实验二用Ethereal软件工具捕获报文并进行分析.docx
《实验二用Ethereal软件工具捕获报文并进行分析.docx》由会员分享,可在线阅读,更多相关《实验二用Ethereal软件工具捕获报文并进行分析.docx(16页珍藏版)》请在冰豆网上搜索。
![实验二用Ethereal软件工具捕获报文并进行分析.docx](https://file1.bdocx.com/fileroot1/2023-1/26/cb22b33a-e1c6-4858-b745-c53be448c038/cb22b33a-e1c6-4858-b745-c53be448c0381.gif)
实验二用Ethereal软件工具捕获报文并进行分析
Ethereal软件下载、安装以及基本操作
操作步骤:
1.双击启动桌面上ethereal图标
,按ctrl+K进行“captureoption”的选择。
2.首先选择正确的NIC,进行报文的捕获。
3.对“captureoption”各选项的详细介绍:
Interface是选择捕获接口;Capturepacketsinpromiscuousmode表示是否打开混杂模式,打开即捕获所有的报文,一般我们只捕获到本机收发的数据报文,所以关掉;Limiteachpacket表示限制每个报文的大小;Capturefiles即捕获数据包的保存的文件名以及保存位置。
4.“captureoption”确认选择后,点击ok就开始进行抓包;同时就会弹出“Ethereal:
captureform(nic)driver”,其中(nic)代表本机的网卡型号。
同时该界面会以协议的不同统计捕获到报文的百分比,点击stop即可以停止抓包。
5.下图为Ethereal截取数据包的页面。
由上而下分別是截取数据包的列表以及封包的详细资料,最下面则是封包的內容,这时是以16进制及ASCII编码的方式来表示。
其中在列表这部份,最前面的编号代表收到封包的次序,其次是时间、来源地址、目的地址,最后则是协议的名称以及关于此封包的摘要信息。
6.若是想将截获到的数据包列表资料储存起来,可以执行[File]→[Save]或[SaveAs]将资料储存起来,存储对话框如下图所示,这些储存的数据包资料可以在以后执行[Open]来加以开启。
设置Ethereal的显示过滤规则
操作步骤:
1.在抓包完成后,显示过滤器用来找到你所感兴趣的包,依据
1)协议
2)是否存在某个域
3)域值
4)域值之间的比较
来查找你感兴趣的包。
2.举个例子,如果你只想查看使用tcp协议的包,在ethereal窗口的工具栏的下方的Filter中输入tcp,让后回车,ethereal就会只显示tcp协议的包,如下图所示:
3.值比较表达式,可以使用下面的操作符来构造显示过滤器。
a.Equal:
eq,==(等于)
b.Notequal:
ne,!
=(不等于)
c.Greaterthan:
gt,>(大于)
d.LessThan:
lt,<(小于)
e.GreaterthanorEqualto:
ge,>=(大等于)
f.LessthanorEqualto:
le,<=(小等于)
4.表达式组合,可以使用下面的逻辑操作符将表达式组合。
a.and&&逻辑与
b.or||逻辑或
c.not!
