利用wireshark分析HTTP协议

计算机网络实验报告

年级：通信姓名：学号：

实验日期：2014年4月30日星期三

实验名称：利用wireshark分析HTTP协议

一、实验目的

分析HTTP协议

二、实验环境

与因特网连接的计算机，操作系统为Windows,安装有Wireshark、IE等软件。

三、实验步骤

1.利用Wireshark俘获HTTP分组

(1)在进行跟踪之前，我们首先清空Web浏览器的高速缓存来确保Web网页是从

网络中获取的，而不是从高速缓冲中取得的。之后，还要在客户端清空DNS高速缓存,

来确保呢b服务器域名到IP地址的映射是从网络中请求。在WindowsXP机器上，可在

命令提示行输入ipconfig/flushdns完成操作。

(2)启动忻reshrk分组俘获器。

(3)在Web浏览器中输入：

http://gaia.cs.umass.edu/wireshark-labs/HTTP-wireshark-fi1el.html

(4)停止分组捕获。

r

—Realtek10/100/1000EthernetHICMicrosoft'sP・••叵^反］

FileEditVierGoCaptureAnalyzeStatisticsTelephonyToolsHslp

&弧立♦•i以后於三昌1q*♦曲不生i®310^戊臼1一囱妈»

—

Filter：dns▼Express!on...ClearApply

No.TimeSourceDestinationProtocolInfo

788140.32995210.30.59.85DNSStandardqueryAdl.1jinshar®1

788240.330215510.30.59.8DNSStandardqueryresponseCNAJ*

1995489.47508210.30.59.85DNSStandardqueryAu.aptpci2c

1995589.475377510.30.59.8DNSStandardqueryresponseAIE

2121699.91187910.30.59.85DNSStandardqueryAup.1jinshar

2121799.912134510.30.59.8DNSStandardqueryresponseA11

10.3。.39.MNW.194.104.33DNSstandardqueryAcs.weishl.1

2122999.958602510.30.59.8DNSstandardqueryresponseA11

22792110.86233210.30.59.85DNSStandardqueryAconfig,piny

22793110.86241810.30.59.85DNSStandardqueryAconfig.piny

22794110.862611510.30.59.8DNSstandardqueryresponseCNAK

22795110.862685202.194.104.3510.30.59.8DNSStandardqueryresponseCNAN

23574112.62459610.30.59.85DNSstandardqueryAping.pinyir

23575112.624841202.194.104.3510.30.59.8DNSStandardqueryresponseCNAF*

24244114.63410810.30.59.85DNSStandardqueryAww.sogou.cv

-1AACf\CCLL——97's」

>

+Frame7881:75bytesonwire(600bits),75bytescaptured(600bits)

£EthernetII,src:HonHaiP^_81:72:do(00:22:68:81:72:dO),Dst:Hangzhou_7b:f8:41(0C:23:8?

+internetProtocol,Src:10.30.59.8(10.30.59.8),Dst:5(202.194.104.35)

ffiiKprDRTagramPrnrncnl,«；rcPnrr:42144(42144),DATPnrt:dnm^in(52)

*nnma-inMamat/vram(HI

oo0o0023897bf84100

77-

oo1o003d292C0o0O8022688172dO080045007#-.{.A.h.r...E.

11

oo2o6823cf980o350099780ale3b08cac2.x..;...

ooo00o029dfd64bfe01000001：5")•・K...••

30ooo0O00o264

ooo616fd06c08696a696e73681.ijinsh

46eo3636000d

010001..

❷File："C：\DOCUME~l\ccec\LOCALS~l'.TempPackets：60572Displayed：34Marked：0-Profile：Default

图1:利用Wireshark俘获的HTTP分组

浏览Web页面经过如下三个过程：

（一）DNS解析

在URLhttp://gaia.cs.umass.edugaia.cs.umass.edu是一个具体的web服

务器的域名。最前面有两个DNS分组。第一个分组是将域名gaia.cs.umass.edu转换成

为对应的IP地址的请求，第二个分组包含了转换的结果。这个转换是必要的，因为网

络层协议一一IP协议，是通过点分十进制来表示因特网主机的，而不是通过

gaia.cs.umass.edu这样的域名。当输入URLhttp://gaia.cs.umass.edu时，将要求

Web服务器从主机gaia.cs.umass.edu上请求数据，但首先Web浏览器必须确定这个主

机的IP地址。

（二）TCP连接建立

随着转换的完成，Web浏览器与Web服务器建立一个TCP连接。

（三）HTTP交互

Web浏览器使用已建立好的TCP连接来发送请求“GET/HTTP/1.1"。这个分组描述

了要求的行为(“GET”)及文件(只写“/”是因为我们没有指定额外的文件名)，还

有所用到的协议的版本("HTTP/L1")o

分析截获的结果,回答下列问题:

