《网络协议分析》实验指导书

1 23 网络协议分析网络协议分析 课题名称 网络协议分析 指导教师 赵红敏 专业班级 2014 级计算机科学与技术 2 班 学 号 20144591 姓 名 孙晓阳 评语 成绩 2 23 3 23 目录 实验一 点到点协议 PPP 4 实验目的 4 实验环境 4 实验步骤 4 实验二 地址转换协议 ARP 10 实验目的 10 实验环境 10 实验步骤 10 实验三 Internet 控制报文协议 ICMP 16 实验目的 16 实验环境 16 实验步骤 16 实验四 实现 洞 的算法 20 实验目的 20 实验环境 20 实验要求 20 4 23 实验一实验一 点到点协议点到点协议 PPP 实验目的实验目的 1 理解 PPP 协议的工作原理及作用 2 练习 PPP CHAP 的配置 3 验证 PPP CHAP 的工作原理 实验环境实验环境 1 安装 windows 操作系统的 PC 计算机 2 Boson NetSim 模拟仿真软件 实验步骤实验步骤 1 绘制实验拓扑图 利用 Boson Network Designer 绘制实验网络拓扑图如图 1 1 本实验选择两台 4500 型号的路由器 同时 采用 Serial 串行方式连接两台路由器 并选择点到点类型 其中 DCE 端可以任意选择 对于 DCE 端路由器的接口 Serial 0 0 需要配置时钟信号 这里用 R1 的 Serial 0 0 作为 DCE 端 2 配置路由器基本参数 绘制完实验拓扑图后 可将其保存并装入 Boson NetSim 中开始试验配置 配置时点 5 23 击 Boson NetSim 程序工具栏按钮 eRouters 选择 R1 并按下面的过程进行路由器 1 的基本参 数配置 Router enable Router conf t Router config host R1 R1 config enable secret c1 R1 config line vty 0 4 R1 config line password c2 R1 config line interface serial 0 0 R1 config if ip address 192 168 0 1 255 255 255 0 R1 config if clock rate 64000 R1 config if no shutdown R1 config if end R1 copy running config startup config 点击工具栏按钮 eRouters 选择 R2 并按下面过程进行路由器的基本参数配置 Router enable Router conf t Router config host R2 R2 config enable secret c1 6 23 R2 config line vty 0 4 R2 config line password c2 R2 config line interface serial 0 0 R2 config if ip address 192 168 0 2 255 255 255 0 R2 config if no shutdown R2 config if end R2 copy running config startup config 3 配置 测试 PPP 选择路由器 R1 并配置 PPP 如下所示 R1 conf t R1 config interface serial 0 0 R1 config if encapsulation ppp R1 config if end R1 copy running config startup config 选择路由器 R2 并配置 PPP 如下所示 R2 conf t R2 config interface serial 0 0 R2 config if encapsulation ppp R2 config if end R2 copy running config startup config 7 23 选择路由器 R1 按照下面的步骤测试并观察 PPP 诊断输出 R1 ping 192 168 0 2 R1 debug ppp negotiation R1 conf t R1 config interface serial 0 0 R1 config if shutdown R1 config if no shutdown R1 config if end R1 undebug all 8 23 4 配置 测试 CHAP 选择路由器 R1 并配置 CHAP 