实验二++网络流量捕获与网络设备模拟器实验.docx
《实验二++网络流量捕获与网络设备模拟器实验.docx》由会员分享，可在线阅读，更多相关《实验二++网络流量捕获与网络设备模拟器实验.docx（22页珍藏版）》请在冰豆网上搜索。
实验二++网络流量捕获与网络设备模拟器实验
实验二网络流量捕获与网络设备模拟器实验
一、实验目的
1、掌握网络流量捕获软件Wireshark的基本使用方法
2、掌握使用Wireshark捕获网络数据、分析协议数据封装格式
3、掌握CISCO网络模拟器Packettracer的基本使用方法。
二、实验属性
验证性实验
三、实验仪器设备及器材
具备Windows操作系统的PC机、安装Wireshark和Packettracer软件。
四、实验要求
1、预习报告中需解决以下问题：
windows环境下常用的网络命令。
2、使用网络命令或使用相应应用软件产生被捕获数据并分析协议数据容。
3、按规定要求写出实验报告。
五、实验预备知识
（一）windows环境下常用的网络命令介绍
（1）IP地址与以太网卡硬件地址查看命令:
ipconfig
（2）网络连接测试命令：
ping
（3）地址解析命令：
ARP
（4）文件传输命令:
FTP
（5）显示协议及其端口信息和当前的TCP/IP网络连接：
Netstat
（6）路由跟踪命令：
Tracert
（7）远程登录命令：
Telnet
（1）ipconfig命令
Ipconfig命令应该是最最基础的命令了，主要功能就是显示用户所在主机部的IP协议的配置信息等资料。
它的主要参数有：
1、all：
显示与TCP/IP协议相关的所有细节信息，其中包括测试的主机名、IP地址、子网掩码、节点类型、是否启用IP路由、网卡的物理地址、默认网关等。
2、renewall：
更新全部适配器的通信配置情况，所有测试重新开始。
3、releaseall：
释放全部适配器的通信配置情况。
4、renewn：
更新第n号适配器的通信配置情况，所有测试重新开始。
例如：
C:
\>ipconfig，显示如下
WindowsIPConfiguration
Ethernetadapter本地连接:
Connection-specificDNSSuffix.:
IPAddress............:
192.168.0.14
SubnetMask...........:
255.255.255.0
DefaultGateway.........:
192.168.0.1
（2）ping命令
PING命令是一个在网络中非常重要的并且常用的命令，主要是用来测试网络是否连通。
该命令通过发送一个ICMP（网络控制消息协议）包的回应来看是否和对方连通，一般我们用来测试目标主机是否可以连接，或者可以通过TTL值来判断对方的操作系统的版本。
常用参数说明：
-a-t-r
使用举例：
Ping计算机名pingwangluo21//获取计算机IP
PingIP地址ping-a172.16.22.36//获取计算机名
Ping域名ping.ecjtu.jx.
比如你想测试你和IP地址为192.168.0.1的机器是否连通，那么就可以使用这个命令：
ping192.168.0.1，那么如果连通就会有如下返回：
C:
\>ping192.168.0.1
Pinging192.168.0.1with32bytesofdata:
Replyfrom192.168.0.1:
bytes=32time<1msTTL=128
。
。
。
。
。
Pingstatisticsfor192.168.0.1:
Packets:
Sent=4,Received=4,Lost=0（0%loss）,
Approximateroundtriptimesinmilli-seconds:
Minimum=0ms,Maximum=0ms,Average=0ms
如果不连通的话，就会返回超时：
Pinging192.168.0.1with32bytesofdata:
Requesttimedout.
。
。
。
。
。
。
.
