实验四、使用Wireshark网络分析器分析数据包

1、实验四、使用Wireshark 网络分析器分析数据包一、 实验目的1、掌握Wireshark1具的安装和使用方法2、理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构3、掌握ICMP协议的类型和代码二、实验内容1、安装 Wireshark2、捕捉数据包3、分析捕捉的数据包三、实验工具1、计算机n台（建议学生自带笔记本）2、无线路由器n台四、相关预备知识1、熟悉win7操作系统2 、 Sniff Pro 软 件 的 安 装 与 使 用 （ 见 Sniff Pro 使 用 文 档 ）五、实验步骤1、安装 WiresharkWireshark 是网络包分析工具。网络包分析工具的主要作用是尝

2、试捕获网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark是最好的开源网络分析软件。Wireshark的主要应用如下：（ 1）网络管理员用来解决网络问题（ 2）网络安全工程师用来检测安全隐患（ 3）开发人员用来测试协议执行情况（ 4）用来学习网络协议（5）除了上面提到的，Wireshark还可以用在其它许多场合。Wireshark的主要 特性（1）支持UNIX和Windows平台（ 2）在接口实时捕捉包（ 3）能详细显示包的详细协议信息（ 4）可以打开/ 保存捕捉的包（ 5） 可 以 导 入 导 出 其 他 捕 捉 程 序 支

3、 持 的 包 数 据 格 式（ 6）可以通过多种方式过滤包（ 7）多种方式查找包（ 8）通过过滤以多种色彩显示包（ 9）创建多种统计分析五、实验内容1. 了解数据包分析软件Wireshark的基本情况;2安装数据包分析软件Wireshark；3配置分析软件Wireshark；4对本机网卡抓数据包；5分析各种数据包。六、实验方法及步骤1. Wireshark的安装及界面（1） Wireshark的安装（2） Wireshark的界面启动Wireshark之后，主界面如图：精品-.|-|x曰忸 Fdtt m学" Qgi tapTure 加油炉尸 里第1鼠i畤 tjnip司j第蟠巴因x噂啰

4、四中才如誉如i|n|R 曾氢ICliL.No PsckfrlsRers1 1e load ar c apnjrt主菜单项：主菜单包括以下几个项目：File包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出 Wireshark项.Edit包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。）View控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离窗口，展开或收缩详情面版的地树状节点精品GO包含到指定包的功能Capture允许您开始或停止捕捉、编辑过滤器。Analyze包含处理显示过滤，允许

5、或禁止分析协议，配置用户指定解码和追踪 TCP 流等功能。见Statistics包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。见Help包含一些辅助用户的参考内容。如访问一些基本的帮助文件，支持的协议列表，用户手册。在线访问一些网站，“关于”等等。2. Wireshark的设置和使用1）启动 Wireshark以后，选择菜单 Capature->Inteface初择捕获的 网 卡 ， 单 击 Capture 开 始 捕 获ccshaEk: 匚叼/tire Lut erfaccs:1摩OecrlplldrP Patkets Pstkec§. 外。/曲t

6、Qi gg曰i祀 ijialyp and VPN*加1 0* inUii(R)PROJiaOVE Nulwu眼C DflfiuubOn (MtLru-uirPwrMISck业Jlu。10,2C 61.1527QI 口£92）当停止抓包日So按一下 stop,抓的包就会显示在面板中，并且已经分析好了。下面是一个截图如图2-2所示。sourvwKtlri4llonDrjto-ol inroTCPj田口_de yicv/ Ocj &epnrg 3n力忙 由肌isiic* He t)20 7.53121f £一 /.5Jlbt ?： 7. rSJCFl Pi r Flf 2

7、S 7.26 7. 3555 17 7, £9西5®115.233. 54.IS110.20.bl.151CJ. 2D.C1.1 E HS.2d8, 54.139115.23S. 54.13电1X5.228. 54.1310. 2D.fil.L554*1i910 . 2 0. 61.15Hb.2jd. 4.L”51320. 61.131 0.70. M r1 510.20. bl.lb115. 23B. 54.131Q.<!0. bl. 15TCPTCP HTTPTCPp p p PTI-TCTCTChl r 3 > 185 STN,5m

