【精品】實(shí)驗(yàn)7協(xié)議抓包及分析

1、實(shí)驗(yàn)7協(xié)議抓包及分析實(shí)驗(yàn)?zāi)康模?）了解sniffer軟件的主要應(yīng)用領(lǐng)域。（2）安裝并熟悉sniffer軟件的界血及基本使用方法（3）掌握用sniffer軟件抓包的方法，并對獲取的tcp/ip協(xié)議數(shù)據(jù)報(bào)做出簡單分析。實(shí)驗(yàn)步驟1. 啟動 sniffer pro：“開始“程序” “ sniffer pro"打開了程序示，會看到圖& 1屮的屏幕。圖8. 1瀏覽sniffer pro程序2. 點(diǎn)“smrt按鈕，啟動數(shù)據(jù)包捕獲，如圖8-2所示。start/, stop and display圖82 sniffer數(shù)據(jù)包3. 在ie瀏覽器的地址欄中輸入http:/1926&1.11

2、訪問本實(shí)驗(yàn)實(shí)里的web服務(wù)器。4. 等"stop and display"按鈕變亮，表示已經(jīng)捕獲到數(shù)據(jù)包了，點(diǎn)擊此按鈕停止捕獲并顯示數(shù)據(jù)包如圖 弘3所示，點(diǎn)“decode”顯示捕獲包的詳細(xì)情況，如圖所示。圖83 sniffer抓包回畫釧q|庭劊倒勿刮魚|jng:12345678910ll121314l 1cstatussource addressdest addre$summary777 cn7 7 192.168.1

3、.37 www .njut. edu. cn 八八 八八'"77 7r 1 oo 1 c o 1 7 7 7 7 wwv.njut 7 r dnsdnstcptcptcptcpc id=21702 op=query name=r id=21702 op=query stat=ok name=d=80 s=3086d-80 s-3087d=3087 s=80d=80 s=3o87sy

4、nsynsynseq=2707269169 len=0 uin=16384seq-2826958412 len-0 uin-16384ack2826958413ack=556390634 uin=17640seq=556390633 len=http: c port-3087 get /mm.menu.js http/1.1 tcp: d=3087 s=80http: r port=3087 tcp: http http http httputtdaci2826958795 uin=8820d-80 s-3087c r c rport=3087port=3087port-3087port=30

5、87http/1.1 status= not yack-556390838 uin-17436：iedget /images/logo.gif http/1.1http/1.1 status=not modifiedget /files/003001/8/xx.gif http/1.1http/1.1 status=not modifiedj±tdlc: ethertype=0800, size=258 byteseft1 ip: d=192 168.1.37 s=202.119.248 65 len=224 id=18510e §3 tcp: d=3087 s=80ack

6、=2826958795 seq=556390634 len=204 uin=8820由 http: r port=3087 http/1.1 statu滬not modified000000000000001000000020000000300000004000000050 nnnnnnan:00 :00:01:22:30 :oa佔(zhàn)o(hù)ff 425743444f 8 o 9 o 1 n14 0 2 2 6 2c7 e34e 4050 0c15 004e 6f74 6532 303c000aebce coao00ec06cl2eca77of2129d8eaa87t00485454502f31742

7、04d6f6469663a205765642c203037?n31323a30080045f 841cof 7cb502e312069656432312030鮎32o 8 8 3 d 6 so a 1 3 o 4 3>?)tmu3 - f s髻仃tpoded12走iaexpert decode 人matrix入host tabte 入protocol dist.入statetics/ for help, press fl圖8-4 sniffer捕獲包的詳細(xì)情況5. tcp/ip四層模型在圖84中任選一條“http”的信息，可以看到第二個子窗口中顯示此“http”信息由四個層組成, 接下來