Pingstatisticsfor192.168.0.1:
Packets:
Sent=4,Received=0,Lost=4（100%loss）,
那么就证明你和该计算机的网络不通，也许是对方没有上网，或者装了防火墙。
在局域网中，如果是同一个工作组的机器，你可以通过ping对方的机器名称获得对方的IP地址，
参数：
-t 可以不间断的向一个机器发送包
-l包大小参数还能设定发送包的最大值，这样差不多句有了DoS的功能了，也就是在黑客技术中的洪水攻击，最大值为65500。
如：
C:
\>ping192.168.0.1-t-l65500
因为加了-t参数，ping命令本身是不会停止的，于是我们就可以使用Ctrl+C来终止该命令。
ping命令还有一些别的参数，请自己参考帮助。
（3）Arp命令
显示和修改“地址解析协议”（ARP）所使用的到以太网的IP或令牌环物理地址翻译表。
该命令只有在安装了TCP/IP协议之后才可用。
arp-a[inet_addr][-N[if_addr]]
arp-dinet_addr[if_addr]
arp-sinet_addrether_addr[if_addr]
参数：
-a（或g）：
通过询问TCP/IP显示当前ARP项。
如果指定了inet_addr，则只显示指定计算机的IP和物理地址。
inet_addr：
以加点的十进制标记指定IP地址。
-N：
显示由if_addr指定的网络界面ARP项。
if_addr：
指定需要修改其地址转换表接口的IP地址（如果有的话）。
如果不存在，将使用第一个可适用的接口。
-d：
删除由inet_addr指定的项。
-s：
在ARP缓存中添加项，将IP地址inet_addr和物理地址ether_addr关联。
物理地址由以连字符分隔的6个十六进制字节给定。
使用带点的十进制标记指定IP地址。
项是永久性的，即在超时到期后项自动从缓存删除。
ether_addr：
指定物理地址。
（4）FTP命令
FTP命令是一个文件传输的命令，该命令可以在两台互联的机器之间传送文件，这跟我们常用的FTP软件是一样的，但是我们的软件一般都是GUI（可视）界面的，但它是命令类型的。
格式如下：
ftp[-v][-n][-i][-d][-g][-s:
filename][-a][-w:
windowsize][computer]
参数解释
-v：
禁止显示远程服务器响应。
-n：
禁止自动登录到初始连接。
-i：
多个文件传送时关闭交互提示。
-d：
启用调试、显示在客户端和服务器之间传递的所有ftp命令。
-g：
禁用文件名组，它允许在本地文件和路径名中使用通配符字符（*和?
）。
-s:
filename：
指定包含ftp命令的文本文件；当ftp启动后，这些命令将自动运行。
该参数中不允许有空格。
使用该开关而不是重定向（>）。
-a：
在捆绑数据连接时使用任何本地接口。
-w:
windowsize：
替代默认大小为4096的传送缓冲区。
Computer：
指定要连接到远程计算机的计算机名或IP地址。
如果指定，计算机必须是行的最后一个参数。
FTP命令主要是在网上进行文件的传输，它的子命令非常多，我们挑一些主要的来讲。
一般在命令提示符下输入FTP后，就打开如下界面：
C:
\>ftp
ftp>
那么我们输入的命令都是在"ftp>"后面的，也就是说我们输入ftp命令后，那么我们就进入了FTP的平台，所有的操作都是基于FTP上的。
假如我们要打开一台网络上已经开了FTP服务的服务器，那么我们就可以登陆到该服务器,然后上传/下载文件,有时候我们的权限是只能下载,那么我们就不能上传,这具体要看你有的权限。
假如我们要打开一个FTP服务器,那么我们就可以在FTP平台下输入：
open主机IP端口
例如：
ftp>open192.168.0.3921，那么就会显示下面的效果：
C:
\>ftp
ftp>open192.168.0.39
Connectedto192.168.0.39.
220Serv-UFTPServerv4.2forWinSockready...
User（192.168.0.39none））:
到这里就需要我们输入用户名，如果是对方的服务器是支持匿名的，那么我们就可以输入像ftp之类的用户，如：
User（192.168.0.39none））:
ftp
331Usernameokay,pleasesendcompleteE-mailaddressaspassword.