8、qu.y5 a htrp lajCk sec-1 i3CT unt Bf rt/rtfetw jp1 k/rkhnto > JJ.B8 CACk； m A< TCP seiipnrt 口: a r Po seirh TC- saquenrt 1一 a rBsserrlb U.B5 > http ACK SBqa505 .a rQi?Ecirb7R 7,RQ?04S29 7, 5g3aL730 7. 53211: /.ty2j4/32 7. 7072M. 7,70B5S534 7.7? ? r 7c? R T 1 1 It 7J10.20.KL.U U5f23B. 54.13

9、10.2D.6il.il 10.?0.0tl»15 100.61.1511S.23S.54.13910.2 0. 61.13U5,NM&，4,LM9 10.2 0,61.15 U5. 23M. 54.L35 11548.54.L39 115.233. 1C.2D.fi1 .1 15 i a i ft 匕i i uPPPTPPP-nt'-tcesTCP SflfpiR it I I - i r Pn5 *ir |j' L1&5 a MB ACK Sq-505 f LtCi= RegnpF of t rec3eirli' GET /co nrt e

10、nft ctv/3r k r es r US7 > http 5tn -口 Ler LI的 , http占N SDG-a LGr TC segupnr 口， a rFirh'(Urit it led) 一 Tii eshai k王 Frame 19 bytes on vire, K biyteS capturtcO*+ EThernet II, 5rc: Vr1strorLJ34 :ec:d3 COO:Oa :34:ec:d3, Djt : nangzhou_3e:Sb:ed CCiO:Of:一n mrprnpt Pr nrnrnl. qrc lo.XkfiIJS fl b. X

11、kfrlJ 讣. mt： 11 . ?RJ U.14 门 1胃目、上u口 Dor口上M0tb0-210 0打r6C440002 DBAfin04fll00Q03 0ft产73Ifao_u «c?o eO 5 3 0 4:7 7 of o 3 口口 口口. H d 0. 口 3 口a 3 4 011 o o ,c aol e o o -u 3467958 界"Q'5 a 6 ri 4 cdQ c G- 2, 0 820 NW D o D_ eon oFiS.FtKOLMErl J矶4MgWML%liTMrrpWm叫印M . F. -就C 口K)pm；匚图2-2 Wir

12、eshar瞰据包分析Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被 分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式2）设置capture选项选择菜单captureInterface,如图2-3所示，在指定的网卡上点Prepare按钮，设置capture参数。图2-3 capture选择设置Interface：指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以。Limit each packet限制

13、每个包的大小，缺省情况不限制。Capture packetsin promiscuous mode：是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项：Filter：过滤器。只抓取满足过滤规则的包（可暂时略过）File：如果需要将抓到的包写到文件中，在这里输入文件名称。use ring buffer:是否使用循环缓冲。缺省情况下不使用，即一直抓包。注意，循环缓冲只有在写文件的时候才有效。如果使用了 循环缓冲，还需要设置文件的数目，文件多大时回卷。其他的项选 择缺省的就可以了。2.显示过滤器的使用方法在抓包完成以后用显示过滤器，可以在设定

14、的条件下（协议名称、是否存在某个域、域值等）来查找你要找的数据包。如果只想查看使用TCP协议的包，在 Wireshark窗口的左下角的Filter中输入 TCP,然后回车，Wireshark就会只显示TCP协议的包。如图2-4所 示。图2-4设置过滤条件为TCP报文如果想抓取IP地址是5勺主机，它所接收收或发送的所有的TCP报文，那么合适的显示Filter (过滤器)就是如图2-5所不。tie E&H 岂点附 Qc 心spilL1p flnislyzE GlalTu Help& *3 国、牛，而北(=|L” .4SL岫IS白阳x ig ggjug taliE

