计算机网络-使用网络协议分析器捕捉和分析协议数据包

1、广州大学学生实验报告学院计算机科学与教育软件学院年级/专业/班姓名学号实验课程名称计算机网络实验成绩实验项目名称使用网络协议分析器捕捉和分析协议数据包指导老师熊伟开课学院及实验室：计算机科学与工程实验室2014年11月28日一、实验目的(1)熟悉ethereal的使用(2)验证各种协议数据包格式(3)学会捕捉并分析各种数据包。二、实验环境1. MacBookPro2. MacOS10.10.13.Wireshark三、实验内容1 .安装ethereal软件2 .捕捉数据包，验证数据帧、IP数据报、TCP数据段的报文格式。3 .捕捉并分析ARP报文。4 .捕捉ping过程中的ICMP报文，分析结

2、果各参数的意义。5 .捕捉tracert过程中的ICMP报文，分析跟踪的路由器IP是哪个接口的。6 .捕捉并分析TCP三次握手建立连接的过程。7 .捕捉整个FTP工作工程的协议包对协议包进行分析说明，依据不同阶段的协议分析，画出FTP工作过程的示意图a. .地址解析ARP协议执行过程b. FTP控制连接建立过程c.FTP用户登录身份验证过程d. FTP数据连接建立过程e. FTP数据传输过程f. FTP连接释放过程(包括数据连接和控制连接)8 .捕捉及研究WWW应用的协议报文，回答以下问题：a.当访问某个主页时，从应用层到网络层，用到了哪些协议？b.对于用户请求的百度主页(),客户端将接收到几

3、个应答报文？具体是哪几个？假设从本地主机到该页面的往返时间是RTT那么从请求该主页开始到浏览器上出现完整页面，一共经过多长时间？c.两个存放在同一个服务器中的截然不同的Web页(例如，d.假定一个超链接从一个万维网文档链接到另一个万维网文档，由于万维网文档上出现了差错而使超链接指向一个无效的计算机名，这时浏览器将向用户报告什么？e.当点击一个万维网文档时，若该文档除了有文本外，还有一个本地.gif图像和两个远地.gif图像，那么需要建立几次TCP连接和有几个UDP过程？9 .捕捉ARP病毒包，分析ARP攻击机制。（选做）10 .TCP采用了拥塞控制机制，事实上，TCP开始发送数据时，使用了慢启

4、动。利用网络监视器观察TCP的传输和确认。在每一确认到达之后，慢启动过程中发生了什么？（选做）11 .在TCP知道往返时间之前，TCP必须准备重发初始段（用于打开一个连接的一个段）。TCP应等多久才重发这一段？TCP应重发多少次才能宣布它不能打开一个连接？为找到结果尝试向一个不存在的地址打开一个连接，并使用网络监视器观察TCP的通信量。（选做）尝试使用Winpcap自行设计实现一个简单的网络数据包监听与捕捉程序，同时将捕获的数据包进行分析并将结果显示在屏幕上。参考Winpcapde的有关资料/,http:/winpcap.polito.it（课后选做）

5、。四、实验步骤、记录和结果1 .安装ethereal软件Wireshark了。所以我在mac下安装的是Ethereal从06年开始由于商标问题改名2 .捕捉数据包，验证数据帧、IP数据报、TCP数据段的报文格式。VEthernetII,Src:Apple3d:2d:34(4D：6c:Bf:3d2d:34),D&t:FdjianiSt_5c:91：79(14：14：4b:5c:91:79)>Destination:FujianSt_5c:91:79(14114b:79)>Source:Appleld:2d:34(40:6c:8f:3d:2d:34)Type:IP(0x0800

6、)InternetProtocolVersion明Src:172,10.17.99(172.18.17,99),»5t:()Version:4HeaderLength:20bytesbDifferentiatedServicesField:0x00(DSCP0x00jDefault;ECN:DxOO:Not-ECT(NotECN-CapableTransport)TotalLength:76Identification:Oxd387(54151)3Flags:0xooFragmentoffs-et：0Timetolive:64Pro

