完整版wireshark数据包分析实验报告.docx
《完整版wireshark数据包分析实验报告.docx》由会员分享，可在线阅读，更多相关《完整版wireshark数据包分析实验报告.docx（11页珍藏版）》请在冰豆网上搜索。
完整版wireshark数据包分析实验报告
西安郵電學院
计算机网络技术及应用实验
报告书
系部名称
：
管理工程学院
学生姓名
：
***
专业名称
：
*****
班级
：
****
学号
：
********
时间
：
2012年04月01日
实验题目Wireshark抓包分析实验
一．实验目的
1.了解并会初步使用Wireshark，能在所用电脑上进行抓包
2.了解IP数据包格式，能应用该软件分析数据包格式
3.查看一个抓到的包的内容，并分析对应的IP数据包格式
二．实验内容
1.安装Wireshark，简单描述安装步骤。
安装过程：
点击安装图标
接着出现如图所示：
点击next后按如下步骤：
在“LicenseAgreement”窗口下点击‘IAgree’，弹出“ChooseComponents”窗口，点‘next’
弹出“ChooseInstallLocation”窗口后再点‘next’，弹出“InstallWinpcap”窗口，点击‘Install’
在弹出的窗口中点击‘Finsh’并选择‘RunWireshork1.6.3（32bit）’。
2.打开wireshark，选择接口选项列表。
或单击“Capture”，配置“option”选项。
3.设置完成后，点击“start”开始抓包.
显示结果：
4.选择某一行抓包结果，双击查看此数据包具体结构如下：
三．捕捉IP数据包。
数据包信息：
1、写出IP数据包的格式。
2、捕捉IP数据包的格式图例。
3、针对每一个域所代表的含义进行解释。
IP数据报首部的固定部分中的各字段含义如下：
（1）版本 占4位，指IP协议的版本。
通信双方使用的IP协议版本必须一致。
目前广泛使用的IP协议版本号为4（即IPv4）。
（2）首部长度 占4位，可表示的最大十进制数值是15。
请注意，这个字段所表示数的单位是32位字长（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。
当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。
因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。
首部长度限制为60字节的缺点是有时可能不够用。
但这样做是希望用户尽量减少开销。
最常用的首部
3）区分服务 占8位，用来获得更好的服务。
这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。
1998年IETF把这个字段改名为区分服务DS（DifferentiatedServices）。
只有在使用区分服务时，这个字段才起作用。
（4）总长度 总长度指首部和数据之和的长度，单位为字节。
总长度字段为16位，因此数据报的最大长度为216-1=65535字节。
长度就是20字节（即首部长度为0101），这时不使用任何选项。
（5）标识（identification） 占16位。
IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。
但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。
当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。
相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。
（6）标志（flag） 占3位，但目前只有2位有意义。
标志字段中的最低位记为MF（MoreFragment）。
MF=1即表示后面“还有分片”的数据报。
MF=0表示这已是若干数据报片中的最后一个。
标志字段中间的一位记为DF（Don’tFragment），意思是“不能分片”。
只有当DF=0时才允许分片。
7）片偏移 占13位。
片偏移指出：
较长的分组在分片后，某片在原分组中的相对位置。
也就是说，相对用户数据字段的起点，该片从何处开始。
片偏移以8个字节为偏移单位。
这就是说，每个分片的长度一定是8字节（64位）的整数倍。
（8）生存时间 占8位，生存时间字段常用的的英文缩写是TTL（TimeToLive），表明是数据报在网络中的寿命。
由发出数据报的源点设置这个字段。
其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。
最初的设计是以秒作为TTL的单位。
每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。
若数据报在路由器消耗的时间小于1秒，就把TTL值减1。
当TTL值为0时，就丢弃这个数据报。
＃TTL通常是32或者64，scapy中默认是64
（9）协议 占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。
（在scapy中，下层的这个protocol一般可以从上曾继承而来，自动填充，我们一般可以省略不填此项）
（10）首部检验和 占16位。
这个字段只检验数据报的首部，但不包括数据部分。
这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。
不检验数据部分可减少计算的工作量。
（11）源地址 占32位。
（12）目的地址 占32位。
IP数据报首部的可变部分
IP首部的可变部分就是一个可选字段。
选项字段用来支持排错、测量以及安全等措施，内容很丰富。
此字段的长度可变，从1个字节到40个字节不等，取决于所选择的项目。
某些选项项目只需要1个字节，它只包括1个字节的选项代码。
但还有些选项需要多个字节，这些选项一个个拼接起来，中间不需要有分隔符，最后用全0的填充字段补齐成为4字节的整数倍。
增加首部的可变部分是为了增加IP数据报的功能，但这同时也使得IP数据报的首部长度成为可变的。
这就增加了每一个路由器处理数据报的开销。
实际上这些选项很少被使用。
新的IP版本IPv6就将IP数据报的首部长度做成固定的。
②捕捉IP数据报的格式图例。
一、实验内容（续，可选）
1、捕捉特定内容
捕捉内容：
http
步骤：
①在wireshark软件上点开始捕捉。
②上网浏览网页。
③找到包含http格式的数据包，可用Filter进行设置，点击
中的下拉式按钮，选择http。
④在该数据帧中找到Get的内容（下图中所选蓝色区域）。
二、实验体会
在这次试验中，我获益匪浅，从中了解到Wireshark是一个网络协议检测工具，支持Windows平台和Unix平台，我一般只在Windows平台下使用Wireshark，在Windows平台下，Wireshark通过WinPcap进行抓包，封装的很好，使用起来很方便！
升级会员 