如下所示 R1 conf t R1 config username R2 password samepwd R1 config interface serial 0 0 R1 config if ppp authentication chap R1 config if end R1 copy running config startup config 选择路由器 R2 并配置 CHAP 如下所示 R2 conf t R2 config username R1 password samepwd R2 config interface serial 0 0 R2 config if ppp authentication chap R2 config if end R2 copy running config startup config 选择路由器 R1 按照下面步骤测试并观察 CHAP 配置 9 23 R1 show ip interface brief R1 ping 192 168 0 2 思考题 1 两台路由器上所使用的串行口分别是什么 Serial 0 0 2 两台路由器的 IP 地址及子网掩码分别是多少 R1 192 168 0 1 255 255 255 0 R2 192 168 0 2 255 255 255 0 3 那台路由器上的串行接口为 DCE 端 使用 R1 show cont R1 4 本串行链路所使用的时钟频率是多少 64000 5 在 CHAP 验证中 对所设置的用户名和密码是否存在什么特殊要求 如果没有配置默认的 CHAP 密码 则被验证方根据主演正方的用户名在本端的用 户表中查找该用户对应密码 并选用找到的密码 密码必须相同 用户名是对方的 10 23 实验二实验二 地址转换协议地址转换协议 ARP 实验目的实验目的 1 能够使用 ARP 命令对 ARP 选路表进行简单操作 2 学会使用 Ethereal 捕获 ARP 数据包并分析其格式 3 深入理解 ARP 工作原理和重要作用 实验环境实验环境 1 安装 windows 操作系统的 PC 计算机一台 2 每台 PC 具有一块网卡 通过双绞线与局域网相连 3 每台 PC 运行网络协议分析软件 Ethereal 实验步骤实验步骤 1 使用 ARP 命令 打开 命令提示符界面 键入 arp a 查看本机 ARP 表的内容 如图 Type 栏下 dynamic 字段表明该表项处于动态更新中 如果 20 分钟内没有其他 11 23 访问网络的操作 ARP 表会自动清空 如果不想等待 20 分钟 可使用 arp d 命令主动清空 ARP 表的内容 此时 再执行 arp a 命令 会发现 ARP 表已经清空 还可使用 arp s 命令手工设置 ARP 表项 如 Arp s 192 168 12 253 00 cd 0d 33 00 34 2 分析 ARP 协议工作过程 具体操作步骤 1 相邻两名同学为一组 清除 ARP 表中的所有项 2 运行 Ethereal 程序 执行分组捕获操作 3 向另一台机器发送 ping 包 稍后停止发 ping 包 4 查看 Ethereal 捕获到的 ARP 包 分析 ARP 协议执行的全过程 12 23 3 用 ARP 命令查找 IP 地址冲突主机 原理 主机 A 在连接网络或者更改 IP 地址的时候 就会向网络发送 ARP 来广播 自己的 IP 地址 如果网络中存在相同 IP 地址的主机 B 那么 B 就会通过 ARP 来 reply 该地址 当 A 接收到这个 reply 后 A 就会跳出 IP 地址冲突的警告 B 也会有警 告 如果能同时观察到这些主机 那么通过修改其中一台主机的 IP 地址即可 如果仅 能观察到其中一台 PC 提示 IP 地址与网络上其他地址冲突 那么应如何确定是哪两 台主机设置了相同的 IP 地址呢 1 将该报警主机的 IP 地址修改为一个未用的地址 如 192 168 12 251 2 在该机命令提示符界面接入 ping 192 168 12 251 3 执行 arp a 命令 13 23 思考题思考题 1 结合实验画出地址解析的流程图 14 23 2 根据 ARP 协议工作机制考虑是否存在地址欺骗的安全隐患 并找出可能的解决途 径 存在地址欺骗的安全隐患 因为在以太局域网内数据包传输依靠的是 MAC 地 址 IP 地址与 MAC 对应的关系依靠 ARP 表 每台主机 包括网关 都有一个 ARP 缓存表 查 阅资料可知 在正常情况下 这个缓存表能够有效的保证数据 传输的一对一性 也就是说主机 A 与主机 C 之间的通讯只通过网关 1 和网关 