7、tocol:TCP(6!> Headerchecksum:QxQODOvalidationdisabledSource:172.IB.17.99(172.IS.17a99)SourceGeoIP:UnknownJDestinationCieoIP:UnknowndTransmissionControlProtocol,SrcPort:50223(50223)PDstPort:80(S0)rSeq:4184115647,Ack:1044416479,Len:0SourcePort:50223(50223)DestinationPort:00(80)Streamindex:0TCPSegme

8、ntLen:0Sequencenumber二4184-115647Acknowledgmentnunfibr：1Q44416479HeaderLength:56byte$> BODOD0010DOD=Flags：DX010(息匚K)Window&izvaluer8192Calculatedwindwsize:6192lWindowsizescalingfactor:-1(unknown)Jt>Checksum:0x7e5BvalidationdisabledUrgentpointer:0> Options:(36bytes)jNo-Operation(NOP)No-O

9、peration(NOP)rSACK经过仔细对比，跟书上的报文格式一样。3.捕捉并分析ARP报文。卜面是发送广播的数据包9135.S5540100&Apple_3Ji2d：34BroadcastARP42Wiolias172.18.H.617Fell.172.18T17.MEthernetIL占尸：Apple3d:2d:34(4日：8c:3d:?d:34),Dst;Broadcast(ff:ffjff:ff;ff:ff)t>Destination:Broadcast>Source:Applejaajj4(4U：tc:ar;ja;ja:J4)Type:AKP_(wxuuuo)

10、IIn'1rTlJF第一行指示数据包发送的地址是ff:ff:ff:ff:ff:ff:,这是一个以太网的广播地址。第二行指示了就是本机的mac地址。下图是ARP报文7AddressResolutionProtocol(request)Hardwaretype:Ethernet(1)Protocoltype:IP(0x0800)Hardwaresize:6Protocolsize4Opcode;request(1)SenderMACaddress:Apiple_3d:：2d:34140:5匚：:Id:2d:34)SenderIPaddress:m,IS,17,99门9)

11、TargetMACaddress:00:00；0000：00：09(00:90:00:00:00:00TargetIPaddress;1(172.18.17,61)第一行红框表示本机的地址。第二行中mac地址为0,因为还未知道对应ip的mac地址。卜面是收到arp的回复报文914857981000Micro-St_e«:88:BeApple_3dl：2d:34ARP6a172/18.17,61isat8c:99:aS：eO：88:8emAddressFlesolutionProtocolreply)Hardwaretype:Ethernett1)Protocol

12、type:IP(0x0800)Hardwaresize:6Protocolsize;4Octode:eolySenderMACaddress:Micro-SteO:S8:8e(8c:89:a5:eO:S8:8e)SenderIPaddress:172-18：17-61(172.18.17,61)TargetMACaddress:Applj3d:2d:34(4D;6c:8f:3d:2d:34)TargetIPaddress:9(172,18,17.99)可以看到，红框部分即是刚才请求的mac地址分析结果各参数的意义。4 .捕捉ping过程中的ICMP报文,PJeanss-M

13、acBookPro:Jeans$pingbalducomPINGbaidutcam(220,1B1.57.2171:56databytes64bytesfrom2204181457.2171icnrp_seq=0ttl=49Requesttimeoutforicmp_seq164bytesfrom64bytesfrom64bytesfrom64byte5from64bytesfromhi/nefrAm17：220,101.57.217：220.161.57,217:220.1B1.57.217：220.181,57,217;1HlAT717icmp_seq-2tt1-4

14、9icmp_seq=3tt1=49icnip_£eq=4ttl=49icnip_5eq=5tt1=49lcmp_seq=6tt1=49*LiRincpfl=7十+1Qtime=123.140mstime-131.903mstlme=l24.4?3mstime-126.662mstime=203,498mstime-200.044msEQ=7伊7mu筛选对应报文Ittt.|np.addr=220,1®1,57.217|Expression.I1ClearApplySave2.11Chanrrel:IchannelOffset:FCSFilter:AllFramesNone_H

15、'.SenrnDecryptionKtys.lITimeISourceDestinationProtocolILengthIInfo14aLM的白筋1T2,16117.9220.131.57,217ICMP96Ech-opingkreque-stuck电理匚之才与四之2,犯骁ttl4115D1.175403D9D226.101.5782179ICMP9日Ech-o(piuiglireplyid=0X0234,56q=22/5632,.ttl=W(i2742.&65413LD0D172.IB.17.9917ICMP9BEchoping