粘贴前面的地址解析的两个DNS分组

1本帔注ItIfiieshark1.9.0(SO4T770ft&a/tiutkk))E回区1

Efe^8G4M。AoaMoatsoctYotac^cr]lock夕3ruk

BM«ft«B@X0Q♦♦•番业」E|Gi@Q0O1M*KB

lilt*hiCl««r”；.S«r»

1•*«*>••上♦”"L»y，hX*f«

M25.5如4481。.30.38.1，22X.204.，.2。，2MSMErdquery8504【iMlfoEpP4<fcet]

3535.58703800221.204.7・2O510.JO.5M5214Standardqueryom(HalfomcdPacket]

203631.715M9O1O.50.58.152O2.1W.LO4.3573StarxWdquery0<2dB2Asug.sc.36O.cn

203731.7160210202.IM.104.3515239scandirdqueryr«spons«0<2d82CVUMCsug.so.qh-1b.cofiA106.120.160.147

MH28267gl0.30.58.”2O2.1W.IW.J$〃jtancMrdquery02191A94c.e.9“$.03

ai633.918030010.>0.58.15221・204・，.248“3StancLirdqueryoeggr»o*n(29,6)<uMeriextendedlabel*Unknown(2602)<ur*nr*ne«tendedlabel>Unkno

M8733.9JJM7O2O2.194.1O4.3510.JO.58,1528Standardqueryresponse0*0291A128.U9.245.1?

218933.938081010.30.58.1S202.1W.104.3581StafuWdqueryOxcobSAcrulas.trcwsor.36O.cn

33.^6200202.1^.104.3510.20.58.1)310scdntUrdqueryresponseOicebSCNAMCcrul»s.trMAr.360.cc91lb.netCKAXEccOOll3.h.c«c.ccgtlb.netA27.105.14

335.62399901—3202.194.104.1535Star^irdqueryOrOdlbAsea''jble-netwcrkj.cor

240436.4032120202.1W.104.3510.JO.58.15CHS192StarxiirdqueryresponseOnOdlbCHM*sealable-ncvwwks.conA72.3.245.222

»FraneZ193:189byxeionwirebHs),189bytescaptured(1512bits)oninterface0

•tthcrnctXX.Src：Kangzhou^b：fS：41<00:23：B9：7b：f8：41).&5t:0«n_49：4c：9f(bc：20：5b：a9：4c:9f)

.xrrtornetProrocolversion4.arc:221.23.7.248(221.264.7.248).C»t:10.30.58.15(10.30.$8.15)

version:4

Header】Ejth：20byte»

aDifferentiatedServicesField:0x00(OSCPOxOO:Oefaulc；£3:OxOO:wot-ECT(wotKN<ipableTryisport))

TotalLength:175

l<tont1f1<AXlon:0x0000(0)

288(Pon'tFT即em)

Fragmentoffset:0

T体。toMv«:53

protocol：9Pj/j

a0・UMd[correct]

(Good:True]

(Bad:False)

Sourc«：221.2M.7.248(221.2M.7.248)

阳HfU"8：10.30.S8.1S(10.30.$8.IS)

[sourceGeoXP：unknot]

t-z"8GeoIP:unknown)

useroatagrinProtocol.SrcPort:dorvaSn(»).^ort：pr4-cl»fd(1587)

sourcapert:dewain(55)

阳port:prA-e1i»d(1587)

Length:155

aChecksur:Oxc42a[validationdisabled)

aDeminwam>穴5

启•々曲理

800b<30Sba94c0023897bf8410884500,0[.L..*T*..C.

W10CO4f00OO40003511lb4dcMcc07f«Oale.M•1<7.1

0020“Of00”06A。0的C424603CO*Od00：..5.3...*

830OO0100OO30OdOa36”30623161613865....0..6SOblaaSe

0X03635023334JJ3734393934353631k30Sb乂374994eO17Q

£2?G,、K2cS70g，>27，介7ffccRij

•纱Ho・SM"，，八<OMyd，，W«XAL5“PE»e：83MoeptofOd12(0」%)Oc<»x1:O(0K)

DONS协议主要使用LDP封装还是TCP封装？

一TCP封装____

2)DNS查询消息的IP地址是221.204.7.205?你默认的本地DNS服务器

的IP地址是—10.30.58.15?

3)DNS查询消息的目的端口是domain(53)?DNS响应消息的源端口是

20430?

