网络协议分析(免费下载)要点.pdf

实验报告 项目名称：网络协议分析工具的使用 课程名称：计算机网络 A 班级：计 111 计 111 姓名：葛一波叶博兴 学号：110776 110768 教师：张晓明 信息工程学院计算机系 一实验目的 1. 了解协议分析仪的使用方法和基本特点，掌握使用协议分析仪分析协议的方法。 2. 了解 Ping 命令的工作过程； 3. 了解 FTP协议的工作过程。 二实验前的准备 1. 熟悉 Ping 命令， FTP协议； 2. 了解协议分析仪的功能和工作原理； 3. 了解 Ethereal分析仪的使用方法； 4. 阅读本实验的阅读文献； 三实验内容 1. 学习捕获选项的设置和使用。 2. 使用 Ethereal分析仪捕获一段Ping命令的数据流，并分析其工作过程。 3. 登录 ftp:/ftp.bipt.edu.cn，并下载三个大小不同的文件（小于 1KB、 1KB1MB 、1MB 以上），使用Ethereal分析仪分析其工作过程。 4. 设置显示过滤器，以显示所选部分的捕获数据。 5. 保存捕获的数据，分别是TEXT 文件和 XML 文件。 四实验要求 1. 完成上述实验内容； 2. 记录捕获的关键数据，并分析协议工作过程。 3. 上交实验报告和保存的实验数据。 Wireshark Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功 能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。网络封包分析软件的 功能可想像成 “ 电工技师使用电表来量测电流、电压、电阻“ 的工作 - 只是将场景 移植到网络上，并将电线替换成网络线。 在过去， 网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Ethereal 的出现 改变了这一切。 在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与 其程式码， 并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络 封包分析软件之一。 软件简介 Wireshark 使用目的以下是一些使用Wireshark 目的的例子： 网络管理员使用Wireshark 来检测网络问题， 网络安全工程师使用Wireshark 来检查资讯 安全相关问题，开发者使用Wireshark 来为新的通讯协定除错，普通使用者使用Wireshark 来学习网络协定的相关知识当然，有的人也会“居心叵测”的用它来寻找一些敏感信息 Wireshark 不是入侵侦测软件（Intrusion DetectionSoftware,IDS）。对于网络上的异 常流量行为， Wireshark 不会产生警示或是任何提示。然而， 仔细分析 Wireshark 撷取的封包 能够帮助使用者对于网络行为有更清楚的了解。Wireshark 不会对网络封包产生内容的修改， 它只会反映出目前流通的封包资讯。 Wireshark本身也不会送出封包至网络上。 网络流量分析是指捕捉网络中流动的数据包，并通过查看包内部数据以及进行相关的协 议、流量分析、 统计等来发现网络运行过程中出现的问题，它是网络和系统管理人员进行网 络故障和性能诊断的有效工具。通常， 人们把网络分析总结为四种方式：基于流量镜像协议 分析，基于 SNMP 的流量监测技术，基于网络探针（ Probe ）技术和基于流（ flow ）的 流量分析。而我们下面要向大家介绍的 Wireshark 就是基于流量镜像协议分析。 流量镜像协议分析方式是把网络设备的某个端口（链路） 流量镜像给协议分析仪，通过 7 层协议解码对网络流量进行监测。但该方法主要侧重于协议分析，而非用户流量访问统计 和趋势分析， 仅能在短时间内对流经接口的数据包进行分析，无法满足大流量、长期的抓包 和趋势分析的要求。 Wireshark 的前身是著名的 Ethereal 。 Wireshark 是一款免费的网络协议检测程序。 它具有设计完美的 GUI 和众多分类信息及过滤选项。下面是 Wireshark 的界面。 用户通过 Wireshark ，同时将网卡插入混合模式，可以用来 * 所有在网络上被传送的包，并分析其 内容。 通过查看每一封包流向及其内容，用来检查网络的工作情况，或是用来发现网络程序 的 bugs 。 Wireshark 是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分 析器， 支持 Unix ， Linux 和 Windows 平台。由于 Wireshark 是 Open Source ，更新快， 支持的协议多， 特别是数据包过滤功能灵活强大。 Wireshark 提供了对 TCP 、 UDP 、 SMB 、 telnet 和 ftp 等常用协议的支持。它在很多情况下可以代替价格昂贵的 Sniffer 。 Wireshark 是一个图形用户接口（ GUI ）的网络嗅探器，它依赖于 Pcap 库。因此在安装 之前首先要安装 WinPcap ，然后再按照默认值安装 Wireshark 。 1、PING 命令 在DOS 下使用 PING命令，发出四个包，收到四个包，丢失率为零。源ip 地址： 222.31.141.71 目的 ip 地址： 222.31.140.251；TTL值为 64，可判断目的主机操作系统为windows。 