15、m奖尔1匚IQRTime-工F ? , 口/省方口 18. J.614i9«_ LQ 2,C.1WQ7 2U .61592 n 2rOJ«fll 11I”，= 1 , T , R m lL.2U.blul5 1U. JQ. ftl.l'i 1L-.2CI. &1.15I *. . , % >U1居UK埠7%LMEbFiBoari肛!MT 2Jua.iU.±D0.19 m. ta.iDi.LW H.aB iU.LD0-.L 工"d-l*， U.a4 6L.15hTTp ：？3H 八 心fgEtrir»slS*Q LSR-Q

16、Wii-VIEQ了 hr” UHJ _eq-L A->L-_ 5/iE55上 5 L£j、T P -.*si£T' af a rikat/t«nbl«d PbUQCT / HTTFjA.plH.CP * 22” MDK EBql MtT4 ML >Hn7FM LM-fl h仃p :=。AGKl 5仃L 口口厂工转办碗加方76, L-tn-V3 d入后5泡IL ar 2 r655939 mane。 2.673955 4U 工 HM4 41 5,741?趾，E JlL以3% 10,0=61.12ULM3.，n%制，工口目.1921L.J&

17、#39;Jb6±-1 己呼口IMKi缸,骁21S.3QrlDB.L92 1dl24iU：L51O.2CI.&L.152A3. JU.LDB.192 工，WlyiT-l&fl L rtyn-rrp t 中需|14?3F 3 hit匚AZhjl 5P1-L5B6 A<k-15D3 h*in-6555 5 LmnT cHTCtrtuMlon x hon-nTTP tfirric匚arrtMuatTg gr non-niTP traffica> inep ack工，ug wtgh rtn-珏制3 unoi 凸|-1，+5 门L nnri-Ep rpft-.r42

18、2.6S3S3321Su.! J.I.jE,191-.J, hl.15，4 F 西通1:，ri rr w er，中 7rl f n* i m Dirftrkfii1«u stryiLes ft。】ch a>uy Ckcf U>ie l出igTjl Lfigrh: 432 d = nt SFlcat-5 nn: a SoS Md:0才：！* F1 s e M4* CDcn! t Fracpem)fWk offset i 4Ure tb ll'/e: 123PraTmLDl ; TCP g40i- hum盯 ckieci sun； uKMei? wrfKl5a-jrc

19、e: id.20.61.15 CX-t 15)OiTtlfiirlan：打露的.1口个工盟 C1&门如1词9口cwmTnuatiDin or r»n-MrrP crarnc7'，/ .！*#A、.t K JLT/-F%rdul L； L_HS 口皿；J r 1 If _ h Cu o-d-o u Lx i-,'d & 5 riH uu.& u m? u 号； Q-DD Er&B& ouoo 导中。a i r c L E t R 世在。1 T -Jljf 手<， D«匚干 L cft=iUE.I ulb 5 i=

20、& J 4t- T u? u Odo h d -u-d- u 3b& J 4 O1 di-'0口 比照 “墟现m 4 d dr' g di JQlOrl .1 l-J；.F，rl”中疝曲1B4LDCALJMmni|AlHMrK«QtfWf9MB|iaCD。陀 UT1 ： H KI Nt DPB|IK 0图2-5设置过滤条件为IP地址是5的主机所有的TCP报文七、学习使用WireSharkM ARP协议进行分析(1)启动 WireShark(2)捕获数据(3)停止抓包并分析ARP请求报文将Filter过滤条件设为arp,回车或者点击“

21、 Apply ”按钮，(4) ARP请求报文分析1）粘贴你捕获的ARP请求报文CVMHIWJ -二/又£ie Edit ，士川屯口 CvduS 占 f/q thl=ics |idp 本立 占应*回审中色百卫 国反孰& &厂 司牯脚目Ei般t号甲 Em'刖.如智酗帆Nd.Til 1 wS ='ursDashin aticri3rctocc 1Ed7O.36W：明河口 n一 ;M!如：M:印：削？QPi?i；34；a5i；gT.：i&L Pg ad，=" L台口目£|匚胃61：MN'H 口%：1l.2-oL.25*? M

