計算機網(wǎng)絡(luò)實驗一.doc

湖北工業(yè)大學(xué) 計算機學(xué)院 網(wǎng)絡(luò)協(xié)議分析器Ethereal實驗指導(dǎo)書 實驗一 Ethereal 入門基礎(chǔ)一、實驗?zāi)康暮鸵?了解網(wǎng)絡(luò)協(xié)議分析器Ethereal的基本知識 掌握Ethereal安裝過程 掌握使用Ethereal捕捉數(shù)據(jù)包的方法 能對捕獲到的包簡單分析二、實驗內(nèi)容安裝Ethereal軟件和相應(yīng)的WinpCap軟件，啟動Ethereal并設(shè)置相應(yīng)的選項，捕獲一段記錄。三、實驗設(shè)備PC機、Ethereal軟件、WinpCap軟件四、背景知識Ethereal是一個有名的網(wǎng)絡(luò)端口探測器，是可以在Linux、Solaris、SGI等各種平臺運行的網(wǎng)絡(luò)監(jiān)聽軟件，它主要是針對TCP/IP協(xié)議的不安全性對運行該協(xié)議的機器進(jìn)行監(jiān)聽。其功能相當(dāng)于Windows下的Sniffer，都是在一個共享的網(wǎng)絡(luò)環(huán)境下對數(shù)據(jù)包進(jìn)行捕捉和分析，而且還能夠自由地為其增加某些插件以實現(xiàn)額外功能。Ethernet網(wǎng)絡(luò)監(jiān)測工具可在實時模式或離線模式中用來捕獲和分析網(wǎng)絡(luò)通信。下面是使用Ethereal 可以完成的幾個工作： 網(wǎng)絡(luò)管理員使用它去幫助解決網(wǎng)絡(luò)問題 網(wǎng)絡(luò)安全工程師用它去測試安全問題 開發(fā)人員用它是調(diào)試協(xié)議的實現(xiàn)過程 用它還可以幫助人員深入的學(xué)習(xí)網(wǎng)絡(luò)協(xié)議下面是Ethereal 提供的一些特性： 支持UNIX 平臺和Windows 平臺。 從網(wǎng)絡(luò)接口上捕獲實時數(shù)據(jù)包 以非常詳細(xì)的協(xié)議方式顯示數(shù)據(jù)包 可以打開或者存貯捕獲的數(shù)據(jù)包 導(dǎo)入/導(dǎo)出數(shù)據(jù)包，從/到其它的捕獲程序 按多種方式過濾數(shù)據(jù)包 按多種方式查找數(shù)據(jù)包 根據(jù)過濾條件，以不同的顏色顯示數(shù)據(jù)包 可以建立多種統(tǒng)計數(shù)據(jù)其最常用的功能是被攻擊者用來檢測被攻擊電腦通過23(telnet)和110(pop3)端口進(jìn)行的一些明文傳輸數(shù)據(jù)，以輕松得到用戶的登錄口令和郵件賬號密碼。對于網(wǎng)絡(luò)管理員來說，也可以通過捕包分析，來確定一些異常的流量和局域網(wǎng)內(nèi)部的非正常用戶與外界的通信，比如說對于現(xiàn)在比較占用網(wǎng)絡(luò)帶寬的諸如Bit Torrent 等P2P應(yīng)用軟件流量，通過使用該軟件確定這些流量，網(wǎng)絡(luò)管理員就可以使用流量控制(TC)的方法來規(guī)范、合理的分配帶寬資源，提高網(wǎng)絡(luò)的利用率。五、實驗步驟1、安裝Ethereal和 WinpCap。有的Ethereal中自帶WinpCap就不需要再另外安裝了。實驗室里面一般安裝好了。下載地址：http:/www.E安裝好后，桌面上會出現(xiàn)“”圖標(biāo)，為Ethereal的桌面快捷方式。2、啟動Ethereal，界面如下：圖1 Ethereal啟動界面 最初的窗口中沒有數(shù)據(jù)，因為還沒有開始捕獲數(shù)據(jù)包，首先來認(rèn)識一下界面。Ethereal主窗口有很多的GUI程序組成：(1) File(文件)：這個菜單包含：打開文件、合并文件、保存/打印/導(dǎo)出整個或部分捕獲文件、退出。