分析： 源ip 地址： 222.31.141.71 目的 ip 地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 60 Fragment offset：0 一片偏移 协议： ICMP 协议 头部校验和： 0x4da2 源222.31.141.71 目的 222.31.140.251 类型： 8 代码： 0 校验和 0x4d45 标识符 0x0001 2、Tracert 命令 Tracert（跟踪路由） 是路由跟踪实用程序，用于确定 IP 数据报访问目标所采取的路径。 Tracert 命令用 IP 生存时间 (TTL) 字段和 ICMP 错误消息来确定从一个主机到网络上其 他主机的路由。 Tracert 工作原理 通过向目标发送不同 IP 生存时间 (TTL) 值的 “ Internet 控制消息协议 (ICMP) ” 回应 数据包， Tracert 诊断程序确定到目标所采取的路由。要求路径上的每个路由器在转发数据 包之前至少将数据包上的 TTL 递减 1 。 数据包上的 TTL 减为 0 时， 路由器应该将“ ICMP 已 超时 ” 的消息发回源系统。 Tracert 先发送 TTL 为 1 的回应数据包，并在随后的每次发送过程将 TTL 递增 1 ， 直到目标响应或 TTL 达到最大值，从而确定路由。通过检查中间路由器发回的“ ICMP 已超 时” 的消息确定路由。某些路由器不经询问直接丢弃 TTL 过期的数据包，这在 Tracert 实 用程序中看不到。 分析： 源ip 地址： 222.31.141.71 目的 ip 地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 92 Fragment offset：0 一片偏移 协议： ICMP 头部校验和： 0x817b 源222.31.141.71 目的 222.31.140.251 类型： 8 代码： 0 校验和 0xf7ca 标识符 0x0001 Tracert 跟踪百度 分析： 源ip 地址： 101.226.167.15 目的 ip 地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 1112 Fragment offset：0 一片偏移 存活时间： 63 协议： HTTP 协议 头部校验和： 0x4da2 源2101.226.167.15 目的 222.31.140.251 3、端口扫描数据捕获与分析 4、访问 FTP 登录 ftp:/ftp.bipt.edu.cn ，并下载三个大小不同的文件（小于 1KB、1KB 1MB 、1MB 以上）， 使用分析仪分析其工作过程。 （1）FTP服务器的登录 捕获 USER 和PWD 的内容，分析 FTP、TCP 、IP协议的首部信息。FTP 服务器的端口号为21， 用于控制连接。 源ip 地址： 210.31.32.5 目的 ip 地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 55 Fragment offset：0 一片偏移 存活时间： 127 协议： FTP 协议 头部校验和： 0x4de57 源210.31.32.5 目的 222.31.140.251 源ip 地址： 222.31.140.251 目的 ip 地址： 210.31.32.5 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 40 Fragment offset：0 一片偏移 存活时间： 64 协议： TCP 协议 （2）FTP文件的下载过程 源ip 地址： 222.31.140.251 目的 ip 地址： 210.31.32.5 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 65 Fragment offset：0 一片偏移 存活时间： 127 协议： TCP 协议 源端口： ftp(21) 目的端口： efidiningport(2553) 序列号 :1018 下一相关序列号：104 Ack号：244 头部长度： 20字节 源ip 地址： 222.31.140.251 目的 ip 地址： 210.31.32.5 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 40 Fragment offset：0 一片偏移 存活时间： 64 协议： TCP 协议 源端口： vcent-link-v10 目的端口： procos-1m 序列号 :1 Ack号：102685 头部长度： 20字节 源ip 地址： 222.31.140.251210.31.32.5 目的 ip 地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 总长度： 1500 Fragment offset：0 一片偏移 存活时间： 127 协议： FTP-DATE 源端口： 0 procos-1m 目的端口： vcent-link-v10 序列号 :102685 下一相关序列号：104145 Ack号：1 头部长度： 20字节 （3）FTP服务的退出过程 分析 FTP 、TCP 、IP协议的不同内容。 