實(shí)驗(yàn)二 網(wǎng)絡(luò)網(wǎng)絡(luò)數(shù)據(jù)包分析

1、實(shí)驗(yàn)二 網(wǎng)絡(luò)數(shù)據(jù)包分析2022-5-6實(shí)驗(yàn)內(nèi)容：o 使用sniffer pro抓取各種類型的數(shù)據(jù)包并進(jìn)行簡(jiǎn)單分析；o 熟悉常用的網(wǎng)絡(luò)服務(wù)；參數(shù)設(shè)置o 啟動(dòng)虛擬機(jī)；o 重新設(shè)置虛擬機(jī)的IP地址；o 主機(jī)中啟動(dòng)網(wǎng)絡(luò)抓包軟件sniffer pro，并做相關(guān)設(shè)置（capture-define filter中1，address-IP，標(biāo)注源主機(jī)、目的主機(jī)IP地址；2，選擇advanced-IP-IP、ICMP，TCP-FTP、Telnet，UDP-DNS）；抓取IP數(shù)據(jù)報(bào)并分析o 啟動(dòng)sniffer pro抓取數(shù)據(jù)包（capture-start）；o 主機(jī)中Ping 虛擬機(jī)IP地址；o Stop and

2、 display，decode對(duì)抓取的數(shù)據(jù)包進(jìn)行分析；o 結(jié)合IP數(shù)據(jù)報(bào)首部字段內(nèi)容對(duì)抓取的數(shù)據(jù)包進(jìn)行分析；網(wǎng)絡(luò)協(xié)議IP oIP協(xié)議已經(jīng)成為世界上最重要的網(wǎng)際協(xié)議。協(xié)議已經(jīng)成為世界上最重要的網(wǎng)際協(xié)議。oIP的功能定義在由的功能定義在由IP頭結(jié)構(gòu)的數(shù)據(jù)中。頭結(jié)構(gòu)的數(shù)據(jù)中。IP是網(wǎng)絡(luò)層上的主要協(xié)是網(wǎng)絡(luò)層上的主要協(xié)議，同時(shí)被議，同時(shí)被TCP協(xié)議和協(xié)議和UDP協(xié)議使用。協(xié)議使用。oTCP/IP的整個(gè)數(shù)據(jù)報(bào)在數(shù)據(jù)鏈路層的結(jié)構(gòu)如表所示。的整個(gè)數(shù)據(jù)報(bào)在數(shù)據(jù)鏈路層的結(jié)構(gòu)如表所示。表表 TCP/IP數(shù)據(jù)報(bào)的結(jié)構(gòu)數(shù)據(jù)報(bào)的結(jié)構(gòu)以太網(wǎng)數(shù)據(jù)包頭以太網(wǎng)數(shù)據(jù)包頭IP頭頭TCP/UDP/ICMP/IGMP頭頭數(shù)據(jù)數(shù)據(jù)IP頭的

3、結(jié)構(gòu)o可以看出一條完整數(shù)據(jù)報(bào)由四部分組成o第三部分是該數(shù)據(jù)報(bào)采用的協(xié)議o第四部分是數(shù)據(jù)報(bào)傳遞的數(shù)據(jù)內(nèi)容o其中IP頭的結(jié)構(gòu)如表所示。版本（版本（4位）位）頭長(zhǎng)度（頭長(zhǎng)度（4位）位）服務(wù)類型（服務(wù)類型（8位）位）封包總長(zhǎng)度（封包總長(zhǎng)度（16位）位）封包標(biāo)識(shí)（封包標(biāo)識(shí)（16位）位）標(biāo)志（標(biāo)志（3位）位）片斷偏移地址（片斷偏移地址（13位）位）存活時(shí)間（存活時(shí)間（8位）位）協(xié)議（協(xié)議（8位）位）校驗(yàn)和（校驗(yàn)和（16位）位）來源來源IP地址（地址（32位）位）目的目的IP地址（地址（32位）位）選項(xiàng)（可選）選項(xiàng)（可選）填充（可選）數(shù)據(jù)數(shù)據(jù)IP頭的結(jié)構(gòu)oIP頭結(jié)構(gòu)在所有協(xié)議中都是固定的，對(duì)表說明如下：頭結(jié)