(2) Edit(編輯)這個菜單包括：查找包、時間參照、標(biāo)記一個或多個包、設(shè)置參數(shù)、(剪切、復(fù)制、粘貼)。(3) View(查看)：這個菜單控制捕獲數(shù)據(jù)的顯示，包括：給定特定的一類包標(biāo)以不同的顏色、字體縮放、在一個新窗口中顯示一個包、展開&折疊詳細(xì)信息面板的樹狀結(jié)構(gòu)。(4) Go：這個菜單實現(xiàn)轉(zhuǎn)到一個特定包。(5) Capture(捕獲)：這個菜單實現(xiàn)開始、停止捕獲，編輯捕獲過濾條件的功能。(6) Analyze(分析)：這個菜單包含編輯顯示過濾、enable(開)或disable(關(guān))協(xié)議解碼器、配置用戶指定的解碼方法、追蹤一個TCP 流。(7) Statistics(統(tǒng)計)：該菜單完成統(tǒng)計功能。包括捕獲的包的一個摘要、基于協(xié)議的包的數(shù)量等樹狀統(tǒng)計圖等許多功(8) Help(幫助)這個菜單包含了一些對用戶有用的信息。比如基本幫助、支持的協(xié)議列表、手冊頁、在線訪問到網(wǎng)站等等。3、使用Capture Options對話框。要想獲得一個跟蹤記錄，我們首先從Capture(捕獲)菜單中選擇“Capture Options”（捕獲選項）,并用Capture Options對話框來指定跟蹤記錄的各個方面。圖2 Caption Options 選項框（1）Interface（接口）首先要選擇合適的接口，也就是網(wǎng)卡，如何不選擇合適的接口，可能捕獲不到數(shù)據(jù)包。圖2中黃色框1，這個字段指定在哪個接口進(jìn)行捕獲。這是一個下拉字段，只能從中選擇Ethereal 識別出來的接口，要想捕獲到數(shù)據(jù)，首先要選擇正確的適配器（網(wǎng)卡），如果一臺機器同時擁有以太網(wǎng)網(wǎng)卡和無線網(wǎng)絡(luò)網(wǎng)卡，你必須選擇其中一個進(jìn)行監(jiān)測。（2）IP address(IP 地址)所選接口卡的IP 地址。如果不能解析出IP 地址，則顯示unknown。（3）Link-layer header type(鏈路層頭類型)除非你在極個別的情況下可能用到這個字段，大多數(shù)情況下保持默認(rèn)值。（4）Buffer size: n megabyte(s) (緩沖區(qū)大?。簄 兆)輸入捕獲時使用的buffer 的大小。這是核心buffer 的大小，捕獲的數(shù)據(jù)首先保存在這里，直到寫入磁盤。如果遇到包丟失的情況，增加這個值可能解決問題。本實驗中保持默認(rèn)值。（5） Capture packets in promiscuous mode (在混雜模式捕獲包，綠色框2)這個選項允許設(shè)置是否將網(wǎng)卡設(shè)置在混雜模式。如果不指定，Ethereal 僅僅捕獲那些進(jìn)入你的計算機的或送出你的計算機的包。(而不是LAN 網(wǎng)段上的所有包)。要想把網(wǎng)絡(luò)接口設(shè)置為混雜模式，需要對這臺計算機具有管理員特權(quán)?？梢赃x。（6）Limit each packet to n bytes (限制每一個包為n 字節(jié))這個字段設(shè)置每一個數(shù)據(jù)包的最大捕獲的數(shù)據(jù)量。有時稱作snaplen 。如果disable 這個選項默認(rèn)是65535, 對于大多數(shù)協(xié)議來講中夠了。本實驗中保持默認(rèn)值。（7） Capture Filter(捕獲過濾，藍(lán)色框3)這個字段指定一個捕獲過濾。 “在捕獲時進(jìn)行過濾”部分進(jìn)行討論。默認(rèn)是空的，即沒過過濾。