8、，我們仔細(xì)分析一下tcp/ip模型的四層。 網(wǎng)絡(luò)接口層也就是圖8-4中的“dlc： ”層，包含了數(shù)據(jù)鏈路層的地址，如用在以太網(wǎng)上就是mac地址，展開此層, 可以看到數(shù)據(jù)包的源mac、h的mac地址。此層是tcp / ip模型的最低層，負(fù)責(zé)接收從ip層傳來的ip數(shù)據(jù)報(bào), 并將1p數(shù)據(jù)報(bào)通過低層物理網(wǎng)絡(luò)發(fā)送出去，或者從低層物理網(wǎng)絡(luò)上接收物理幀，抽出ip數(shù)據(jù)報(bào)，傳交給1p 層。 互聯(lián)網(wǎng)層也就是圖8-4>p的“1p： ”層，包含了網(wǎng)絡(luò)層的地址，展開此層，可以看到數(shù)據(jù)包的源ip、目的ip地址 等信息。'篇大家根據(jù)自己的sniffer專家分析系統(tǒng)的分析內(nèi)容完成以下:版本 ihl tos to

9、s位可以提供服務(wù)質(zhì)量（qos）信息（sniffer pro會捉供一些必要的信息，這樣就不必為它們的意義傷腦筋了。）總長度 id 標(biāo)記分段差距 ttl 協(xié)議校驗(yàn)和 sa da 選項(xiàng)與padding這里沒有任何選項(xiàng)。在文件頭屮不一定必須有選項(xiàng)這部分內(nèi)容。數(shù)據(jù)你很可能從來沒想過會了解所有這些內(nèi)容，不過對于現(xiàn)在閱讀的這些關(guān)于協(xié)議、0si、字節(jié)和字節(jié)的內(nèi) 容，應(yīng)該已經(jīng)很清楚了。 傳輸層也就是圖&4屮的“tcp： ”層，包含了傳輸層的端口號，展開此層，可以看到數(shù)據(jù)包的源端口、目的 端口等信息。在tcp中，需要使用端口序號來識別并建立與上層協(xié)議z間的連接。這個文件頭會像tp文件 頭一樣被分解來查看各

10、部分內(nèi)容，現(xiàn)在我們來寫英中各項(xiàng)的詳細(xì)內(nèi)容：請同學(xué)們完成:來源端口目的端口順序序號 順序序號(和下一個期望順序序號)用來進(jìn)行順序控制。確認(rèn)號 因?yàn)橐呀?jīng)設(shè)定yack字節(jié)(在下面兒行中，確認(rèn)字節(jié)設(shè)定為1),確認(rèn)號代表差距 數(shù)據(jù)差設(shè)定為20個字節(jié)，可以說明c標(biāo)記標(biāo)記為10o u緊急指針(urg)設(shè)定為o a確認(rèn)字節(jié)(ack)設(shè)定為o p入棧程序(psh)設(shè)定為o r重新連接(rst)設(shè)定為o s 同步順序號(syn)設(shè)定為。 f 釋放連接(ftn)設(shè)定為o窗口 窗口為。校驗(yàn)和校驗(yàn)和為。選項(xiàng)+padding 。數(shù)據(jù)0 應(yīng)用層也就是圖&4中的“http： ”層，即應(yīng)用層，應(yīng)用層包括所冇的高層協(xié)議。

11、早期的應(yīng)用層冇遠(yuǎn)程登錄協(xié) 議(telnet)> 文件傳輸協(xié)議(file transfer protocol, ftp)和簡單郵件傳輸協(xié)議(simple mail transfer protocol, smtp)等協(xié)議。遠(yuǎn)程登錄協(xié)議允許用戶登錄到遠(yuǎn)程系統(tǒng)并訪問遠(yuǎn)程系統(tǒng)的資源，而h像遠(yuǎn)程機(jī)器的本地川 戶一樣訪問遠(yuǎn)程系統(tǒng)。文件傳輸協(xié)議提供在兩臺機(jī)器之間進(jìn)行有效的數(shù)據(jù)傳送的手段。簡單郵件傳輸協(xié)議 最初只是文件傳輸?shù)囊环N類型，后來慢慢發(fā)展成為一種特定的應(yīng)用協(xié)議。最近幾年出現(xiàn)了一些新的應(yīng)用層 i辦議：如用于將網(wǎng)絡(luò)中的主機(jī)的名字地址映射成網(wǎng)絡(luò)地址的域名服務(wù)(domain name service ,