4、構(gòu)在所有協(xié)議中都是固定的，對(duì)表說明如下：o（1）字節(jié)和數(shù)字的存儲(chǔ)順序是從右到左，依次是從低位到高位，而網(wǎng)絡(luò)存儲(chǔ)順序是從左到）字節(jié)和數(shù)字的存儲(chǔ)順序是從右到左，依次是從低位到高位，而網(wǎng)絡(luò)存儲(chǔ)順序是從左到右，依次從低位到高位。右，依次從低位到高位。o（2）版本：占第一個(gè)字節(jié)的高四位。頭長(zhǎng)度：占第一個(gè)字節(jié)的低四位。）版本：占第一個(gè)字節(jié)的高四位。頭長(zhǎng)度：占第一個(gè)字節(jié)的低四位。o（3）服務(wù)類型：前）服務(wù)類型：前3位為優(yōu)先字段權(quán)，現(xiàn)在已經(jīng)被忽略。接著位為優(yōu)先字段權(quán)，現(xiàn)在已經(jīng)被忽略。接著4位用來表示最小延遲、最大位用來表示最小延遲、最大吞吐量、最高可靠性和最小費(fèi)用。吞吐量、最高可靠性和最小費(fèi)用。o（4）封包總

5、長(zhǎng)度：整個(gè)）封包總長(zhǎng)度：整個(gè)IP報(bào)的長(zhǎng)度，單位為字節(jié)。報(bào)的長(zhǎng)度，單位為字節(jié)。o（5）存活時(shí)間：就是封包的生存時(shí)間。通常用通過的路由器的個(gè)數(shù)來衡量，比如初始值設(shè)）存活時(shí)間：就是封包的生存時(shí)間。通常用通過的路由器的個(gè)數(shù)來衡量，比如初始值設(shè)置為置為32，則每通過一個(gè)路由器處理就會(huì)被減一，當(dāng)這個(gè)值為，則每通過一個(gè)路由器處理就會(huì)被減一，當(dāng)這個(gè)值為0的時(shí)候就會(huì)丟掉這個(gè)包，并用的時(shí)候就會(huì)丟掉這個(gè)包，并用ICMP消息通知源主機(jī)。消息通知源主機(jī)。o（6）協(xié)議：定義了數(shù)據(jù)的協(xié)議，分別為：）協(xié)議：定義了數(shù)據(jù)的協(xié)議，分別為：TCP、UDP、ICMP和和IGMP。定義為：。定義為：odefine PROTOCOL_TC

6、P 0 x06odefine PROTOCOL_UDP 0 x11odefine PROTOCOL_ICMP 0 x06odefine PROTOCOL_IGMP 0 x06o（7）檢驗(yàn)和：校驗(yàn)的首先將該字段設(shè)置為）檢驗(yàn)和：校驗(yàn)的首先將該字段設(shè)置為0，然后將，然后將IP頭的每頭的每16位進(jìn)行二進(jìn)制取反求和，位進(jìn)行二進(jìn)制取反求和，將結(jié)果保存在校驗(yàn)和字段。將結(jié)果保存在校驗(yàn)和字段。o（8）來源）來源IP地址：將地址：將IP地址看作是地址看作是32位數(shù)值則需要將網(wǎng)絡(luò)字節(jié)順序轉(zhuǎn)化位主機(jī)字節(jié)順序。位數(shù)值則需要將網(wǎng)絡(luò)字節(jié)順序轉(zhuǎn)化位主機(jī)字節(jié)順序。轉(zhuǎn)化的方法是：將每轉(zhuǎn)化的方法是：將每4個(gè)字節(jié)首尾互換，將個(gè)字節(jié)首

7、尾互換，將2、3字節(jié)互換。字節(jié)互換。o（9）目的）目的IP地址：轉(zhuǎn)換方法和來源地址：轉(zhuǎn)換方法和來源IP地址一樣。地址一樣。o在網(wǎng)絡(luò)協(xié)議中，在網(wǎng)絡(luò)協(xié)議中，IP是面向非連接的，所謂的非連接就是傳遞數(shù)據(jù)的時(shí)候，不檢測(cè)網(wǎng)絡(luò)是否連是面向非連接的，所謂的非連接就是傳遞數(shù)據(jù)的時(shí)候，不檢測(cè)網(wǎng)絡(luò)是否連通。所以是不可靠的數(shù)據(jù)報(bào)協(xié)議，通。所以是不可靠的數(shù)據(jù)報(bào)協(xié)議，IP協(xié)議主要負(fù)責(zé)在主機(jī)之間尋址和選擇數(shù)據(jù)包路由。協(xié)議主要負(fù)責(zé)在主機(jī)之間尋址和選擇數(shù)據(jù)包路由。 抓取Ping指令發(fā)送的數(shù)據(jù)包o按照之前Sniffer的設(shè)置抓取Ping指令發(fā)送的數(shù)據(jù)包，命令執(zhí)行如圖所示。 抓取Ping指令發(fā)送的數(shù)據(jù)包抓取Ping指令發(fā)送的數(shù)據(jù)