粘贴Web浏览器与Web服务器建立一个TCP连接的三次握手报文

Ifiiesharlt1.9.9(SOtev<T?iOftv«/tiuak)]二叵区

Efea*8C4M06Mle^utKOctTotaptcr^locit丁3zkg>

•&^KS〈♦♦♦用业日心@d&C]”的，务止

，办“vCl««rStff

1•♦*><•>♦3"Uf4llkX»f«A

2X9”・8528IM01gN20・lS・I"15HTTPJ2)HTTPA.l200OK(appl<C4t1on/j4v4S<r1pt)

219633.990592010.J0.58.15040HTTPGET/hn.g1f»cc-l4ci-14<1.32-bt405-144Ox9CC*ep-451OCO%2C9O7974et-34<:l-ll.36ja-lAln.zh-cn^l<X»4n-1395.94W47A

220033.993464010.}0.58.15123.125.U5.1WHTTP909OCT/cl1ct.9lf>p1d-lAt1d.lAfrUA4CT,1d-l0CO384ur)-hTTp%3AX2nQF*cnku.ba1Aj.ccn%2Fv1eA2ra2a32U576c6«l37cc06

)4.02610)061.115.1Si.14015HTTP5HTTPA.1?00C*(GIF6V4)

?a034.OM095O710.J0.W.15HTTP4J4MTTPA.O200<*

221534.0378070123.125.115.1W10.J0.W.15HTTP197MTTPA.l204NOContent

227134.W6U8O1O.30.58.1540HT”833GCT/Twi.g1f^CC-lAck-14c1-32-b'tAOt-1440x<>CCAcp-%5B%7B.X3A-303K2Cy*3A4165X2CX%3AbX7D%>D4«^-2At1-11.5451-1A1n-

227834.820770IQ.30.S8.1566HTTP687GETA.glf'pitf-JOZAtype-JOZSA-44^6<rMt-17^.146562^-7ia4f-8C«>XA<--hCXp»3AJQrt2Fw^u.bAlAi.<or*WFvl4^Cr64

M.000004061.115.1S5.1401。・30・%・”HTTP97MTTPA.l200OK(G”89,)

228635,<M7447OO1,1?5.1W.2«10.30.W.15HTTP343MTTPA.l200OK

230835.270954010.?0.58.152HTTP642OCT/MTTP/1.1

232835.5058380128.lift.245.1210.30.S8.15HTTP83MTTPA.l200CK(tOXX/hTfll)

2332J5.614508010.10.58.1512S.11Q.24S.1?HTTP48Gb/〈rrgjgp.jpgMTTPA.10

aFrine2203:429byres8wire(3432Mts),429bytescaptured(5432bits)oninterface0

•tthcrnctXX.Src：g】l_a9：“：寸(t>C：30：5b：>9：4c:»f).Ost:Hingzhou_7b：f8：41(OO：2J：89:7b:f8：41)

-XM^rnetProtocolv«r«1on4.arc:10.30.Si.lS(10.30.58.15).Dst：27.W5.145.17(27.1^5.145.17)

version:4

-a”“bytc»

aDifferentiatedServicesField:0x00(OSCP0x00:Oefaulc；£3:0x00:Mot-ECT(wotKhKipableTransport))

TotalLongrh:415

KtontlfRaxIon:0x40《27584)

2FHgs:88(Pon*tFT沏ent)

Franientoffset:0

Tineto1W•:128

protocol：TCP(6)

aHaiderch^dcw:0,必7[correct]

(Good:True]

(Bad:False]

Source：10.JO.58.15Q0.30.58.15)

恒"8：J7.W.14S.17Q7.1«$.145.17)

(SourceG«IP：unknot]

(OestlrMtionGeoIP:unknown)

•Trinsnlss^onControlProtocol.SrcPort:p-ofllemc(4749).OstPort:http(80).Seq:1.Ack：1.LCA:375

启•0曲说“

800CO23897bf841be30Sb094c异0084500.".{.A.0C.L777C.

•1<7.(媒・•・!