16、；requestid=flKc234liseq=23/5B98lttl=64，i»13,(T721720W172,IQ.17.9917ICW>9日Echopingrequest34t.&e£)=24/6144rttl=64h5364,0769130009220.131.57,217ICMP99Ech-opintgl1requ*ttld=0)cC23.Spq=25/iS4iQ0rttl=644i5424.13740&0220.1B1,S7,2179ICMP90Ech-apinglinsp

17、lyid=0xc234,seq=25/64&01ttl4i选取其中一对进行分析1421.66加甘。刎172.IS.17,W226.161.SiT.mL好Echo(pinglrequestid=0X1:23415eq=22/S632jttl=61%LUM®油M2M_181-57.217172.IB.UrWI*P弼Echo(ping!replyidExcNa%seq=NZ/5$nttl=49，r金rnun上d1八九1Aq*irn八一C1AVET1，'TfLTnCLiL.4j.4.#d*1A4£a下图是request报文，从蓝色框中可以看出其类型。红框部分跟回复报

18、文的红框部分相同，指明是它们是匹配的。1rInternetControlMessageProtocolType:H(Echo(ping)requsst)cade:oChecksum:0x75e5correctIdentifier(BE);49716(Dxc234)Idgntjfi”UE):135060X34C2)Sequencenumber(BE):22(OxOOlB)Sequencenumber(LE);5832fEJxlb则Re印02gTimestampfromicmpdata:Dec6.201419:03:56.892320OOQCSTTimestampfromicmpdata(rela

19、tive):0,000113000secondsDData(48bytes)下图是reply报文，蓝色框中可以看出类型是reply,红色部分和上图相同,InternetCont口LPotocolType:0(Echo(ping)reply)Code:6Checksum;Qx7de5correctIdentifier(BE):49716(0xc234)Idg(LE):13506日x34c2)Sequencenumber(BE);22(OxOOIG)Sequencenumber(LE):5632£Ox1600)-equenrfrmme:L4ZResponsetime:111.823mst

20、>Data(56bytes)5 .捕捉tracert过程中的ICMP报文，分析跟踪的路由器IP是哪个接口的。在macos中使用的命令是traceroute,因此在终端中输入tracerouteJeanss-MacBook-Pro：Jeans£traceroute192,168,90.9tracerouteto192.168,9.9(192.160,90.91r64hapsrrax,52bytepackets1172.18.17,254(172,18.17,254)1,122ms0.027rrs0.804ms73(ie.253.6,1

21、7310.363ms0,360ts3192.I6B.90,9()0.B80ms0.934ms6,919ms筛选结果Filter:ip.addr=192168.50.9No.ITime|Source|Destination|Protocol|LengthInfo233l.B232340<M17.2.IB.17.99192.MS.9Q9UDPeeSourceport:46334Bestinationport:334352341.8239e20D172.IB,17.2549icrf94Tim-td-liv&中乂亡电电ded(Timetoli

22、ve&KC$ededititraniit)237L-827SS5M0172.IB.17,99UDP66Sourceport:46334Destinationport:33436.73片1.S2732WB7.254172.IS.17,5ICMP94Time-to-liveexceeded(Timetoliveexceededintransit2391.827926600172.IB,L7.99192.168s90.9UDP的Sourcepartz46334Destinationport；334372401.82S64760D172.IS,17.2

23、54172-18.17,99ICFF94Timeto-liveesceeded(TinvetoIN电exceededintransit).a1.82674700017.2.IB.17.99192.180.9Q,9UDP66Sourceport:46334Oestinationport!314332421.829004)010,253.0.L73172.ias17.99ICF4P70Time-td-liveexceeded(Timetoliveihtran&it)246l-8356500©172.IB,L7.99UDPsourcepcirt:46334口

24、port:334392471.8307950001253。173172.IB.17.ICMP7flTime-to-liveexceeded(Timetoliveexceededintransit2461.830957600172.IB.17.99192.1600.9UDP6£Sourcepert；46334Destinationport；334402491.83118160010,253.0-173172.18,17,99ICI4P70Timeto-Liveesceeded(Tin>etoliveexceededintransit)250L.BJlZeSOM)17.2,18.1