Password:
密码也是输入ftp，那么就会显示登陆成功，如下：
Password:
***
230-（欢迎你来到FTP192.168.0.39服务器!
）
230Userloggedin,proceed.
ftp>
显示230就代表代表登陆成功，如果显示别的，比如530，那么就是用户名或密码错误，登陆失败。
登陆后就可以使用一些命令，包括上传/下载，执行外部命令等。
要获得FTP的所有命令，可以键入help命令，它所有命令列表如下：
ftp>help
我们把常用的命令解释一下：
1．!
：
执行一个非FTP平台下的外部命令，如：
!
cls，那么将清除屏幕。
2．delete：
删除一个文件，比如在你的当前FTP根目录下有一个dir1.txt的文件，你需要删除它，就输入deletedir1.txt。
3．ls：
列出现在有的文件列表，该命令是Unix/Linux下的一个命令，主要是列出该目录下的文件，而不管文件夹
4．put：
从本地计算机上传一个文件到FTP服务器上，
例如：
putcmd.exe，那么就会把当前目录下有的cmd.exe传的FTP服务器5．上的当前目录,该命令是最常用的。
6．ascii：
该命令可以使上传的文件是按照ASCII码来传输的。
7．get：
该命令也比较常用，也是把对方FTP服务器上的文件下载到自己的当前目录。
如：
getcmd.exe，就会把FTP服务器上的
8．cmd.exe文件下载到当前目录。
9．mdelete/rmdir：
删除一个目录/文件夹,比如：
mdeletea，那么该文件夹将被删除。
10．pwd：
显示当前所处在FTP的那个目录下，相当于显示当前路径。
例如：
ftp>pwd
257"/SOFTWARE/safe_tools"iscurrentdirectory.
11．quit/bye：
结束当前的FTP连接，并且退出FTP。
12．type：
设定文件传输类型，类型有：
[ascii|binary|image|tenex],如果你是传文本文件之类的就使用ascii码，如果是应用程序的话，就使用binary，如果是图片就使用image。
FTP默认的是ascii码，如果你要传应用程序，就要使用binary。
例如我们要上传一个lk.exe的文件，那么我们先设置传输模式为binary，然后再上传,如：
ftp>typebinary（200TypesettoI.）
ftp>putlk.exe（200PORTCommandsuccessful.）
13．mget：
同时下载多个文件。
14．mput：
同时上传多个文件。
15．user：
向远程主机器表示自己的身份，如：
ftp>user
Username:
ftp
331Usernameokay,pleasesendcompleteE-mailaddressaspassword.
Password:
***
230Userloggedin,proceed.
16．cd：
切换目录，进入一个目录使用cd目录,退到上一个层目录使用cd..（注意中间有一个空格），该命令比较常用。
17．help/?
：
显示帮助，主要是显示在FTP下可以用的命令。
18．rename：
重命名，给文件重新命名。
19．close：
关闭当前的FTP连接，但是不退出FTP，和quit/bye命令不一样。
如：
ftp>clos
221Goodbye!
20．open打开一个FTP连接。
如：
ftp>open192.168.0.39
Connectedto192.168.0.39.
220Serv-UFTPServerv4.2forWinSockready...
