实验二 Wireshark使用及ARP协议学习与分析自学部分.docx

实验二 Wireshark使用及ARP协议学习与分析自学部分.docx

《实验二 Wireshark使用及ARP协议学习与分析自学部分.docx》由会员分享，可在线阅读，更多相关《实验二 Wireshark使用及ARP协议学习与分析自学部分.docx（22页珍藏版）》请在冰豆网上搜索。

实验二Wireshark使用及ARP协议学习与分析自学部分

《计算机网络》课程实验项目2　Wireshark使用及ARP协议学习与分析

第一部分Wireshark使用

一、实验项目名称及实验项目编号

　Wireshark使用

二、课程名称及课程编号

计算机网络

三、实验目的

通过本实验使学生：

1．了解数据包捕获的方法、原理；

2．学习数据包捕获软件（Wireshark）的安装、配置方法；

3．学习数据包捕获软件（Wireshark）的使用。

四、实验原理

Wireshark介绍

Wireshark是网络包分析工具。

网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。

网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark是最好的开源网络分析软件。

Wireshark的主要应用如下：

（1）网络管理员用来解决网络问题

（2）网络安全工程师用来检测安全隐患

（3）开发人员用来测试协议执行情况

（4）用来学习网络协议

（5）除了上面提到的，Wireshark还可以用在其它许多场合。

Wireshark的主要 特性

（1）支持UNIX和Windows平台

（2）在接口实时捕捉包

（3）能详细显示包的详细协议信息

（4）可以打开/保存捕捉的包

（5）可以导入导出其他捕捉程序支持的包数据格式

（6）可以通过多种方式过滤包

（7）多种方式查找包

（8）通过过滤以多种色彩显示包

（9）创建多种统计分析

五、实验内容

1．了解数据包分析软件Wireshark的基本情况；

2．安装数据包分析软件Wireshark；

3．配置分析软件Wireshark；

4．对本机网卡抓数据包；

5．分析各种数据包。

六、实验方法及步骤

1．Wireshark的安装及界面

（1）Wireshark的安装

（2）Wireshark的界面

启动Wireshark之后，主界面如图：

主菜单项：

主菜单包括以下几个项目:

File

包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。

以及退出Wireshark项.