也可以點擊標(biāo)為Capture Filter 的按鈕, Ethereal 將彈出Capture Filters(捕獲過濾)對話框，來建立或者選擇一個過濾。例如，你可以用下面的過濾器來捕獲那些只從IP地址發(fā)出和發(fā)往它的分組：host 。Ethereal過濾器功能很強，但是需要學(xué)習(xí)一種簡單的過濾語言。本實驗中保持默認(rèn)值，暫時不需設(shè)置。（8）Capture File（捕獲文件，紫色框4）可以指定將捕獲的分組直接保存在一個文件中，而不是在內(nèi)存中。選擇一個合適的文件夾，將捕獲的信息存入。（9）Use Multiple Files（使用多個文件，枚紅色框5）使用這個選項，分組可以被寫入多個文件。這些控制對于捕獲較大較長的跟蹤記錄是很重要的。本實驗中保持默認(rèn)值。（10）Stop Capture（停止捕獲）可以設(shè)定一些停止捕獲的選項，自動停止捕獲。本實驗中保持默認(rèn)值。（11）Name Resolution（名字解析，黑色框7）在任何可能的情況下，可以要求Ethereal把分中不同的數(shù)字翻譯成為人們易讀的名字。如：啟用MAC地址轉(zhuǎn)換，Ethereal會將一部分地址轉(zhuǎn)化為廠商的名稱。如啟用網(wǎng)絡(luò)地址轉(zhuǎn)換，Ethereal會試圖將一個網(wǎng)絡(luò)地址（的IP地址）轉(zhuǎn)化為一個主機名，如。本實驗中保持默認(rèn)值。（12）Update list of packets in real time （實時更新分組列表，紅色框6）每個新的分組都會被添加到主窗口中的分組列表中去。勾選。4、開始捕獲數(shù)據(jù)包。上述的各項選擇好后，點擊“start”開始捕獲數(shù)據(jù)包，下圖為捕獲時的情形。圖2 捕獲數(shù)據(jù)包 這個窗口概述了被捕捉的各種類型包的量。 5、停止捕獲。大約等一段時間后（30-60秒），點擊“stop”按鈕，停止捕獲后，會彈出下面的窗體，顯示了剛才捕獲到的包。協(xié)議樹窗體協(xié)議樹窗體過濾器工具欄工具欄菜單欄包概況窗體包的16進(jìn)制代碼區(qū)包的ASCII代碼區(qū)捕捉包序號捕捉時間目的地址 源地址上層協(xié)議包內(nèi)容提要圖3 網(wǎng)絡(luò)分析器Ethereal主界面上圖中標(biāo)示出了主界面的各個部分，大家要仔細(xì)觀察，了解捕獲的內(nèi)容。6、完成捕獲。恭喜你！現(xiàn)在，你擁有了剛才在你的電腦通過網(wǎng)絡(luò)進(jìn)行交換的協(xié)議消息，你已經(jīng)完成了一次成功的協(xié)議數(shù)據(jù)捕獲。六、思考題Q1、你沒有手動進(jìn)行網(wǎng)絡(luò)訪問操作，但還是抓到了一些數(shù)據(jù)，請列出你抓到的各種包的協(xié)議名稱，并上網(wǎng)查詢下這些包分別是起什么作用的？各是由誰發(fā)出的？答：HTTP超文本傳送協(xié)議 ，一種詳細(xì)規(guī)定了瀏覽器和萬維網(wǎng)服務(wù)器之間互相通信的規(guī)則，通過因特網(wǎng)傳送萬維網(wǎng)文檔的數(shù)據(jù)傳送協(xié)議。 4-2 ARP地址解析協(xié)議 ，將域名翻譯成對應(yīng)的32位IP地址的協(xié)議。-Broadcast TCP傳輸控制協(xié)議，一種面向連接（連接導(dǎo)向）的、可靠的、基于字節(jié)流的運輸層（Transport layer）通信協(xié)議，由IETF的RFC 793說明（specified）。在簡化的計算機網(wǎng)絡(luò)OSI模型中，它完成第四層傳輸層所指定的功能，UDP是同一層內(nèi)另一個重要的傳輸協(xié)議。 2-4 Q2、從你抓到的第一個包到最