12、dns)； 用于傳輸網(wǎng)絡(luò)新聞的(network news transfer protocol, nntp)和川于從www網(wǎng)上讀取頁面信息的超文本 傳輸協(xié)議(hyper text transfer protocol, http)協(xié)議。常用報(bào)文格式：丄jzjiqdlc ether type « 0800 (ip) i_ip: continuation of aissin fra色d ipip headersnihr portaur icxothhernh (line speed at 100 mbps)sntflxap: decode. 1 m/337 ftlwrnh frdtnetn

13、hte morttor baptize bpuy look dm昨e 世如 hetpll| |冷|八| |0ef«jl3色回魚lj。陽lai®圖gltai勿 羽&y ipq ip ip© ip ip ：pip ipversion 4. header length 20 bytestype of service000 .0 0 00=00 routines normal delay normal throughputs noraal reliability ect bxt - transport protocol villignore the ce bitp

14、pppppppiiiiiiiitotal length identification flags i.1.fr«9*.ent of fmt timo to live protocolheader checksun2563 bytes 12326don* t fragbent more fxagxents 1152 bytm1 secondshopo17 (udp)3333. should bo 7d1268 68 6868 8s.8spppiii00000000000010000002000000300 4 6 9 2 4 6 9 14 6 9 u 4 6 9 1-3 q- 23 6

15、 9 c3 6 9 f - 6 9 0168 e 16 8 01:8 o o 8 f o b 8 19 7 8 f o o 8- f 65 8f o 5 8 t 8 t 3 5 7 to 5 7 f 957 to 5 7<»- 4 70&w 33dddddduju :f f if fwwwwwwiststssource address (68 destination address 68 no options(26 bytes of oontinuation data)ip報(bào)文硬件類型協(xié)議類型礁件長度協(xié)議長度掾作 請求1,回答2發(fā)送站硬件地址（例如，對以太網(wǎng)是6字節(jié)）發(fā)

16、送站協(xié)這地址 （例如，對匕是存節(jié)）目標(biāo)硬件地址（例如.對以太朋是6宇節(jié)）目標(biāo)協(xié)議地址 （例如，對ies:伴節(jié)） expert a decode a mecrrx 入性0 t«we 入片凹宅p«5t 人 stables / for press flarp報(bào)文sniffer portanr lcxd, fthemh (tine speed at 100 mbps) - sntfixop: decode. 128/337 fthernet frame,2 he momtof rapturetools如e wtxkw help日ii|e|處| n |d如恥i魚lj ©區(qū)劍

17、倒 勿劊魚|lb2119120121122123124125sutus 1 source ad(>euidetiaddrensuwnaryrd ttnedehatmeab: tme000aeb8f3438 xd-2e11a4257c89 yb9810xd-2e11a42s7c89yb9810(68 68 68 68)arpbroadcast(100 100 14 255 vins 100 100 14 255 vins (100 100 14 255 vins (100 100 14 255 vins 68 68 85 85) exx;c pa-100 100 14 1001 pro-i

18、pc id-34782 op-register nake-vorkgroup< c id-32830 op-register name-<0102>_msc id-34782 op-register nane-vorkgroup< c id-32830 op-register nake-<0102>_ms60 no no no no60000 0 000 43 66100 44 18300 44 20200 44 93300 44 95200 4s 0430 0000 5210 0190 7300 0190 091145630 077961 050 0271

19、26127128129130131 1"xd-2e11a4257c89 yb981xd-2e11a4257c89xd-2e11a4257c89xd-2e11a42s7c891 uvxaq10010014255vinscid-34783op-registernake-<0102>_10010014255vinscid-34783op»registername-<0102>_(10010014255uins_cid-34783op-registernake-<0102>zmsr 1 nn 1 nn 1 atv-,、 t:'廣qwd i