分析： IP： 源ip地址： 210.31.32.5 目的 ip地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 总长度： 53 变时： 127 协议： TCP 头部校验和：源地址：210.31.32.5 目的地址： 222.31.140.251 源端口： ftp(21) 目的端口： efidiningport(2553) 序列号 :1248 下一相关序列号：1261 Ack号： 264 头部长度： 20字节 分析： IP： 源ip地址： 210.31.32.5 目的 ip地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 版本： 4 总长度： 40 变时： 127 协议： TCP 头部校验和：源地址：210.31.32.5 目的地址： 222.31.140.251 TCP ： 源端口： ftp(21) 目的端口： efidiningport(2553) 序列号 :1261 分析： IP： 源ip地址： 210.31.32.5 目的 ip地址： 222.31.140.251 IP协议版本： 4 头部长度： 20字节 总长度： 40 协议： TCP 头部校验和：源地址：210.31.32.5 目的地址： 210.31.40.191 TCP ： 源端口： ftp(21) 目的端口： efidiningport(2553) Ack号： 265 5. HTTP协议包的捕获与分析 登录到一些著名网站上，将主页浏览过程捕获下来，分析其HTTP 、 TCP 、IP 协议的内容。注 意TCP 协议中的端口号。 著名网站推荐： （1）国外：微软、HP 、IBM、 （2）国内：金山、百度、搜弧、 IP： 源ip 地址： 222.31.141.71 目的 ip 地址： 220.181.112.143 IP协议版本： 4 头部长度： 20字节 TTL值为64，可判断目的主机操作系统为windows 版本： 4 总长度： 797 变时： 0×2119 协议： HTTP 头部校验和：源地址：222.31.141.71 目的地址： 221.181.112.143 TCP ： 源端口： 53794 目的端口： http(80) 序列号 :1 下一相关序列号：758 Ack号：1 头部长度： 20字节 窗口大小： 6813 IP： 源ip 地址： 220.181.112.143 目的 ip 地址： 222.31.141.71 IP协议版本： 4 头部长度： 20字节 TTL值为63，可判断目的主机操作系统为windows 版本： 4 总长度： 1021 变时： 0×5558 协议： HTTP 头部校验和：源地址：221.181.112.143 目的地址： 222.31.141.71 TCP ： 源端口： http(80) 目的端口： 53794 序列号 :46721 下一相关序列号：47702 Ack号：758 头部长度： 20字节 窗口大小： 6813 6. 思考题： （1） 在FTP 服务中， FTP数据长度为什么是1460字节？ 答：最大传输单元是1460字节是 TCP 层的报文段 (segment) 的长度限制。 （2）如何捕获 FTP服务的结束数据包？ 答：可以在filter 那个框里面输入ftp，直接显示ftp 数据包，然后再看一下information 里的 信息选择接受数据包 （3） 在端口扫描中，对应的协议有TCP 和 UDP 。应该如何查找某端口对应的服务类型？ 答：用 netstat -a n命令查看 （4） 不指定 IP地址时，为什么有邻近的主机信息获取不到？ 答：网络协议（ IP）是网络上信息从一台计算机传递给另一台计算机的方法或者协议。网络 上每台计算机 （主机） 至少具有一个IP地址将其与网络上其他计算机区别开。当你发送或者 接受信息时（例如，一个电子邮件信息或一个网页），信息被分成几个小块，称为信息包。 每个信息包都包含了发送者和接受者的网络地址。网关计算机读到了目的地址，信息包继续 向前到下一个邻近的网关照例读到目的地址，如此一直向前通过网络，直到一个网关确认这 个信息包属于其最紧邻或者其范围内的计算机。最终直接进入到其指定地址的计算机。因为 一个信息被分成了许多信息包，如果必要， 每个信息包能够通过网络不同的路径发送。信息 包能按照与它们发送时的不同顺序到达。网络协议（IP）仅仅是递送他们。另外一个协议， 传输控制协议（TCP ）才是能够将它们按照正确顺序组合回原样。IP是一个无连接协议，这 就意味着在通信的终点之间没有连续的线路连接。每个信息包作为一个处理过的独立的单元 在网络上传输，这些单元之间没有相互的联系。（信息包能放在正确的位置上是因为TCP ， 明了信息中信息包顺序的面向连接协议。）在开放的系统互连（OSI）通讯模式中 IP位于第 三层 ?网络层。如今最广泛应用的IP版本是 IPv4 。然而， IP版本 6（IPv6）也已经开始使用 了。 IPv6 为了更长的地址作准备，因此可以满足更多网络使用者的需要。IPv6包括了 IPv4 的功能，任何支持IPv6信息包的服务器同样也支持IPv4 信息包。 （5）PING 命令操作时，为什么会捕获ARP 协议的数据包？ 答：因为ARP协议是“ Address Resolution Protocol” 的缩写。在局域网中，网络中实际 传输的是帧，帧里面是有目标主机的MAC 地址的。 ARP协议的基本功能就是通过目标设备的 IP 地址，查询目标设备的MAC 地址，以保证通信的顺利进行。