2 像主机 B 之类的是无法截获 A 与 C 之间的通讯信息的 但是在 ARP 缓存表的实现机制中存在一个不完善的地方 当主机收到一个 ARP 的应答包后 它并不会去验证自己是否发送过这个 ARP 请求 而是直接将应 答包里的 MAC 地址与 IP 对应的关系替换掉原有的 ARP 缓存表里的相应信息 这 就导致主机 B 截取主机 A 与主机 C 之间的数据通信成为可能 由于局域网的网络流通不是根据 IP 地址进行 而是按照 MAC 地址进行传输 ARP 协议并不只在发送了 ARP 请求才接收 ARP 应答 当计算机接收到 ARP 应答 数据包的时候 就会对本地的 ARP 缓存进行更新 将应答中的 IP 和 MAC 地址存 储在 ARP 缓存中 所以在网络中 有人发送一个自己伪造的 ARP 应答 那个伪 造出来的 MAC 地址在 A 上被改变成一个不存在的 MAC 地址 这样就会造成网络 不通 导致 A 不能 Ping 通 C 举一个例子加以说明 假设一个网络环境中 网内有三台主机 分别为主机 A B C 主机详细信息如下描述 A 的地址为 IP 192 168 10 1 MAC AA AA AA AA AA AA B 的地址为 IP 192 168 10 2 MAC BB BB BB BB BB BB C 的地址为 IP 192 168 10 3 MAC CC CC CC CC CC CC 15 23 正常情况下 A 和 C 之间进行通讯 但是此时 B 向 A 发送一个自己伪造的 ARP 应 答 而这个应答中的数据为发送方 IP 地址是 192 168 10 3 C 的 IP 地址 MAC 地址 是 BB BB BB BB BB BB C 的 MAC 地址本来应该是 CC CC CC CC CC CC 这里被 伪造了 当 A 接收到 B 伪造的 ARP 应答 就会更新本地的 ARP 缓存 A 被欺骗了 这时 B 就伪装成 C 了 同时 B 同样向 C 发送一个 ARP 应答 应答包中发送方 IP 地 址四 192 168 10 1 A 的 IP 地址 MAC 地址是 BB BB BB BB BB BB A 的 MAC 地址本来应该是 AA AA AA AA AA AA 当 C 收到 B 伪造的 ARP 应答 也会更新 本地 ARP 缓存 C 也被欺骗了 这时 B 就伪装成了 A 这样主机 A 和 C 都被主机 B 欺骗 A 和 C 之间通讯的数据都经过了 B 主机 B 完全可以知道他们之间说的什么 这就是典型的 ARP 欺骗过程 ARP 欺骗分为二种 一种是对路由器 ARP 表的欺骗 另一种是对内网 PC 的网关 欺骗 第一种 ARP 欺骗的原理是 截获网关数据 它通知路由器一系列错误的内网 MAC 地址 并按照一定的频率不断进行 使真实的地址信息无法通过更新保存在路由 器中 结果路由器的所有数据只能发送给错误的 MAC 地址 造成正常 PC 无法收到信 息 第二种 ARP 欺骗的原理是 伪造网关 它的原理是建立假网关 让被它欺骗的 PC 向假网关发数据 而不是通过正常的路由器途径上网 在 PC 看来 就是上不了网 了 网络掉线了 查阅资料可知目前有下面几种方法来控制 ARP 欺骗 主机静态绑定网关 MAC 使用 ARP 命令静态绑定网关 MAC 网关使用 IP MAC 绑定模式 交换机启用静态 ARP 绑定功能 将用户的 IP 与 MAC 进行静态 绑定 防止 ARP 欺骗发生 使用 ARP 服务器 在局域网内架设 ARP 服务器 替代主机应答 ARP 包 使用防 ARP 攻击的软件 因为 ARP 欺骗利用的是 ARP 协议本身的缺陷 所以到目前为止 还没有一 个十分有效的方法去控制这种攻击 以下是我们根据资料自己总结出的一些解决 ARP 欺骗的方案 方案 A IP MAC 绑定 通过双向 IP MAC 绑定可以抵御 ARP 欺骗 解决由于 ARP 欺骗造成的网络 掉线 IP 冲突等问题 保证网络畅通 1 客户机绑定网关 IP MAC 2 利用 APC 的软件分发功能给客户机分发 IP MAC 绑定程序 3 网关绑定客户机 IP MAC 使用支持 IP MAC 绑定的网关设备 在网关设 备中设置客户机的静态 IP MAC 列表 注 方案 A 可以抵御 ARP 欺骗 保证网络正常运行 但不能定位及清除 ARP 攻击源 16 23 方案 B 利用 ARP 命令及 nbtscan 定位 ARP 攻击源 1 确定 ARP 攻击源 MAC 地址 2 定位 ARP 攻击源计算机 3 对 ARP 攻击源计算机进行全面杀毒 方案 C 利用 Anti Arp Sniffer 实时防护并检测 