20、tp-continuation of missing froite. 46 bytes < ip d68 68 85 85) s-68 68 68 681 】en638 100.100 14 255 vins c id-34783 op*register nake«<0102>_0 64011001101101100 00 46 4330 00 47 183 0 00:47 933 n nn aq0 000 202 0 750 066 0.750 021n 7cnarp/rarp fraae ±jhdtdvare type 1 (10mb ethernet

21、) protocol type 0800 (ip)length of hardvare address 6 byteslength of protocol ©ddress 4 bytes opcode 1 (arp request)sender's hardvare address ooeofc1a5d29sender's protocol address target hardvare address target protocol address26 bytes fram.e padding(100 100.14 254 000000000000(100 100.

22、14 248)00000000ffffffftff"00eofu“5d29080£00010000001008000604000100eofcla5d296464oefe.鈣)ddi000000200000000000006464oef8000000000000. . .dd i000000300000000000000000000000000000000000000040：00000000而斎入doc80人m如入ho八喚入ptaocamt入s1叭/for heb, cress flarp報(bào)文捕獲界面sniffer poft.imr loc«>lt ithr

23、mrt (imr «perd 100 mbp5) snifl.cap: decode, 18s/337 ethernet f tomew2 ete boror taptirelooktfrxtow tjefe»| m|冷i儺i & |葉“2麵1創(chuàng)q|gbla|o|lig込1勿劊 1|ihmefdeutime0 01 40 5711 269 2940 01 40 5720 000.1960 01:42 0561 484 3440 01 42 056n ni 47 *>4q183 ifd-a8e16ed2e1c0100 100 14255vinsc id-3280

24、0op-query name-xd-2e11a42s7c： 92184 000aeb8f3438broadcastarpc pa-floo 100 u. 2351fe-a8e16ed2e1cgpg 600 000.oss n 1q7 coq185 |100 100 1 82yoyotcp:d-80 s-3807syn seqt602798392 lent0】78186 1(2 itcp: d-3807 s«80 rst ack-1602798393 vin«o 601 q7rr tq cq c.q cq1r cq co qcqc1rvr>ot t

25、o“ w “c"tcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcptcpssource portdestination portimt lai sequence nu»ber hext expected seq number380760 (uuv/vwv-http/http)16027983921602798393data offset reserved bitreser vod.0vindovchecksumurgent pointer44 bytesor future use (no

26、t shown in 02(no urgent pointer)(no ftcknovledgment)(no push)(no reset)syn(no fin)81920b7e (correct)0tho hex dump)0000000 00)0000010 oi)0000020 or)0000030209000004008opt ions follovmaxi mux se9m,ent size 3 1460 no-opsrationvindov scale optionvindov scale factor 0 no-operdtion no-operaviont、"rie

27、o 4c 81 22 8d 00 eo fc la400« 00 00 00 00 00 00 00 00zjnr32 bit任意選項(xiàng)（如果冇的話）填充校驗(yàn)和緊急指針確認(rèn)號序列號源端口目的端口口 窗保蠶-sfin數(shù)據(jù)tcp報(bào)文格式snrffer portable local, fthernet (lme speed at 100 mbps)snifl.cap: decode, 185/337 ethernet framesh ffe fjoraor rapture qisptey lookoelpll| |址| 鉢|del*"2gg|u|魚1_| qi諭|o國|o|倒 劃

28、創(chuàng)藥i noidesiaddett183fd-a8e16ed2e1c0(100 100 14.255184000aeb8f3438broadcast185100 100 1 82yoyo186yoyo(100 100 1 82 i1 07丨 r“ “ “ caim ca oc xt 1sthn |souiceaddiei$wins c id-32800 op-query hame-xd-2e11a4257c arp: c pa-t100 100 14 2351fd-a8e16ed2e1c0 pr<d-80 s-3807 syh seq-1602798392 len-0d-3807 s-8

