。四、ARP协议的工作原理以及ARP分组格式1、ARP协议的基本思想2、ARP协议的改进（1）高速缓存技术主机使用cache保存已知的ARP表项；主机获得其他IP地址与物理地址映射关系后将其存入该cache；发送时先检索cache，若找不到再利用ARP解析；利用计时器保证cache中ARP表项的“新鲜性”。（2）其他改进技术收到ARP请求后,目的主机将源主机的IP地址与物理地址的映射关系存入自己cache中；ARP请求是广播发送的，所有主机都会收到该请求。它们也可将该源主机的IP地址与物理地址的映射关系存入各自的cache；主机启动时可以主动广播自己的IP地址与物理地址的映射关系。完整的ARP工作过程3、ARP报文格式硬件地址长度协议类型发送方IP地址(八位组0-1)目标硬件地址(八位组2-5)目标IP地址(八位组0-3)发送方硬件地址(八位组0-3)硬件类型操作发送方硬件地址(八位组4-5)发送方IP地址(八位组2-3)协议长度目标硬件地址(八位组0-1) 硬件类型指明发送方想知道的硬件接口类型。对以太网，值为1； 协议类型指明发送方提供的高层协议地址类型。对TCP/IP互联网，采用IP地址，值为十六机制的0806； 操作指明ARP的操作类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。RARP在后面的章节中介绍。 在以太网环境下的ARP报文，硬件地址为48位（6个八位组）。用于以太网的ARP请求或应答分组格式五、学习使用WireShark对ARP协议进行分析（1）启动WireShark启动Wireshark之后，主界面如图：（2）启动Wireshark以后，选择菜单Capature-Interfaces,选择捕获的网卡，单击Capture开始捕获（3）当停止抓包时，按一下stop，抓的包就会显示在面板中，并且已经分析好了。下面是一个截图如图2-2所示。图2-2 Wireshark数据包分析Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。（4）分析ARP请求报文2） 将Filter过滤条件设为arp，回车或者点击“Apply”按钮，显示如图2）现在只有ARP协议了。其他的协议数据包都被过滤掉了。选中一个数据帧，然后从整体上Wireshark的窗口，主要被分成三部分：上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。中间部分的三行前面都有一个“+”，点击它，这一行就会被展开。现在展开第一行。看到的结果如下：在上图中我们看到这个帧的一些基本信息：帧的编号：4（捕获时的编号）帧的大小：60字节。（以太网的帧最小64个字节，而这里只有个字节，应该是没有把四个字节的CRC计算在里面，加上它就刚好。）帧被捕获的日期和时间：Arrival Time: Sep 17, 2010 21:46:43.628154000帧距离前一个帧的捕获时间差： 0.351800000 seconds帧距离第一个帧的捕获时间差： 0.932879000 seconds帧装载的协议：ARP下面看第二行：在上图中，我们在上面一栏每选到一部分，在下面一栏就会显示对应的数据部分。我们可以看到：目的地址（Destination）：ff:ff:ff:ff:ff:ff （这是个MAC地址，这个MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）源地址（Source）：Source: 5c:ff:35:03:4b:15 (5c:ff:35:03:4b:15)，那么我们知道，5c:ff:35是以太网网卡厂商 拥有的一个以太网地址块。帧中封装的协议类型：0x0806，（这个是ARP协议的类型编号。）Trailer：是协议中填充的数据，为了保证帧最少有64字节。接下来展开第三行，结果如下：在上图中，我们可以看到如下信息：硬件类型（ardware type）：thernet(0X0001)协议类型（rotocol type）： IP(0X0800)硬件信息在帧中占的字节数（ardware size）：6协议信息在帧中占的字节数（rotocol size）：4操作码（opcode）：requset(0X0001)发