User（192.168.0.39none））:
FTP中比较常用的命令就这些，当然还设计一些别的命令，而且也要因不同的FTP服务器支持的命令不一样而定，所以如果碰到实际应用中不同，请参考相关的资料。
（5）Netstat
显示协议统计和当前的TCP/IP网络连接。
该命令只有在安装了TCP/IP协议后才可以使用。
netstat[-a][-e][-n][-s][-pprotocol][-r][interval]
参数说明：
-a：
显示所有连接和侦听端口。
服务器连接通常不显示。
-e：
显示以太网统计。
该参数可以与-s选项结合使用。
-n：
以数字格式显示地址和端口号（而不是尝试查找名称）。
-s：
显示每个协议的统计。
默认情况下，显示TCP、UDP、ICMP和IP的统计。
-p：
选项可以用来指定默认的子集。
-pprotocol：
显示由protocol指定的协议的连接；protocol可以是tcp或udp。
如果与-s选项一同使用显示每个协议的统计，protocol可以是tcp、udp、icmp或ip。
-r：
显示路由表的容。
Interval：
重新显示所选的统计，在每次显示之间暂停interval秒。
按CTRL+B停止重新显示统计。
如果省略该参数，netstat将打印一次当前的配置信息。
（6）Tracert命令
tracert命令主要用来显示数据包到达目的主机所经过的路径，显示数据包经过的中继节点清单和到达时间。
该命令的使用格式：
tracert主机IP地址或主机名
该诊断实用程序将包含不同生存时间（TTL）值的Internet控制消息协议（ICMP）回显数据包发送到目标，以决定到达目标采用的路由。
要在转发数据包上的TTL之前至少递减1，必需路径上的每个路由器，所以TTL是有效的跃点计数。
数据包上的TTL到达0时，路由器应该将“ICMP已超时”的消息发送回源系统。
Tracert先发送TTL为1的回显数据包,并在随后的每次发送过程将TTL递增1，直到目标响应或TTL达到最大值，从而确定路由。
路由通过检查中级路由器发送回的“ICMP已超时”的消息来确定路由。
不过，有些路由器悄悄地下传包含过期TTL值的数据包，而tracert看不到。
tracert[-d][-hmaximum_hops][-jcomputer-list][-wtimeout]target_name
/d：
指定不将地址解析为计算机名。
-hmaximum_hops：
指定搜索目标的最大跃点数。
-jcomputer-list：
指定沿computer-list的稀疏源路由。
-wtimeout：
每次应答等待timeout指定的微秒数。
target_name：
目标计算机的名称。
执行结果返回数据包到达目的主机前所历的中断站清单，并显示到达每个继站的时间。
该功能同ping命令类似，但它所看到的信息要比ping命令详细得多，它把你送出的到某一站点的请求包，所走的全部路由均告诉你，并且告诉你通过该路由的IP是多少，通过该IP的时延是多少。
该命令参数有：
-d：
不解析目标主机的名称
-h：
maximum_hops指定搜索到目标地址的最大跳跃数
-j：
host_list按照主机列表中的地址释放源路由
-w：
timeout指定超时时间间隔，程序默认的时间单位是毫秒
使用tracert命令可以很好的连接和目标主机的连接通道，一般为下一不的入侵或者测试获得详细的网络信息打好基础，例如中途经过多少次信息中转，每次经过一个中转站时花费了多长时间。
通过这些时间，我们可以很方便地查出用户主机与目标之间的线路到底是在什么地方出了故障等情况。
如果我们在tracert命令后面加上一些参数，还可以检测到其他更详细的信息。
例如使用参数－d，可以指定程序在跟踪主机的路径信息时，同时也解析目标主机的域名。
我们简单的使用该命令来测试到达的时间和经过的IP地址：
C:
\>tracert.baidu.
Tracingrouteto.baidu.[202.108.250.228]
overamaximumof30hops:
1<1ms<1ms<1ms192.168.0.1
21ms<1ms1ms211.152.23.6
3*5ms3ms211.152.47.253
43ms3ms3ms210.78.156.66
53ms9ms4ms211.99.57.113
66ms5ms7ms202.108.250.228
Tracecomplete.