29、0 rst ack-1602798393 win-0|rel timei delia tm|ab$ tmej( c1 01 40 571 1 01 40 5721 269 294 0 000 196c1 01 42 0561 484 344c i r1 01 42 056i m 4*> mq0 000 055n 1 q->tcp headorsource port destination port initial sequence number next expected seq number data offset380780 (vvv/vvv-http/http) 160279

30、8392160279839344 bytesreserved bits flagsreserved for future use (not shown in the hex duxp)urgent pointer) acknowledgment) push)rosot)vindov(no fim)8192checksum urgent pointer0b7e (correct) 0uu64 02 01：>64 bo 0100520000020801 00 03 042964 00030164 00 01 01eo fc la 06 e7 £9 88 c3 38 04 os b4

31、 00 00 008d 00 50 00 00224000000081 2b df7e 007b oe 0b 0000 eo00 40oe 7920 0008 0a?pjl尚8.？、z?expert 入 decode 人 matrix 入 most table 入 protocol ost 入 stabsttcs /for he<5, press flpfffffpfppf 卩 fff:pcpfffpfpffo . f 2 o o ? soo0(no.0 (no0.(ho0 . (ho.1. syn0options followmaxisegment size 1460 no-opera

32、tionvindov scale optionumdov scale factor e 0 no-operationno-operation04tep報(bào)文捕獲通過學(xué)習(xí)和實(shí)驗(yàn)我們將了解更多的協(xié)議和問題，現(xiàn)在大家應(yīng)該了解如何使用sniffer pro來進(jìn)行基本的捕獲和分析。如果同學(xué)們有興趣，請參考下面的sniffer軟件簡介。sniffer軟件簡介1.1概述sniffer軟件是nai公司推出的功能強(qiáng)大的協(xié)議分析軟件。木文針對川sniffer pro網(wǎng)絡(luò)分 析器進(jìn)行故障解決。利用sniffer pro網(wǎng)絡(luò)分析器的強(qiáng)人功能和特征，解決網(wǎng)絡(luò)問題，將 介紹一套合理的故障解決方法。a/netxray比較，s

33、niffer支持的協(xié)議更豐富，例如pppoe協(xié)議等在netxray并不支持, 在sniffer上能夠進(jìn)行快速解碼分析。netxray不能在windows 2000和windows xp上 正常運(yùn)彳亍，sniffer pro 4.6可以運(yùn)行在各種windows平臺上。sniffer軟件比較大，運(yùn)行時盂要的計(jì)算機(jī)內(nèi)存比較大，否則運(yùn)行比較慢，這也是它與 netxray相比的一個缺點(diǎn)。1.2功能簡介下面列出了sniffer軟件的一些功能介紹，其功能的詳細(xì)介紹可以參考sniffer的在線幫 助。捕獲網(wǎng)絡(luò)流量進(jìn)行詳細(xì)分析利用專家分析系統(tǒng)診斷問題實(shí)時監(jiān)控網(wǎng)絡(luò)活動 收集網(wǎng)絡(luò)利用率和錯誤等在進(jìn)行流量捕獲之前首先

34、選擇網(wǎng)絡(luò)適配器，確定從計(jì)算機(jī)的哪 個網(wǎng)絡(luò)適配器上接收數(shù)據(jù)。位置：file->select settings選擇網(wǎng)絡(luò)適配器后才能正常工作。該軟件安裝在windows 98操作系統(tǒng)上，sniffer nj*以選擇撥號適配器對 窄帶撥號進(jìn)行操作。如果安裝了enternet500等pppoe軟件還可以選擇虛擬出的pppoe網(wǎng)卡。對于安 裝在windows 2000/xp上則無上述功能，這和操作系統(tǒng)有關(guān)。木文將對報(bào)文的捕獲兒網(wǎng)絡(luò)性能監(jiān)視等功能進(jìn)行詳細(xì)的介紹。下圖為在軟件中快捷鍵的位置。捕獲報(bào)文丨-n| |氐：今廠 1'j f r pt ih hof (li upootl ii 1 idei