Edit

包括如下项目：

查找包，时间参考，标记一个多个包，设置预设参数。

（剪切，拷贝，粘贴不能立即执行。

）

View

控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点

GO

包含到指定包的功能

Capture

允许您开始或停止捕捉、编辑过滤器。

Analyze

包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP流等功能。

见

Statistics

包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。

见

Help

包含一些辅助用户的参考内容。

如访问一些基本的帮助文件，支持的协议列表，用户手册。

在线访问一些网站，“关于”等等。

2．Wireshark的设置和使用

1）启动Wireshark以后，选择菜单Capature->Interfaces,选择捕获的网卡，单击Capture开始捕获

2）当停止抓包时，按一下stop，抓的包就会显示在面板中，并且已经分析好了。

下面是一个截图如图2-2所示。

图2-2Wireshark数据包分析

Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：

最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。

2）设置capture选项

选择菜单capture→Interface，如图2-3所示，在指定的网卡上点“Prepare”按钮，设置capture参数。

图2-3capture选择设置

Interface：

指定在哪个接口（网卡）上抓包。

一般情况下都是单网卡，所以使用缺省的就可以。

Limiteachpacket：

限制每个包的大小，缺省情况不限制。

Capturepacketsinpromiscuousmode：

是否打开混杂模式。

如果打开，抓取所有的数据包。

一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。

Filter：

过滤器。

只抓取满足过滤规则的包（可暂时略过）。

File：

如果需要将抓到的包写到文件中，在这里输入文件名称。

useringbuffer：

是否使用循环缓冲。

缺省情况下不使用，即一直抓包。

注意，循环缓冲只有在写文件的时候才有效。

如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。

其他的项选择缺省的就可以了。

2．显示过滤器的使用方法

在抓包完成以后用显示过滤器，可以在设定的条件下（协议名称、是否存在某个域、域值等）来查找你要找的数据包。

如果只想查看使用TCP协议的包，在Wireshark窗口的左下角的Filter中输入TCP，然后回车，Wireshark就会只显示TCP协议的包。

如图2-4所示。

图2-4设置过滤条件为TCP报文

如果想抓取IP地址是10.20.61.15的主机，它所接收收或发送的所有的TCP报文，那么合适的显示Filter（过滤器）就是如图2-5所示。

图2-5设置过滤条件为IP地址是10.20.61.15的主机所有的TCP报文

3．用Wireshark分析数据包

Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：

最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。

使用Wireshark可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。

用Wireshark分析ARP数据包。

1）将Filter过滤条件设为arp，回车或者点击“Apply”按钮，显示如图

2）现在只有ARP协议了。

其他的协议数据包都被过滤掉了。

选中一个数据帧，然后从整体上Wireshark的窗口，主要被分成三部分：

上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。

　　中间部分的三行前面都有一个“+”，点击它，这一行就会被展开。

现在展开第一行。

看到的结果如下：

在上图中我们看到这个帧的一些基本信息：

       　　帧的编号：

4（捕获时的编号）

帧的大小：

60字节。

（以太网的帧最小64个字节，而这里只有６０个字节，应该是没有把四个字节的CRC计算在里面，加上它就刚好。

）

帧被捕获的日期和时间：

ArrivalTime:

Sep17,201021:

46:

43.628154000

帧距离前一个帧的捕获时间差：

0.351800000seconds

帧距离第一个帧的捕获时间差：

0.932879000seconds

帧装载的协议：

ARP

下面看第二行：

在上图中，我们在上面一栏每选到一部分，在下面一栏就会显示对应的数据部分。

我们可以看到：

目的地址（Destination）：

ff:

ff:

ff:

ff:

ff:

ff（这是个MAC地址，这个MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）

源地址（Source）：

Source:

5c:

ff:

35:

03:

4b:

15（5c:

ff:

35:

03:

4b:

15），那么我们知道，5c:

ff:

35是以太网网卡厂商拥有的一个以太网地址块。

帧中封装的协议类型：

0x0806，（这个是ARP协议的类型编号。

）

Trailer：

是协议中填充的数据，为了保证帧最少有64字节。

接下来展开第三行，结果如下：

在上图中，我们可以看到如下信息：

　　　硬件类型（Ｈardwaretype）：

Ｅthernet（0X0001）

　　　协议类型（Ｐrotocoltype）：

IP（0X0800）

　　　硬件信息在帧中占的字节数（Ｈardwaresize）：

6

　　　协议信息在帧中占的字节数（Ｐrotocolsize）：

4

　　　操作码（opcode）：

requset（0X0001）

　　　发送方的ＭＡＣ地址（SenderMACaddress）：

5c:

ff:

35:

03:

4b:

15（5c:

ff:

35:

03:

4b:

15）

　　　发送方的IP地址（SenderIPaddress）：

10.20.61.37（10.20.61.37）

　　　目标的ＭＡＣ地址（TargetMACaddress:

）：

00:

00:

00_00:

00:

00（00:

00:

00:

00:

00:

00）

　　　目标的IP地址（TargetIPaddress:

）：

TargetIPaddress:

