計(jì)算機(jī)網(wǎng)絡(luò)-使用網(wǎng)絡(luò)協(xié)議分析器捕捉和分析協(xié)議數(shù)據(jù)包

1、廣州大學(xué)學(xué)生實(shí)驗(yàn)報告開課學(xué)院及實(shí)驗(yàn)室：計(jì)算機(jī)科學(xué)與工程實(shí)驗(yàn)室2014年11月28日學(xué)院計(jì)算機(jī)科學(xué)與教育軟件學(xué)院年級/專業(yè)/班姓名學(xué)號實(shí)驗(yàn)課程名稱計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)成績實(shí)驗(yàn)項(xiàng)目名稱使用網(wǎng)絡(luò)協(xié)議分析器捕捉和分析協(xié)議數(shù)據(jù)包指導(dǎo)老師熊偉一、實(shí)驗(yàn)?zāi)康?1) 熟悉ethereal的使用(2) 驗(yàn)證各種協(xié)議數(shù)據(jù)包格式(3) 學(xué)會捕捉并分析各種數(shù)據(jù)包。二、實(shí)驗(yàn)環(huán)境1MacBook Pro2Mac OS 10.10.13.Wireshark三、實(shí)驗(yàn)內(nèi)容1.安裝ethereal軟件2.捕捉數(shù)據(jù)包，驗(yàn)證數(shù)據(jù)幀、IP數(shù)據(jù)報、TCP數(shù)據(jù)段的報文格式。3.捕捉并分析ARP報文。4.捕捉ping過程中的ICMP報文， 分析結(jié)果

2、各參數(shù)的意義。5.捕捉tracert過程中的ICMP報文，分析跟蹤的路由器IP是哪個接口的。6.捕捉并分析TCP三次握手建立連接的過程。7.捕捉整個FTP工作工程的協(xié)議包 對協(xié)議包進(jìn)行分析說明，依據(jù)不同階段的協(xié)議分析，畫出FTP工作過程的示意圖 a. 地址解析ARP協(xié)議執(zhí)行過程 b. FTP控制連接建立過程 c . FTP 用戶登錄身份驗(yàn)證過程 d. FTP 數(shù)據(jù)連接建立過程 e. FTP數(shù)據(jù)傳輸過程 f. FTP連接釋放過程（包括數(shù)據(jù)連接和控制連接）8.捕捉及研究WWW應(yīng)用的協(xié)議報文，回答以下問題：a. .當(dāng)訪問某個主頁時，從應(yīng)用層到網(wǎng)絡(luò)層，用到了哪些協(xié)議？b. 對于用戶請求的百度主頁（），

3、客戶端將接收到幾個應(yīng)答報文？具體是哪幾個？假設(shè)從本地主機(jī)到該頁面的往返時間是RTT，那么從請求該主頁開始到瀏覽器上出現(xiàn)完整頁面，一共經(jīng)過多長時間？c. 兩個存放在同一個服務(wù)器中的截然不同的Web頁（例如， d. 假定一個超鏈接從一個萬維網(wǎng)文檔鏈接到另一個萬維網(wǎng)文檔，由于萬維網(wǎng)文檔上出現(xiàn)了差錯而使超鏈接指向一個無效的計(jì)算機(jī)名，這時瀏覽器將向用戶報告什么？e. 當(dāng)點(diǎn)擊一個萬維網(wǎng)文檔時，若該文檔除了有文本外，還有一個本地.gif圖像和兩個遠(yuǎn)地.gif圖像，那么需要建立幾次TCP連接和有幾個UDP過程？9.捕捉ARP病毒包，分析ARP攻擊機(jī)制。（選做）10.TCP采用了擁塞控制機(jī)制，事實(shí)上，TCP開始

4、發(fā)送數(shù)據(jù)時，使用了慢啟動。利用網(wǎng)絡(luò)監(jiān)視器觀察TCP的傳輸和確認(rèn)。在每一確認(rèn)到達(dá)之后，慢啟動過程中發(fā)生了什么？（選做）11.在TCP知道往返時間之前，TCP必須準(zhǔn)備重發(fā)初始段（用于打開一個連接的一個段）。TCP應(yīng)等多久才重發(fā)這一段？TCP應(yīng)重發(fā)多少次才能宣布它不能打開一個連接？為找到結(jié)果嘗試向一個不存在的地址打開一個連接，并使用網(wǎng)絡(luò)監(jiān)視器觀察TCP的通信量。（選做）嘗試使用Winpcap自行設(shè)計(jì)實(shí)現(xiàn)一個簡單的網(wǎng)絡(luò)數(shù)據(jù)包監(jiān)聽與捕捉程序，同時將捕獲的數(shù)據(jù)包進(jìn)行分析并將結(jié)果顯示在屏幕上。參考Winpcapde 的有關(guān)資料/ , http:/winpcap.po

5、lito.it（課后選做）。四、實(shí)驗(yàn)步驟、記錄和結(jié)果1.安裝ethereal軟件Ethereal從06年開始由于商標(biāo)問題改名Wireshark了。所以我在mac下安裝的是2. 捕捉數(shù)據(jù)包，驗(yàn)證數(shù)據(jù)幀、IP數(shù)據(jù)報、TCP數(shù)據(jù)段的報文格式。經(jīng)過仔細(xì)對比，跟書上的報文格式一樣。3. 捕捉并分析ARP報文。下面是發(fā)送廣播的數(shù)據(jù)包第一行指示數(shù)據(jù)包發(fā)送的地址是ff:ff:ff:ff:ff:ff:,這是一個以太網(wǎng)的廣播地址。第二行指示了就是本機(jī)的mac地址。下圖是ARP報文第一行紅框表示本機(jī)的地址。第二行中mac地址為0，因?yàn)檫€未知道對應(yīng)ip的mac地址。下面是收到arp的回復(fù)報文可以看到，紅框部分即是剛才

6、請求的mac地址4. 捕捉ping過程中的ICMP報文， 分析結(jié)果各參數(shù)的意義。Ping 篩選對應(yīng)報文選取其中一對進(jìn)行分析下圖是request報文，從藍(lán)色框中可以看出其類型。紅框部分跟回復(fù)報文的紅框部分相同，指明是它們是匹配的。下圖是reply報文，藍(lán)色框中可以看出類型是reply，紅色部分和上圖相同5. 捕捉tracert過程中的ICMP報文，分析跟蹤的路由器IP是哪個接口的。在mac os中使用的命令是traceroute，因此在終端中輸入traceroute 篩選結(jié)果由上圖可見，每個報文都發(fā)送了3次。而且跟Windows系統(tǒng)下使用命令tracert抓包不同，Win

7、dows使用的是ping（ICMP echo報文），而在Linux，Unix下使用的命令traceroute使用的upd報文。不過兩者的原理都是相同的，關(guān)鍵都在于TTL（Time To Live）。下面來分析其中原理。前3個發(fā)送報文的TTL對應(yīng)收到的報文均是TTL超時中間3個發(fā)送報文TTL比前面的多1，如下圖對應(yīng)收到的依然是TTL超時最后3個發(fā)送報文TTL再加1，如下圖此時收到的回復(fù)報文變成了目的不可達(dá)，traceroute完成，由此看出，經(jīng)過2個路由轉(zhuǎn)發(fā)就可到達(dá)目的ip。6. 捕捉并分析TCP三次握手建立連接的過程。(第一次握手，客戶端發(fā)出）第一個發(fā)出的SYN包關(guān)鍵數(shù)據(jù)可見下圖（第二次握手，

8、服務(wù)器發(fā)出）第二個收到的SYN/ACK包，可見Ack Num等于SYN的Seq Num加1，并發(fā)回了初始序列號（第三次握手，客戶端發(fā)出，確認(rèn)連接）第三個發(fā)出ACK包中，Seq Num 等于前一個包的Ack Num，并發(fā)出ACK Num的值等于上一個包的Seq Num加1，發(fā)送此包之后，連接建立。7.捕捉整個FTP工作工程的協(xié)議包 對協(xié)議包進(jìn)行分析說明，依據(jù)不同階段的協(xié)議分析，畫出FTP工作過程的示意圖 a. FTP控制連接建立過程三次握手之后建立連接 b . FTP 用戶登錄身份驗(yàn)證過程登錄輸入帳號salesxfer，密碼pssw0rd，服務(wù)器回應(yīng)登錄成功 c. FTP 數(shù)據(jù)連接建立過程三次握

9、手后建立連接，服務(wù)端數(shù)據(jù)連接的端口使用的是49166，客戶端為2559 d. FTP數(shù)據(jù)傳輸過程請求上傳文件，分段傳輸。 e. FTP連接釋放過程（包括數(shù)據(jù)連接和控制連接）首先是釋放數(shù)據(jù)連接然后再釋放控制連接工作流程如下圖所示8.捕捉及研究WWW應(yīng)用的協(xié)議報文，回答以下問題：a. .當(dāng)訪問某個主頁時，從應(yīng)用層到網(wǎng)絡(luò)層，用到了哪些協(xié)議？在應(yīng)用層首先使用DNS，解析出ip地址，然后使用http，傳輸層使用tcp建立連接網(wǎng)絡(luò)層使用ip協(xié)議b. 對于用戶請求的百度主頁（），客戶端將接收到幾個應(yīng)答報文？具體是哪幾個？假設(shè)從本地主機(jī)到該頁面的往返時間是RTT，那么從請求該主頁開始到瀏覽器上出現(xiàn)完整頁面，一

10、共經(jīng)過多長時間？點(diǎn)擊菜單欄Statistics，Conversations可見下圖可見客戶端收到30個報文。過濾得出具體報文如下點(diǎn)擊菜單欄Statistics，Summary，可見下圖，紅框所示，耗時1.006秒c. 兩個存放在同一個服務(wù)器中的截然不同的Web頁（例如， 可以的。如下圖所示，抓包后過濾，可見，只建立過一次連接。d. 假定一個超鏈接從一個萬維網(wǎng)文檔鏈接到另一個萬維網(wǎng)文檔，由于萬維網(wǎng)文檔上出現(xiàn)了差錯而使超鏈接指向一個無效的計(jì)算機(jī)名，這時瀏覽器將向用戶報告什么？e. 當(dāng)點(diǎn)擊一個萬維網(wǎng)文檔時，若該文檔除了有文本外，還有一個本地.gif圖像和兩個遠(yuǎn)地.gif圖像，那么需要建立幾次TCP連

11、接和有幾個UDP過程？使用http/1.0,需要4次TCP，0個UDP使用http/1.1需要1次TCP，0個UDP9. 捕捉ARP病毒包，分析ARP攻擊機(jī)制。（選做）10.TCP采用了擁塞控制機(jī)制，事實(shí)上，TCP開始發(fā)送數(shù)據(jù)時，使用了慢啟動。利用網(wǎng)絡(luò)監(jiān)視器觀察TCP的傳輸和確認(rèn)。在每一確認(rèn)到達(dá)之后，慢啟動過程中發(fā)生了什么？（選做）11.在TCP知道往返時間之前，TCP必須準(zhǔn)備重發(fā)初始段（用于打開一個連接的一個段）。TCP應(yīng)等多久才重發(fā)這一段？TCP應(yīng)重發(fā)多少次才能宣布它不能打開一個連接？為找到結(jié)果嘗試向一個不存在的地址打開一個連接，并使用網(wǎng)絡(luò)監(jiān)視器觀察TCP的通信量。（選做）嘗試使用Winpcap自行設(shè)計(jì)實(shí)現(xiàn)一個簡單的網(wǎng)絡(luò)數(shù)據(jù)包監(jiān)聽與捕捉程序，同時將捕獲的數(shù)據(jù)包進(jìn)行分析并將結(jié)果顯示在屏幕上。參考Winpcapde 的有關(guān)資料http:/w