利用Ethereal分析ARP協(xié)議

1、利用Ethereal分析ARP協(xié)議w實(shí)驗(yàn)?zāi)康模?本實(shí)驗(yàn)利用Ethereal捕獲發(fā)生在ping過程中的ARP報(bào)文，加強(qiáng)對ARP協(xié)議的理解，掌握ARP報(bào)文格式，掌握ARP請求報(bào)文和應(yīng)答報(bào)文的區(qū)別。利用Ethereal分析ARP協(xié)議wARP回顧w利用Ethereal捕獲分組示例w在捕獲分組中分析ARP協(xié)議Whats ARP?w當(dāng)一臺主機(jī)把以太網(wǎng)數(shù)據(jù)幀發(fā)送到位于同一局域網(wǎng)上的另一臺主機(jī)時，是根據(jù)48bit的以太網(wǎng)地址來確定目的接口的.設(shè)備驅(qū)動程序從不檢查IP數(shù)據(jù)報(bào)中的目的IP地址。地址解析為這兩種不同的地址形式提供映射：32bit的IP地址和數(shù)據(jù)鏈路層使用的任何類型的地址。w ARP為IP地址到對應(yīng)的

2、硬件地址之間提供動態(tài)映射。我們之所以用動態(tài)這個詞是因?yàn)檫@個過程是自動完成的，一般應(yīng)用程序用戶或系統(tǒng)管理員不必關(guān)心。 返回地址解析地址解析協(xié)議協(xié)議：ARP和和RARP 返回用于以太網(wǎng)的ARP請求或應(yīng)答分組格式假設(shè)我們的計(jì)算機(jī)IP地址是，要執(zhí)行這個命令：ping。該命令會通過ICMP協(xié)議發(fā)送ICMP數(shù)據(jù)包。該過程需要經(jīng)過下面的步驟： 1、應(yīng)用程序構(gòu)造數(shù)據(jù)包，該示例是產(chǎn)生ICMP包，被提交給內(nèi)核（網(wǎng)絡(luò)驅(qū)動程序） 2、內(nèi)核檢查是否能夠轉(zhuǎn)化該IP地址為MAC地址，也就是在本地的ARP緩存中查看IP-MAC對應(yīng)表 3、如果存在該IP-MAC對應(yīng)關(guān)系，那么跳到步驟

3、9；如果不存在該IP-MAC對應(yīng)關(guān)系，那么接續(xù)下面的步驟4、內(nèi)核進(jìn)行ARP廣播，目的地的MAC地址是FF-FF-FF-FF-FF-FF，ARP命令類型為REQUEST（1），其中包含有自己的MAC地址5、當(dāng)主機(jī)接收到該ARP請求后，就發(fā)送一個ARP的REPLY（2）命令，其中包含自己的MAC地址 6、本地獲得主機(jī)的IP-MAC地址對應(yīng)關(guān)系，并保存到ARP緩存中 7、內(nèi)核將把IP轉(zhuǎn)化為MAC地址，然后封裝在以太網(wǎng)頭結(jié)構(gòu)中，再把數(shù)據(jù)發(fā)送出去Ping過程中的ARP應(yīng)用返回從頭到尾觀察一個跟蹤記錄w步驟1 啟動Etherealw步驟2 對Capture Op

4、tions各個選項(xiàng)設(shè)置w步驟3 點(diǎn)擊Start按鈕開始捕獲,出現(xiàn)Capture from對話框w步驟4 點(diǎn)擊Capture from 對話框中Stop按鈕結(jié)束捕獲w步驟5 得到捕獲記錄w步驟6 利用Analyze菜單分析記錄返回觀察一個跟蹤記錄步驟1:啟動Ethereal桌面雙擊圖標(biāo) ,啟動Ethereal返回觀察一個跟蹤記錄步驟2:對Capture Options各個選項(xiàng)設(shè)置Interface:以太網(wǎng)接口混雜模式下捕獲分組沒有指定捕獲規(guī)則沒有指定捕獲文件沒有指定實(shí)時更新分組Name Resolution全部選擇返回觀察一個跟蹤記錄步驟3:點(diǎn)擊Start按鈕開始捕獲分組,出現(xiàn)Capture f

5、rom對話框返回觀察一個跟蹤記錄步驟4:點(diǎn)擊Capture from 對話框中Stop按鈕結(jié)束捕獲結(jié)束捕獲返回觀察一個跟蹤記錄步驟5:得到捕獲記錄從IP:88到(55)的捕獲返回列表框協(xié)議層框(協(xié)議框)協(xié)議框顯示所選分組的各層協(xié)議細(xì)節(jié):物理層幀,以太網(wǎng)幀及其首部,IP協(xié)議數(shù)據(jù)報(bào)及其首部,UDP數(shù)據(jù)報(bào)及其首部,HTTP等協(xié)議細(xì)節(jié)原始框原始框顯示了分組中包含的數(shù)據(jù)的每個字節(jié).從中可以觀察最原始的傳輸數(shù)據(jù).方框左邊是十六進(jìn)制的數(shù)據(jù),右邊是ASCII碼返回觀察一個跟蹤記錄步驟6:利用Analyze菜單分析記錄利用Summary觀察跟蹤記錄的統(tǒng)計(jì)該要,包括通信

6、的總字節(jié)數(shù),通信的頻率,分組的大小等統(tǒng)計(jì)數(shù)據(jù)觀察一個跟蹤記錄步驟6:利用Analyze菜單分析記錄利用Protocol Hierarchy Statistics(協(xié)議層次統(tǒng)計(jì))觀察各個協(xié)議的統(tǒng)計(jì)返回分析一次Ping過程中的ARP分組 我們準(zhǔn)備ping統(tǒng)一局域網(wǎng)內(nèi)IP為 02的主機(jī)步驟:w查看并清空本地ARP高速緩存w執(zhí)行Ping 02,并捕獲分組w分析ARP分組返回查看ARP高速緩存并清空查看本地ARP高速緩存中是否有 02主機(jī)的IP-MAC地址對應(yīng)關(guān)系執(zhí)行ping并捕獲分組捕獲過程中Capture from Br中ICMP和A

7、RP報(bào)文分別為8個和2個 捕獲后Ethereal面板顯示分析ARP請求報(bào)文報(bào)文一ARP 請求報(bào)文分析ARP請求報(bào)文w由于02為局域網(wǎng)內(nèi)IP并且本地主機(jī)ARP高速緩存無對應(yīng)IP-MAC表項(xiàng),故廣播之.w對應(yīng)于前面ARP請求分組格式,可以看到報(bào)文一為ARP請求報(bào)文,w以太網(wǎng)目的地址為廣播地址(ff:ff:ff:ff:ff:ff),w幀類型為ARP(0 x0806),w操作字段op為ARP請求(0 x0001)w對照分組格式可以觀察其他部分分析ARP響應(yīng)報(bào)文報(bào)文2 ARP響應(yīng)報(bào)文分析ARP響應(yīng)報(bào)文w02主機(jī)接收到該ARP請求后，就發(fā)送一個ARP的REPLY命令，其中包含自己的MAC地址 w對應(yīng)于前面ARP請求分組格式,可以看到報(bào)文一為ARP應(yīng)答報(bào)文,w以太網(wǎng)目的地址為19