25、7.99192.W-UDP66Sourceport：46334Des-tinationport:334-412511.832061000192.l&B,90.99ICF4F94DstiriatiDnunreachable(Portuinireachable)2541-83381600172.18/17.99UDPbouncep0t:46334口电£tinationport:3344Z2551.8345a3£l0&172.IB.17,ICMP94DeEtinatinnunreachable(PortumiFeari

26、hable2561.834766600172.IB.L7.99192.1SB.90,QUDP66Sourcep&rt;46334DS.tinatiOhpdft:33J43Expression.Cleai；.：Save由上图可见，每个报文都发送了3次。而且跟Windows系统下使用命令tracert抓包不同，Windows使用的是ping(ICMPecho报文)，而在Linux,Unix下使用的命令traceroute使用的upd报文。不过两者的原理都是相同的，关键都在于TTL(TimeToLive)。下面来分析其中原理。前3个发送报文的TTLvrLdyb;uxcjuFragmentof

27、fset:0DTimetolive:1口f+imp/17对应收到的报文均是TTL超时LL/匚nLJJIIk&3I13=31rbWlIIfviVLJWlIJ产InternetControlMessageProtocolType:11(Tirr>e-to-liveexceeded)Code:0(Timetoliveexceededintransit)中间3个发送报文TTL比前面的多1,如下图Fragmentoffset:6»Timetolive:2Protocol:UDP(17)对应收到的依然是TTL超时pInternetControlMessageProtocolType

28、:11(Time-to-liveexceeded)Code:O(TimetoIiveexceededintransit)最后3个发送报文TTL再加1,如下图Fragmentoffset:0t>Timetolive:3Protocol：UDP(17)卜ikljarrhor1keiim"AvAHflini此时收到的回复报文变成了目的不可达，traceroute完成，由此看出，经过2个路由转发就可到达目的ip。laafa.WW4aWM"-l-9JVilliWaiilfiJdInternet,口ntQlPrctmolType：3(Destinationunreachable)

29、Code13(Portun>>xhsble)6.捕捉并分析TCP三次握手建立连接的过程。1$1.227.16§i.19TCP68.544424M0TCP7D.55SOSDOiDOLS9TCP7B35&69-Q0t.SYN7dS0-556691SyN,6655669-00ACK£eq=296651&04Wlhi=fi&535Len=fiMSS=1460«=16T£val=l19S629S43ACKSeq=l&am

30、p;943!5aD77Ack=2QiO651Ge5修in=5T92Len=eMS占=146+UCKS&q=29e6516D5Ack=169359D7BWin=131760Len=£lTSval=112B62MS£（第一次握手，客户端发出）第一个发出的SYN包关键数据可见下图Sequencenumber:290651604Acknowledgmentnumber;0SYN/ACK包，可见AckNum等于SYN的SeqNum力口1,并发（第二次握手，服务器发出）第二个收到的回了初始序列号Sequencenumber:1694358077Acknowledgmentnum

31、ber:290651605（第三次握手，客户端发出，确认连接）第三个发出ACK包中，SeqNum等于前一个包的AckNum,并发出ACKNum的值等于上一个包的SeqNum加1,发送此包之后，连接建立。Sequencenumber:290651605Acknowledgmentnumber;16943580787.捕捉整个FTP工作工程的协议包对协议包进行分析说明，依据不同阶段的协议分析，画出FTP工作过程的示意图a.FTP控制连接建立过程|SourceDestinationProtocolLengthInfo172,16,16.12B172.16.16,121TCP66SYHWin=8192

32、Le21172.16.16,128TCP66212555(SYN,ACK)Seq=2845945032Ack=36172,1&.1&.12S172,16,16,121TCP602555-21ACK15四=前9。5工8gLi财日三次握手之后建立连接b.FTP用户登录身份验证过程172.16.1612128172,16,1612821FTPFTP96Reppne:70Request:220FileZillaServerver&ion0,9.34beUSERsalesxfer172.16.16,121172.1

33、6.16.128FTP91Responsg：331Passwordrequiredfor172s16.16-128172,16,16.121FTP69Request:PASSpsswDrd2129FTP69Response:230LoggedonHTTI'llC1£!FfC1T1*U1C.TilrTnECE41n»0+MFC登录输入帐号salesxfer,密码pssw0rd,服务器回应登录成功c.FTP数据连接建立过程172.16.1&.1292128172.16.16.