22、和HWT6)lTall10,20.jg3g c4b?T7二 Mwhohatio. za.si. miT®11加一九我k。g3 a 2J-4 76sorry, re： 2rita7=：ra3dciSLAF 33mT山二1L- 23 it. 25-5 *TelliU.2D. &1.14144,nm4加”1酊 IMdU"mIiDhas工am. 02Tell10.1k U.10-，aj电色in wlrtp nu 6yt*i工邛ku曲山Af-rlVil TlitiR； 即 工乙 ？口0 21 ；4.15；4=5?自工乃作。口Hw delta Am prei.H dus pac

23、ket;3 518-aQi?DD seconi?5Tim* alnce reference cr flrat F5e:白.勺33自？60力 Grunds f/前七 wuiHErt *Pack et LenjthT 后q bf/tE?£ jpturG> Lflgch: 160 byt。Fre “FjlsrlffwedcoTs In fr =me, eihi=irpjCfllortfia Mie MM«： AV«-gliiring E-uIg- string? rp-Erh srnet hi, src： s-zsTTt J5i： j3<5 c i rr ：

24、 2 51D5 ； 41 ： 1i fc ds ci eraidcasL err trr irTsFir ：rr：nr)+ dcfck 2sm seialuci&i 国修匕口(仃1 0 裳<X1LJ IXI1U tL33。11FwEnMhtl35*£|P 1*0 BM ODr&.pE ri2）分析你捕获的ARP请求报文第一行帧基本信息分析（粘贴你的Frame信息）Frame Number （帧的编号）：1457（捕获时的编号）Frame Length帧的大小）： 60字节。（以太网的帧最小 64个字节，而这里只有6 0个字节，应该是没有把四个字节的CRC计算在里

25、面，加上它就刚好。）Arrival Time（帧被捕获的日期和时间）： sep 23,201415 :15 :38 .463721000 Time delta from previous captured frame!（距离前一个帧的捕获时间差）0.002937000 secondsTime since refernce or first framed距离第一个帧的捕获时间差）：24.488816000 secondsProtocols in frame帧装载的协议）：eth:arp第二行数据链路层: （粘贴你的数据链路层信息）Destination （目的地址）：_Broadcast（ff:

26、任ff:ff:ff:ff）_ （这是个MAC地址，这个 MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）Source （源地 址）：G-ProCom 45:48:16（00:23:24:45:48:16）帧中封装的协议类型：ARP（0x0806）（这个是ARP协议的类型编号。）Trailer：是协议中填充的数据，为了保证帧最少有 64字节。第三层ARP协议：（ 粘 贴 你 的 ARP 请 求 报 文）在上图中，我们可以看到如下信息：H ardware type(硬件类型)： Ethernet(l)P rotocol type (协议类型)：IP(0x0800)Hardwa

27、re siz缠件信息在帧中占的字节数)：_6P rotocol size假议信息在帧中占的字节数)： 4操作码(opcodes : requset(0X0001)发送方的MAC地址(Sender MAC address: G-ProCom 45:48:16(00:23:24:45:48:16)发送方的 IP 地址(Sender IP address :2(2)目标的MAC地址(Target MAC address:00:00:00_00:00:00(00:00:00:00:00:00)目标的 IP 地址(Target IP address:10.30.2

28、8.1()(3)分析ARP应答报文(粘贴你的ARP应答报文)应答报文中的操作码(opcodes : reply(0X0002)发送方的M A C 地址(Sender MAC address :_0c:da:41:63:03:f4(0c:da:41:63:03:f4)发送方的 IP 地址(Sender IP address :_()目标的MAC 地址(Target MAC address: G-ProCom_45:47:dd(00:23:24:45:47:dd)目标的 IP 地址(Target IP address:

29、8(8)练习1:对于上述2、3中的arp请求报文和应答报文，将ARP请求报文和ARP应答报文中的字段信息填入表 3-1。表3-1 RPP请求报文和ARP应答报文的字段信息字段 项ARP请求数据报文ARP应答数据报文链路 层Destin ation 项Broadcast(f:f:f:ff:ff:ff)G-ProCom_45:47:dd(00:23:24:45 47:dd)i:链路 层Source 项G-ProCom_45:48:16(00:23:24:45?8:16)0c:da:41:63:03:f4(0c:da:41:63:l:f4)03网络 层SenderMACAddressG-ProCom_45: