A實驗二協(xié)議分析軟件基礎實驗指導

1、實驗二 協(xié)議分析軟件基礎（實驗指導）一、實驗目的 1.掌握如何利用協(xié)議分析工具分析IP數(shù)據(jù)報報文格式，體會數(shù)據(jù)報發(fā)送、轉發(fā)的過程。在學習的過程中可以直觀地看到數(shù)據(jù)的具體傳輸過程。 通過分析截獲TCP報文首部信息，理解首部中的序號、確認號等字段是TCP可靠連接的基礎。通過分析TCP連接的三次握手建立和釋放過程，理解TCP連接建立和釋放機制。進一步熟悉Wireshark軟件的使用方法；2利用Wireshark（Ethereal）抓包； 3對抓取到的包進行分析，通過分析鞏固對Ethernet II 封包、ARP 分組及IP、ICMP 數(shù)據(jù)包的認識。 二、實驗內容和要求 1. 學習協(xié)議分析工具Wire

2、shark（Ethereal）的基本使用方法； 2. 利用Wireshark（Ethereal）進行IP數(shù)據(jù)報報文的抓??； 3. 對抓取到的數(shù)據(jù)報文進行分析，體會數(shù)據(jù)報發(fā)送、轉發(fā)的過程。 三、實驗主要儀器設備和材料 PC機，Windows；Wireshark軟件 四、實驗方法、步驟及結果測試 1 ping 命令網(wǎng)絡數(shù)據(jù)包的跟蹤    1）首先運行Wireshark（Ethereal），在菜單Capture 下點擊Interfaces， 選取要抓包的網(wǎng)卡， 這里選取地址為192.168.111.124的這個網(wǎng)卡抓取數(shù)據(jù)包，如圖1.1： 圖1.1 選擇抓取數(shù)

3、據(jù)包網(wǎng)卡    2）之后在主操作系統(tǒng)中命令行界面使用ping 的命令，來ping 163的網(wǎng)站。如圖1.2所示；圖1.2 Ping 網(wǎng)易的網(wǎng)站地址      3）如圖1.3所示，Wireshark抓取了很多的網(wǎng)絡數(shù)據(jù)包，從圖1.3可見包括SSDP廣播包、ARP、DNS、ICMP等類型的數(shù)據(jù)包。圖1.3 Wireshark抓取到的網(wǎng)絡數(shù)據(jù)包    4)在剛才的Ping命令中主要包含了兩種數(shù)據(jù)包：DNS、ICMP，為了分析剛才的ping命令，我們需要進一步對數(shù)據(jù)包進行過濾處理，以確定該命令

4、所產生的具體的網(wǎng)絡數(shù)據(jù)包，并對這些數(shù)據(jù)包進行進一步的分析。我們可以在圖1.4所示的橢圓標記的輸入框中輸入合適的過濾條件就可以準確地將特定的網(wǎng)絡數(shù)據(jù)包過濾出來，圖1.4所過濾出來的就是，剛才Ping命令所產生的2個DNS數(shù)據(jù)包和8個ICMP數(shù)據(jù)包。圖1.4 過濾Wireshark所抓的網(wǎng)絡數(shù)據(jù)包2 ARP 報文分析     如圖1.3，從Wireshark的第11欄中，我們看到這是個ARP 解析的廣播包，。由于這個版本的Wireshark（Ethereal）使用的是Ethernet II 來解碼的，我們先看看Ethernet II 的封裝格式。如下圖1.5

5、： 圖1.5 以太網(wǎng)封包格式      注意這個和802.3 是有區(qū)別的，802.3 的封包格式如圖1.6：圖1.6 802.3 封包格式    盡管Ethernet II 和802.3 的封包格式不同，但Wireshark（Ethereal） 在解碼時，都是從“類型”字段來判斷一個包是IP 數(shù)據(jù)報還是ARP 請求/應答或RARP 請求/應答。    從Ethernet II 知道了是ARP 解析以后，我們來看看Wireshark（Ethereal） 是如何判斷是ARP 請求呢還是應答的。我們先

6、復習一下以太網(wǎng)的ARP 請求和應答的分組格式，如圖1.7。圖1.7 分組格式 從上圖中我們了解到判斷一個ARP 分組是ARP 請求還是應答的字段是“op”，當其值為0×0001 時是請求，為0×0002 時是應答。如圖1.8、1.9。圖1.8 ARP 請求圖1.9 ARP 應答 3 ICMP報文分析     如圖1.10所示的報文是一個有Ping命令產生ICMP報文： 圖1.10 ICMP ping 包    同樣，我們先復習一下IP 包的封包格式，如圖1.11：圖1.11 IP 封包格式

7、60;   關于IP 封包各字段的內容及意義，這里就不再詳述了，可以參見三卷本的TCP/IP，。    我們主要看看TTL，從圖1.12 和1.13 的比較來看，圖1.12中的TTL 是128，而圖1.13 中的TTL 卻是64，什么原因呢？    原來圖1.12中的主機是Windows2000 ，而1.13 中的主機是Linux，看來不同操作系統(tǒng)的TTL 是不同的。圖1.12 Windows 主機的TTL圖1.13 Linux主機的TTL    好了我們來看看ICMP 報文吧，先看看它的封包格式，如圖1.14： 圖1.14 ICMP 封包類型    關于ICMP 的“類型”和“代碼”字段，這里有一個表，如圖1.15：  圖1.15 ICMP 報文類型    ICMP 報文