34、1212B172.16.16.L2166TCP25599166SYNSeq=37S59QJ34LWin=8192Len-QHSS=1460K65TCP49165.2559SYNhACK5«q=：2414&40247Ack=J755902342Win=S60TCP25599166ACK5eq=37559Q?342Ack=2J14M0249Win=1752E)三次握手后建立连接，服务端数据连接的端口使用的是49166,客户端为2559d.FTPI发据传输过程2B172.16.115,121B3FTPRequest;STORStore4S

35、29-03222010.CS¥Z1172.16.ie.12879FTPResponse:ISOConnectionaccepted172.1616.120172aL6*.16.1211514FTP-DATAFTPData:1460byte与2B172.16a16.1211514FTP-DATAFTPData；1460fifths173.U.16.121172.IS.IC.12854TCP却166-255弓ACKSeq=241464fl248Ack=37559&5262Win=6553B2017-1211514F

36、TP-DATAFTPData:1460bytes2B172.L6.16.1211514FTP-DATAFTPData:1460bytes29211514FTP-DATAFTPOata:14&0bytes172.1616.120172sL6.16.1211514FTP-DATAFTPData:1460bytes172.16.16,121172.16.16,12854TCP49165,2555ACK14640243ACk=375591LL02Win=65536173.U.16.128172.16.16.Ill1514FTP-

37、DATAFTPData:1460bytes2B172aL6.16.1211514FTP-DATAFTPData:1460btes2B172.16-16-.121662FTP-DATAFTPData:Byt电多2B172,16.ie.1211514FTP-DATAFTPData:146。bytes2B211514FTP-DATAFTPData:1460bytes2B211230FTP-DATAFTPDatG：1176bytGS172,16,16

38、.128172.16.16,1211514FTP-DATAi-TPData:1460bytes20172s16.1.1211514FTP-DATAFTPData:1460btes172.16.16,120172.LB.16.1215B2FTP-DATAFTPDatd;523byttsL72.lfi.16.121172.16.16,12654TCP49166-25591AC*Seq=241464624BAck=3755922174win=65536请求上传文件，分段传输。e.FTP连接释放过程(包括数据连接和控制连接)首先是释放数据连接172,16,16.128172.16

39、-16/12160TCP2559-49166FIN,ACKSeq=3755922174Ack=2414M024a172,16,16,121172,16,16,12854TCP491662559ACKSeq=2414640246Ac22175Win=6172.16.16,121172.16.16,12054TCP491662559FIN,ACKSeq-2414640248Ack=3755922175282160TCP255949166MKJSeq=37S5922175Ack=24L4&40249Win=l172.16.16,121172.1S.

40、16.12671FTPRe5ponse:226TransferOK然后再释放控制连接172.16.16,128216QTCP255521FIN,ACK5eq=3690529L64Ack=2S459459491172/16.16,1212854TCP2U2555ACKSeq=2B45945949Ack=369S529165Winl172.1«.16.121172,16,16.12054TCPH555【Fl*ACKSeq=2845945949Ack=jE90&291E5117-282160TCPN55N1ACK1S

41、eq=J69D5291e5ACk=2845945950*fln=L)工作流程如下图所示SYNSYNandACKSYNandACKACKDaaFlov;ControlFlow8 .捕捉及研究WWW应用的协议报文，回答以下问题：a.当访问某个主页时，从应用层到网络层，用到了哪些协议？在应用层首先使用DNS,解析出ip地址，然后使用http,传输层使用tcp建立连接网络层使用ip协议b.对于用户请求的百度主页(),客户端将接收到几个应答报文？具体是哪几个？假设从本地主机到该页面的往返时间是RTT,那么从请求该主页开始到浏览器上出现完整页面,一共经过多长时间？点击菜单栏Statistics,Conve