35、le lujuiuj 匚e 匸丿luvl 3匕1乞114疋jelp網(wǎng)絡(luò)惜總監(jiān) 視快if鍵報(bào)文捕獲解析2.1捕獲面板捕獲條件捕獲開始iidefaulthelp3報(bào)文捕獲功能可以在報(bào)文捕獲面板屮進(jìn)行完成，如下是捕獲面板的功能圖：圖屮顯示的 是處于開始狀態(tài)的面板選釋捕獲條件i詞副御倒勿御|捕菽停止捕獲停止并査看捕菽査看100摘獲根文數(shù)"浦獲按文的數(shù) 據(jù)緩沖大小1-inlxi0gauge.2.2捕獲過程報(bào)文統(tǒng)計(jì)在捕獲過程中可以通過查看下面ibi板查看捕獲報(bào)文的數(shù)量和緩沖區(qū)的利川率。詳細(xì)統(tǒng)計(jì)信息2.3捕獲報(bào)文查看sniffer軟件提供了強(qiáng)大的分析能力和解碼功能。如下圖所示，對于捕獲的報(bào)文提供了

36、一 個expert專家分析系統(tǒng)進(jìn)行分析，還有解碼選項(xiàng)及圖形和表格的統(tǒng)計(jì)信息。expert / d專家分析 系統(tǒng)net station 1l19027 ( 9)ubit-yb2p9582bh ( 7)w27247 ( 6)w27247 ( 8)w27247 ( 8)11專家分析系統(tǒng)atrix /住迴丁 able ¥rot?col distastati 列空乂捕獲報(bào)文的圖形分析捕獲報(bào)文的其他統(tǒng)計(jì)信息專家分析專家分分析系統(tǒng)提供了一個只能的分析平臺，對網(wǎng)絡(luò)上的流量進(jìn)行了一些分析對于分

37、析出的診斷結(jié)果可以查看在線幫助獲得。在下圖中顯示出在網(wǎng)絡(luò)中wins查詢失敗的次數(shù)及tcp重傳的次數(shù) 統(tǒng)計(jì)等內(nèi)容，可以方便了解網(wǎng)絡(luò)中高層協(xié)議出現(xiàn)故障的可能點(diǎn)。對于某項(xiàng)統(tǒng)計(jì)分析可以通過用鼠標(biāo)雙擊此條記錄可以杳看詳細(xì)統(tǒng)計(jì)信息且對于每一項(xiàng)都可以通過杏看幫助 來了解起產(chǎn)生的原因。解碼分析下圖是對捕獲報(bào)文進(jìn)行解碼的顯示，通常分為三部分，目前人部分此類軟件結(jié)構(gòu)都采用這種結(jié)構(gòu)顯示。對 于解碼主要要求分析人員對協(xié)議比較熟悉，這樣才能看懂解析出來的報(bào)文。使用該軟件是很簡單的事情， 要能夠利用軟件解碼分析來解決問題關(guān)鍵是要對各種層次的協(xié)議了解的比較透徹。t具軟件只是提供一個 輔助的手段。因涉及的內(nèi)容太多，這里不對協(xié)

38、議進(jìn)行過多講解，請參閱其他相關(guān)資料。對于mac地址，snffier軟件進(jìn)行了頭部的替換，如ooeofc開頭的就替換成huawei,這樣有利于了解網(wǎng) 絡(luò)上各種相關(guān)設(shè)備的制造廠商信息。status 15 ouice匚 t arp:arp zrarp f ramoarp: app:arp: arp：xisurrs c ri- r-r rysni £2. cap: decode, 1/3803 ethemet frasrshuaweioollos557u27247r h rbhardware t ype = 1 (101( b e t herne t) protocol type = 0800 (ip)length of hardware address = 6 byteslb#十 cl*c 1 r h rl= 4 卜1丫 卄42=5huaweollu| no.1234 je報(bào)文解i 岡 ji xiroon