10.20.61.254（10.20.61.254）

七、实验要求：

（1）、设置抓包条件为TCP协议报文，进行报文捕获分析。

（2）、设置抓包条件为端到端的MAC地址或IP地址（即设定源MAC和目的MAC，或源IP和目的IP）进行报文捕获分析；

八、场地、设备及器材

pc机

WindowsXP中的Wireshark软件

第二部分ARP协议学习与分析

一、实验项目名称及实验项目编号

　ARP协议学习与分析

二、课程名称及课程编号

计算机网络

三、实验目的

通过本实验使学生：

1．学习ARP协议的工作原理以及ARP分组格式；

2．学习使用WireShark对ARP协议进行分析。

四、ARP协议的工作原理以及ARP分组格式

1、ARP协议的基本思想

2、ARP协议的改进

（1）高速缓存技术

主机使用cache保存已知的ARP表项；

主机获得其他IP地址与物理地址映射关系后将其存入该cache；

发送时先检索cache，若找不到再利用ARP解析；

利用计时器保证cache中ARP表项的“新鲜性”。

（2）其他改进技术

收到ARP请求后,目的主机将源主机的IP地址与物理地址的映射关系存入自己cache中；

ARP请求是广播发送的，所有主机都会收到该请求。

它们也可将该源主机的IP地址与物理地址的映射关系存入各自的cache；

主机启动时可以主动广播自己的IP地址与物理地址的映射关系。

完整的ARP工作过程

3、ARP报文格式

硬件类型指明发送方想知道的硬件接口类型。

对以太网，值为1；

协议类型指明发送方提供的高层协议地址类型。

对TCP/IP互联网，采用IP地址，值为十六机制的0806；

操作指明ARP的操作类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。

RARP在后面的章节中介绍。

在以太网环境下的ARP报文，硬件地址为48位（6个八位组）。

用于以太网的ARP请求或应答分组格式

五、学习使用WireShark对ARP协议进行分析

（1）启动WireShark

启动Wireshark之后，主界面如图：

（2）启动Wireshark以后，选择菜单Capature->Interfaces,选择捕获的网卡，单击Capture开始捕获

（3）当停止抓包时，按一下stop，抓的包就会显示在面板中，并且已经分析好了。

下面是一个截图如图2-2所示。

图2-2Wireshark数据包分析

Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：

最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。

（4）分析ARP请求报文

2）将Filter过滤条件设为arp，回车或者点击“Apply”按钮，显示如图

2）现在只有ARP协议了。

其他的协议数据包都被过滤掉了。

选中一个数据帧，然后从整体上Wireshark的窗口，主要被分成三部分：

上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。

　　中间部分的三行前面都有一个“+”，点击它，这一行就会被展开。

现在展开第一行。

看到的结果如下：

在上图中我们看到这个帧的一些基本信息：

 帧的编号：

4（捕获时的编号）

帧的大小：

60字节。

（以太网的帧最小64个字节，而这里只有６０个字节，应该是没有把四个字节的CRC计算在里面，加上它就刚好。

）

帧被捕获的日期和时间：

ArrivalTime:

Sep17,201021:

46:

43.628154000

帧距离前一个帧的捕获时间差：

0.351800000seconds

帧距离第一个帧的捕获时间差：

0.932879000seconds

帧装载的协议：

ARP

下面看第二行：

在上图中，我们在上面一栏每选到一部分，在下面一栏就会显示对应的数据部分。

我们可以看到：

目的地址（Destination）：

ff:

ff:

ff:

ff:

ff:

ff（这是个MAC地址，这个MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）

源地址（Source）：

Source:

5c:

ff:

35:

03:

4b:

15（5c:

ff:

35:

03:

4b:

15），那么我们知道，5c:

ff:

35是以太网网卡厂商拥有的一个以太网地址块。

帧中封装的协议类型：

0x0806，（这个是ARP协议的类型编号。

）

Trailer：

是协议中填充的数据，为了保证帧最少有64字节。

接下来展开第三行，结果如下：

在上图中，我们可以看到如下信息：

　　　硬件类型（Ｈardwaretype）：

Ｅthernet（0X0001）

　　　协议类型（Ｐrotocoltype）：

IP（0X0800）

　　　硬件信息在帧中占的字节数（Ｈardwaresize）：

6

　　　协议信息在帧中占的字节数（Ｐrotocolsize）：

4

　　　操作码（opcode）：

requset（0X0001）

　　　发送方的ＭＡＣ地址（SenderMACaddress）：

5c:

ff:

35:

03:

4b:

15（5c:

ff:

35:

03:

4b:

15）

　　　发送方的IP地址（SenderIPaddress）：

10.20.61.37（10.20.61.37）

　　　目标的ＭＡＣ地址（TargetMACaddress:

）：

00:

00:

00_00:

00:

00（00:

00:

00:

00:

00:

00）

　　　目标的IP地址（TargetIPaddress:

）：

TargetIPaddress:

10.20.61.254（10.20.61.254）

对照ARP分组格式：

（5）分析ARP应答报文

♦192.168.1.102主机接收到该ARP请求后，就发送一个ARP的REPLY命令，其中包含自己的MAC地址

♦对应于前面ARP请求分组格式,可以看到报文一为ARP应答报文,

♦以太网目的地址为192.168.1.188

♦发送端IP为192.168.1.102,MAC为00:

00:

b4:

9e:

41:

5c

♦帧类型为ARP请求或应答（0x0806）,

♦操作字段op为ARP应答（0x0002）

♦对照分组格式可以观察其他部分