42、rsations可见下图Conversations:bridgeWOandLoopback:loOEthernet:11IPv4:3|lCP:s|IPv4Conv5atiQn5AddressAAddressBPacketBytesPacketsABBytesA-»BPacketsATBytesA-BU9J5.21S7719255258473022776253可见客户端收到30个报文。过滤得出具体报文如下ilter:|=192.16E.L3&&：p$rc二二iia/，尸7M牙分“后门rharave'Enteradisplayfilterorchooseoneof

43、yourrecently)2.11Channel;HIchannelFfscthedfilleThebackgroundcolorofthisfieldis|同in-DecryptionKeys.yellowmayhaveunexpected_1changedby&continuoussyntaxcheck(green旧-TimeSourcevalid,redis.invalid-Be.242Z2M&01L9.75.21S.77192.16S.2.354TCP3Q-55EQ9ACK5eq|=2391329991Ack=7705&3flWin=-0032Ll9机30116

44、MM1H,75.21B.77inri6a.2.3471TCPITCP小tOfare”5MtmPUU1I10副3012CMM119.75,218.77192.1SS.2.369TCPTCPsegmentofareassembledP&UJ120.303639000110.75.21S.77192.16S.2.31494TCP(TCPsegmntofbreassembledPDU)13VM3&67机用119.75,218.77IK.160.2,31TCP1TCPsegrentof日reassembledPDUJ1416.303747OQO1L9.75.21S.77192.1SS.2

45、31494TCPTCPsegnuntofareasseinbledPDUJ153037e56M119-75,218.77ina&ar2.361TCP(TCP»gnMtofa鹏a"。册ledP0U1173M65UM119.73,218.77192.16a.2.31494TCPTCPsegmentofmreassembledP&UJIB0.304069000119.75.21S.77192.IBS.2.3151TCPTCPlegmntofareassembledPDU)196.304047OM119.75,218.771BQ.1&B.2.31494TCP

46、1TCPsegmentofareassenbledPDU)200.3040570067192.16S.2.3blTCPTCPsegmentofareassembledPDU)建机3Q497QCIM119-75,218,771gLi68.2.31494TCPITCP»gr»«fitof篇reas/sfrfflbUdP&U122a3UMMM119.75,218.77IK.2S3&1TCP(TCPsegmentofareassembledP&UJ236.苑皿了。时719J.IBS.Z.31494TC

47、PTCPsegfttfitofar&a&5embledPDU)24e,却5191g眦119.75,218.771M4TCP1TCP-segrentgfareassenfcledPDUJ25e.3EJ52fl50a-D7192.16S.2.3BLTCP(TCP:segrrentofmreassembledPDUJ26机3Q5339eOT119-75,218,77192.166,1.31494TCPITCP»giNefitof3reas,5frfliblifrdP&U)27机3M4”电M119.75,218.771&#

48、187;.IM.2.31494TCP(TCPsegmentofareassembledP&UJ2Qe.305453«M1111.75,216,77192.IES.S.3ElTCPTCPsegnut&farea&&e-mbledPDU)29e,30634MOT1L9.75.21S.771494TCP1TCP-segrentofareassembledPDU)3EJ0.306353007152.16S.2.3BLTCP(TCPsegmentofmreassembledPDU)443177610OT119.75.

49、218.771494TCP1TxpU*gmeiitofaFHIiCMblttdPDU)4S0.317732OM119.75,218.7719>2.IM.2.31494TCPTCPsegmentofmreassenttledPDUJ46e.sivge3echEi119.75,218.77m1494TCPTCPstgwit&faremxembledPDU)47S.317»»M119.75,218.771494TCPITCPsegmentof刀reassembledPDUJ510.i22559-0af)119.75.218

50、.77192.16S.2.32Q9HTTPHTTF/1.120QOK(texthtml)55i.maslew119,75,218.77in.i&a.2.354TCP30-556e9ACKSeq=231350794Ack=77Q6523*An=425圈USBL12324007192.16S.23315TCPTCPsegmentofareassentjledPDUJ591,1231554g119.75,215.77192,Ififi.2.m122HTTPHTTP/1.12W口K(ttxt/html)点击菜单栏Statistics,Summary可见下图，红木1所示，耗时1.006秒DisplayDisplayfilter:ip.dst=&&ip.src=7Ignoredpackets:1(L429%