逻辑非
5.举例抓取ip地址是192.168.2.10的主机,它所接受或发送的所有http报文,那么合适的显示过滤器是:
ip.addr=192.168.2.10andhttp。
6.如果Filter的背景是绿色的,那么证明你设定的Filter合乎规定,如果背景是红色的,那么说明你设定的Filter是ethereal不允许的,是不对的。
如下图:
7.所有过滤器都可在Filter旁边的Expression…中选取。
思考题:
请大家设置以下显示过滤规则:
1.抓取ip地址是192.168.2.10的主机,它所接受或发送的所有udp报文
2.ip地址不是192.168.2.10的主机
3.研究Expression…对话框的使用
实验分析ICMP报文
实验目的:
通过ping命令,抓取ICMP报文,分析报文结构,巩固课堂知识。
实验内容:
通过ping命令,抓取ICMP报文,分析报文结构。
操作步骤:
1.点击工具栏中的首个按钮,弹出对话框“Ethereal:
CaptureInterfaces”。
点击其中的“Capture”按钮进行捕获。
2.在操作系统的运行中输入如下命令:
ping某主机的ip地址。
例如:
192.168.47.16。
3、然后,点击“stop”按钮,停止抓包。
观察抓包结果。
3.ICMP报文格式:
关于ICMP的“类型”和“代码”字段,如下表
4.分析箭头所指的两个ICMP数据包的具体内容,可以看出其中一个是ping请求,其中一个是ping应答。
如下图所示:
思考题:
进一步详细分析抓到的ICMP数据包。
实验分析EtherealⅡ报文
实验目的:
通过ping命令,分析EtherealⅡ报文,巩固课堂知识。
实验内容:
通过ping命令,分析EtherealⅡ报文结结构。
操作步骤:
5.点击工具栏中的首个按钮,弹出对话框“Ethereal:
CaptureInterfaces”。
点击其中的“Capture”按钮进行捕获。
6.在操作系统的运行中输入如下命令:
ping某主机的ip地址。
例如:
192.168.47.16。
7.然后,点击“stop”按钮,停止抓包。
观察抓包结果。
8.EtherealⅡ报文格式:
9.尽管EthernetII和802.3的封包格式不同,但Ethereal在解码时,都是从“类型”字段来判断一个包是IP数据报还是ARP请求/应答或RARP请求/应答。
类型显示这是IP数据报。
思考题:
进一步详细分析抓到的EtherealⅡ报文。
实验分析ARP报文格式
实验目的:
通过ping命令,抓取arp报文,分析报文结构,巩固课堂知识。
实验内容:
通过ping命令,抓取arp报文,分析报文结构。
操作步骤:
10.点击工具栏中的首个按钮,弹出对话框“Ethereal:
CaptureInterfaces”。
点击其中的“Capture”按钮进行捕获。
11.在操作系统的运行中输入如下命令:
ping某主机的ip地址。
例如:
192.168.126.128。
12.然后,点击“stop”按钮,停止抓包。
观察抓包结果。
到判断一个ARP分组是ARP请求还是应答的字段是“op”,当其值为0x0001时是请求,为0x0002时是应答
13.ARP报文被封装在以太网帧头部中传输,如图所示,是ARP请求报文头部格式。
14.根据ARP报文格式知道,所抓报文所在的硬件类型是以太网;协议类型是ip;硬件地址长度为6个字节;协议地址长度为4个字节。
思考题:
进一步详细分析抓到的arp报文。
实验HTTP协议分析
实验目的:
通过浏览网站,使用软件ethereal来分析HTTP的工作流程,加深对DNS的理解与认识。
实验内容:
通过浏览网站,使用软件ethereal来分析HTTP的工作流程。
操作步骤:
15.点击工具栏中的首个按钮,弹出对话框“Ethereal:
CaptureInterfaces”。
点击其中的“Capture”按钮进行捕获。
16.在IE浏览器中输入
17.点击“stop”按钮,停止抓包。
观察抓包结果。
18.用户点击鼠标后所发生的事件:
(1)浏览器分析超链指向页面的URL。
(2)浏览器向DNS请求解析的IP地址。
(3)域名系统DNS解析出清华大学服务器的IP地址。
(4)浏览器与服务器建立TCP连接(三次握手建立连接),如下图所示:
(5)浏览器发出取文件命令GET/qhdwzy/index.jsp。
如下图所示:
(6)服务器给出响应,把文件index.htm发给浏览器。
(7)TCP连接释放。
(8)浏览器显示“清华大学”首页。
19.观察HTTP协议所使用的运输层协议是tcp,它的upd报文中源端口号与目的端口号如下图所示。
思考题:
进一步详细分析所HTTP协议的运行过程。