ARP 攻击源 1 运行 Anti Arp Sniffer 3 6 输入网关 IP 及 MAC 地址 点击自动保护 Anti Arp Sniffer 可以监控本机的 ARP 缓存 自动清除伪造的 ARP 条目 监控网 内的 ARP 欺骗数据包 显示 ARP 攻击源的 MAC 地址及 IP 地址 2 在只能检测到 ARP 攻击源的 MAC 地址 而检测不到其 IP 地址时 可以 利用 Anti Arp Sniffer 3 6 附带的 MAC 扫描工具 MacScan exe 查找 ARP 攻击源 MAC 地址对应的 IP 地址 根据 IP 地址定位攻击源计算机 3 对 ARP 攻击源计算机进行全面杀毒 实验三实验三 Internet 控制报文协议控制报文协议 ICMP 实验目的实验目的 1 掌握使用 Ethereal 工具对 ICMP 协议进行抓包分析的方法 2 理解不同类型 ICMP 报文的具体意义 3 通过实验 进一步了解 ICMP 协议 实验环境实验环境 1 安装 windows 操作系统的 PC 计算机一台 2 每台 PC 具有一块网卡 通过双绞线与局域网相连 3 每台 PC 运行网络协议分析软件 Ethereal 实验步骤实验步骤 1 ping 程序使用的 ICMP 信息包 启动 Ethereal 协议分析工具 选择 Capture start 开始数据包的抓取 接下 来点击 开始 菜单 在运行中输入 cmd 进入操作系统命令行模式 在该模 式下输入 ping n IP 地址 如图 17 23 18 23 Ping 结束后 停止 Ethereal 抓包程序 并在 Ethereal 中的 Filter 域中键入关键 字 ICMP 点击 Apply 按钮 将非 ICMP 过滤掉 查看数据包内容窗口中的 ICMP 可以看到该 ICMP 数据包的协议类型和 代码 从而可以判断是一个 ICMP 什么数据包 分析查看这些分析查看这些 ICMP 数据包 回答以下问题 数据包 回答以下问题 1 本机的 IP 地址是多少 目标主机的 IP 地址是多少 本机 172 30 17 202 目标主机 172 30 17 203 2 为什么 ICMP 协议数据包没有源端口和目的端口号 ICMP 是网络层协议 端口号是应用层协议 所以 ICMP 没有端口号 3 查看本机发送的每个 request 包 回答这些包的类型号和代码是多少 这些 数据包中其他字段有哪些 checksum sequence identifier 字段分别占多 少字节 Type 8 8 8 8 code 0 0 0 0 checksum 16 字节 sequence 16 字节 identifier 16 字节 4 查看回复的 reply 数据包 它们的类型号和代码是多少 这些包中还有哪 些字段 checksum sequence identifier 字段分别占多少字节 Type 0 0 0 0 code 0 0 0 0 checksum 16 字节 sequence 16 字节 identifier 16 字节 2 traceroute 程序使用的 ICMP 信息包 启动 Ethereal 协议分析工具 选择 Capture start 开始数据包的抓取 接下来点击 开始 菜单 在运行中输入 cmd 进入操作系统命令行模式 在 该模式下输入 tracert 如图 Tracert 命令结束后 停止 Ethereal 抓包程序 并在 Ethereal 中的 Filter 域中键 19 23 入关键字 ICMP 点击 Apply 按钮 将非 ICMP 过滤掉 分析查看这些分析查看这些 ICMP 数据包 回答以下问题 数据包 回答以下问题 1 本机的 IP 地址是多少 目标主机的 IP 地址是多少 本机 172 22 43 115 目标主机 14 215 177 39 2 查看 echo 数据包 与 ping 所使用的 ICMP 包比较一下 看有什么区 别 Data 类型 echo 为 64 字节 ICMP 为 16 字节 3 查看本 error Time to live Exceeded 数据包 这些包比 echo 数据包 多了哪些字段 这些字段的内容是什么 多了 IP 和 ICMP 内容与 ICMP 包的相同字段一样 4 查看最后 3 个 error 数据包 这些包与其他 error 包有什么不同 ICMP 字段的 ICMP 中的 checksum 与 sequence 数值依次递减 思考题思考题 1 ICMP 用途是什么 ICMP 是 Internet Control Message Protocol