看信息我们知道我们通过了6个IP节点和使用的时间。
第一个一般是我们的机器是从该IP出去的，第二个开始就是经过的路由，最后一个当然就是我们的目的地了。
在入侵中，如果你肯对这些地址层曾追查的话，一定会有大收获啦。
（7）Telnet命令
Telnet命令是一个远程登陆的命令，就可以通过这个命令来远程登陆网络上已经开发了远程终端功能的服务器，来达到像本地计算机管理远程计算机。
该命令格式：
telnet远程主机IP端口
例如:
telnet192.168.0.123
如果我们不输入端口,则默认为23端口。
一般登陆后，对方远程终端服务就会要求你输入用户名和密码，正确就让你登陆。
一般出现如下消息：
WelcometoMicrosoftTelnetService
login:
root
password:
******
如果登陆成功后将出现如下信息：
*===========================================
WelcometoMicrosoftTelnetServer.
*===========================================
C:
\DocumentsandSettings\root>
这就表示已经telnet到了对方的系统，就可以做在你用户权限的所有操作。
（二）Wireshark软件介绍与应用案例
下载、安装Wireshark
设用户计算机的网卡（以太网适配器）本地连接配置如下:
物理地址.............:
74-D4-35-79-68-65
DHCP已启用...........:
是
自动配置已启用..........:
是
本地IPv6地址........:
fe80:
:
d843:
50ba:
8a23:
5524%11（首选）
IPv4地址............:
10.3.9.8（首选）
子网掩码............:
255.255.255.0
获得租约的时间.........:
2014年12月3日14:
50:
51
租约过期的时间.........:
2014年12月3日22:
50:
51
默认网关.............:
10.3.9.254
DHCP服务器...........:
211.64.120.175
DHCPv6IAID...........:
242537525
DHCPv6客户端DUID.......:
00-01-00-01-1B-CF-E0-67-74-D4-35-79-68-65
DNS服务器...........:
211.137.191.26
218.201.96.130
TCPIP上的NetBIOS.......:
已启用
Wireshark启动后，如图所示：
抓包步骤：
1）点击Capture菜单，选Interfaces…项。
2）
3）打开如下图所示窗口。
4）
5）
6）选择要抓包的接口右边的Start按钮，本例选择了抓取IP地址为10.3.9.8的接口。
点击Start按钮后将启动抓包过程。
注意：
为配合抓包，需要进行网络通信。
1）要抓ARP分组的包、ICMP报文的包、UDP数据报，可以在CMD窗口中，使用命令ARP-D删除当前ARP缓存，使用PING命令PING某台主机IP地址。
使用TRACERT命令跟踪分组从源点到终点的路径（如下图）。
2）要抓取TCP报文段，需打开IE浏览器，访问一个WWW（例如www.baidu.）。
将窗口切换到Wireshark，可以看到抓到了TCP、UDP、ICMP、ARP的包，如下图所示。
下面分析所用到的包，其抓包的环境是：
1）实验计算机所安装操作系统为Windows7
（2）在CMD窗口运行“ARP–D”命令删除ARP缓存，用以抓取ARP分组;
（3）在CMD窗口运行“PING10.3.9.254”，用以抓取ICMP报文；
（4）在CMD窗口运行“TRACERT10.3.9.254”，用以抓取UDP数据报和ICMP报文；
（5）在浏览器窗口打开HTTP:
//WWW.BAIDU.COM，用以抓取TCP报文段。
点击Stop按钮完成抓包。
如下图所示。
（三）PacketTracer软件使用介绍
PacketTracer是与新版CCNADiscovery和CCNAExploration并行发布的一个网络模拟器。
PT提供可视化、可交互的用户图形界面，来模拟各种网络设备及其网络处理过程，使得实验更直观、更灵活、更方便。
PT提供两个工作区：
逻辑工作区（Logical）与物理工作区（Physical）。
⏹逻辑工作区：
主要工作区，在该区域里面完成网络设备的逻辑连接及配置。
⏹物理工作区：
该区域提供了办公地点（城市、办公室、工作间等）和设备的直观图，可以对它们进行相应配置。
左上角可以切换这两个工作区域。
PT提供两种工作模式：
实时模式（Real-time）与模拟
升级会员 