现8?!K*；：留器第像？屋；羽爵行为盆器:上看:；:::t:

8*一仟f2928004745M202f373930JO65<XT/7900c

—2LH2?算由JL2L2SUSJi然弟：9览”格

■—“七glXCVOKMHSCALSyMateS3*OeptorodS（09%）Ocpood:0gOMPrtfb;Dof

图HTTPGET请求信息

（1）在协议框中，选择“GET/HTTP/L1”所在的分组会看到这个基本请求行后跟

随着一系列额外的请求首部。在首部后的“\r\n”表示一个回车和换行，以此将该首部

与下一个首部隔开。

“Host”首部在HTTPL1版本中是必须的,它描述了URL中机器的域名，本例中是

http://gaia.cs.umass.eduo这就允许了一个Web服务器在同一时间支持许多不同的域

名。有了这个数不，Web服务器就可以区别客户试图连接哪一个Web服务器，并对每个

客户响应不同的内容，这就是I1TTP1.0到1.1版本的主要变化。

User-Agent首部描述了提出请求的Web浏览器及客户机器。

接下来是一系列的Acspet首部，包括Accept（接受）、Accept-Language（接受语

言）、Accept-Encoding（接受编码）、Accept-Charset（接受字符集）。它们告诉Web

服务器客户Web浏览器准备处理的数据类型。Web服务器可以将数据转变为不同的语言

和格式。这些首部表明了客户的能力和偏好。

Keep-Alive及Connection首部描述「有关TCP连接的信息，通过此连接发送HTTP

请求和响应。它表明在发送请求之后连接是否保持活动状态及保持多久。大多数HTTP1.1

连接是持久的（persistent），意思是在每次请求后不关闭TCP连接，而是保持该连接

以接受从同一台服务器发来的多个请求。

(2)我们已经察看了由Web浏览器发送的请求，现在我们来观察Web服务器的回

答。响应首先发送“HTTP/11200ok”，指明它开始使用HTTP1.1版本来发送网页。

同样，在响应分组中，它后面也跟随着一些首部。最后，被请求的实际数据被发送。

图HTTP响应

第一个Cache-control首部，用于描述是否将数据的副本存储或高速缓存起来，以

便将来引用。一般个人的Web浏览器会高速缓存一些本机最近访问过的网页，随后对同

一页面再次进行访问时，如果该网页仍存储于高速缓存中，则不再向服务器请求数据。

类似地，在同一个网络中的计算机可以共享一些存在高速缓存中的页面，防止多个用

户通过到其他网路的低速网路连接从网上获取相同的数据。这样的高速缓存被称为代理

高速缓存(proxycache)o在我们所俘获的分组中我们看到“Cache-control”首部值

是“private”的。这表明服务器已经对这个用户产生了一个个性化的响应，而且可以

被存储在本地的高速缓存中，但不是共享的高速缓存代埋。

在HTTP请求中，Web服务器列出内容类型及可接受的内容编码。此例中Web服务器

选择发送内容的类型是text/html且内容编码是gzipo这表明数据部分是压缩了的

HTMLo

服务器描述了一些关于自身的信息。此例中，Web服务器软件是Google自己的Web

服务器软件。响应分组还用Content-Length首部描述了数据的长度。最后，服务器还

在Date首部中列出了数据发送的日期和时间。

根据俘获窗口内容，回答1-6题。

(1)你的浏览器运行的是HTTP1.0,还是HTTP1.1?你所访问的服务器所运行的HTTP

版本号是多少？

HTTP1.1versionl.1_________________________________________________

(2)你的浏览器向服务器指出它能接收何种语言版本的对象？

Accept-Language:zh_cn\r\n____________________________________________________

(3)你的计算机的IP地址是多少？

____10.30.58.15______________________________________________________________

(4)从服务器向你的浏览器返回的状态代码是多少？

200ok

(5)你从服务器上所获取的HTML文件的最后修改时间是多少？

Date:Wed,30Apr201408:16:13GMT\r\n

(6)返回到你的浏览器的内容一共多少字节?

52031

3.HTTP条件GET/response交互

（1）启动浏览器，清空浏览器的缓存。（在ie:工具一一Internet选项——删除

Inlemel临时文件历史记录删除缓存中的内容）

（2）启动Wireshark分组俘获器，开始Wireshark分组俘获。

（3）在浏览器地址栏中如下网址：

/wireshark-labs/HTTP-wireshark-file2.html

你的浏览器中将显示一个具有五行的非常简单的HTML文件。

（4）在你的浏览器中重新输入相同的URL或单击浏览器中的“刷新”按钮。

（5）停止Wireshark分组俘获，在显示过滤筛选说明处输入“http”，分组列表子

窗口中将只显示所俘获到的HTTP报文。

根据操作回答7T0题。

（7）分析你的浏览器向服务器发出的第一个HTTPGET请求的内容，在该请求报文

中，是否有一行是：

IF-MODIFIED-SINCE?没有

（8）分析服务器响应报文的内容，服务器是否明确返回了文件的内容？如何获知？

Congratulationsagain!Nowyou'vedownloadedthefilelab2-2.html.

Thisfile'slastmodificationdatewillnotchange.

Thusifyoudownload