Internet 控制消息协议 的缩写 它是 TCP IP 协议族的一个子协议 用于在 IP 主机 路由器之间传递控制消 息 控制消息是指网络通不通 主机是否可达 路由是否可用等网络本身的 消息 这些控制消息虽然并不传输用户数据 但是对于用户数据的传递起着 重要的作用 2 为什么要限制由实效的 ICMP 差错报文再产生一个 ICMP 报文 限制失效报文为了减少网络流量 再产生一个报文一般是报告错误状态 网 络管理一般要得到这个参数 3 Ping 程序和 Tracert 程序分别使用什么样的 ICMP 类型数据包 ping 主要是用来查看到目的地址的时延和丢包情况 tracert 是用来查看所经 过的每一跳路由 可以具体判断时延变大或者丢包的点 20 23 实验四实验四 实现实现 洞洞 的算法的算法 实验目的实验目的 1 理解 洞 的算法 2 理解重组分片的具体意义 3 通过实验 进一步了解 IP 协议 实验环境实验环境 1 安装 windows 操作系统的 PC 计算机一台 2 安装任一面向对象的语言 例如 vc java 实验要求实验要求 利用任一所学语言实现洞的算法 实验代码 include define DATA LENGTH 500 include void Packet Analyser u char user const struct pcap pkthdr header const u char pkt data typedef struct ip address u char byte1 u char byte2 u char byte3 u char byte4 ip address typedef struct ip header u char ver ihl u char tos u short totallen u short identification 21 23 u short flags fo u char ttl u char proto u short crc ip address saddr ip address daddr u int op pad ip header static int COUNT 1 ip header Pheader Cache ip header malloc sizeof ip header COUNT void main pcap if t alldevs pcap if t d pcap t adhandle int index int i 0 char errbuf PCAP ERRBUF SIZE if pcap findalldevs ex PCAP SRC IF STRING NULL exit 1 for d alldevs d NULL d d next printf d n s i d name if d description printf s n d description else printf No Description available if i 0 printf nNo interfaces found Make sure WinpCap is installed n return printf n nIf You Want Choose a Device To Capture The Data Please Input The Number Before The Device n scanf d if index i index 0 printf You Choosed An Error Num exit 1 22 23 for d alldevs i 0 inext i printf You Choosed The Device It s Name Is s d name if adhandle pcap open d name 65536 PCAP OPENFLAG PROMISCUOUS 1000 NULL errbuf NULL fprintf stderr nUnable to Open the adapter s is Not support by WinPcap n d name pcap freealldevs alldevs return printf nlisting on s n d description 开始抓获数据包 pcap loop adhandle 0 Packet Analyser NULL pcap freealldevs alldevs void Packet Analyser u char user const struct pca