8、包o其實(shí)IP報(bào)頭的所有屬性都在報(bào)頭中顯示出來，可以看出實(shí)際抓取的數(shù)據(jù)報(bào)和理論上的數(shù)據(jù)報(bào)一致，分析如圖所示。抓取一次完整的FTP會(huì)話并分析o 使用sniffer pro可以抓取TCP數(shù)據(jù)報(bào)，F(xiàn)TP服務(wù)就是通過TCP協(xié)議進(jìn)行傳輸?shù)?。o 首先開啟目標(biāo)主機(jī)（虛擬機(jī)）的FTP服務(wù)。（開始-程序-管理工具-Internet服務(wù)管理器-啟動(dòng)FTP服務(wù)）o 啟動(dòng)主機(jī)中sniffer，然后在主機(jī)DOS命令行下使用FTP指令連接目標(biāo)主機(jī)上的FTP服務(wù)器。（ftp 目標(biāo)主機(jī)IP地址）并輸入用戶名及其密碼默認(rèn)都是ftp；退出對(duì)方FTP命令是bye；o 停止sniffer，并查看并分析抓取的FTP會(huì)話過程。傳輸控制協(xié)議

9、協(xié)議TCP o TCP是傳輸層協(xié)議，提供可靠的應(yīng)用數(shù)據(jù)傳輸。o TCP在兩個(gè)或多個(gè)主機(jī)之間建立面向連接的通信。o TCP支持多數(shù)據(jù)流操作，提供錯(cuò)誤控制，甚至完成對(duì)亂序到達(dá)的報(bào)文進(jìn)行重新排序。TCP協(xié)議的頭結(jié)構(gòu) o和IP一樣，TCP的功能受限于其頭中攜帶的信息。因此理解TCP的機(jī)制和功能需要了解TCP頭中的內(nèi)容，表顯示了TCP頭結(jié)構(gòu)。來源端口（2字節(jié)）目的端口（2字節(jié)）序號(hào)（4字節(jié)）確認(rèn)序號(hào)（4字節(jié)）頭長(zhǎng)度（4位）保留（6位）URGACKPSHRSTSYNPIN窗口大小（2字節(jié)）校驗(yàn)和（16位）緊急指針（16位）選項(xiàng)（可選）數(shù)據(jù)TCP協(xié)議的頭結(jié)構(gòu)oTCP協(xié)議的頭結(jié)構(gòu)都是固定的，對(duì)上表說明如下：o

10、（1）TCP源端口（Source Port）：16位的源端口包含初始化通信的端口號(hào)。源端口和IP地址的作用是標(biāo)識(shí)報(bào)文的返回地址。o（2）TCP目的端口（Destination Port）：16位的目的端口域定義傳輸?shù)哪康?。這個(gè)端口指明報(bào)文接收計(jì)算機(jī)上的應(yīng)用程序地址接口。o（3）序列號(hào)（Sequence Number）：TCP連線發(fā)送方向接收方的封包順序號(hào)。o（4）確認(rèn)序號(hào)（Acknowledge Number）：接收方回發(fā)的應(yīng)答順序號(hào)。o（5）頭長(zhǎng)度（Header Length）：表示TCP頭的雙四字節(jié)數(shù)，如果轉(zhuǎn)化為字節(jié)個(gè)數(shù)需要乘以4。o（6）URG：是否使用緊急指針，0為不使用，1為使用。o

11、（7）ACK：請(qǐng)求/應(yīng)答狀態(tài)。0為請(qǐng)求，1為應(yīng)答。o（8）PSH：以最快的速度傳輸數(shù)據(jù)。o（9）RST：連線復(fù)位，首先斷開連接，然后重建。o（10）SYN：同步連線序號(hào)，用來建立連線。o（11）FIN：結(jié)束連線。如果FIN為0是結(jié)束連線請(qǐng)求，F(xiàn)IN為1表示結(jié)束連線。o（12）窗口大?。╓indow）：目的機(jī)使用16位的域告訴源主機(jī)，它想收到的每個(gè)TCP數(shù)據(jù)段大小。o（13）校驗(yàn)和（Check Sum）：這個(gè)校驗(yàn)和和IP的校驗(yàn)和有所不同，不僅對(duì)頭數(shù)據(jù)進(jìn)行校驗(yàn)還對(duì)封包內(nèi)容校驗(yàn)。o（14）緊急指針（Urgent Pointer）：當(dāng)URG為1的時(shí)候才有效。TCP的緊急方式是發(fā)送緊急數(shù)據(jù)的一種方式。一

12、次完整的FTP會(huì)話 o首先開啟目標(biāo)主機(jī)的FTP服務(wù)，如圖所示。 一次完整的FTP會(huì)話o 啟動(dòng)Sniffer，然后在主機(jī)的DOS命令行下利用FTP指令連接目標(biāo)主機(jī)上的FTP服務(wù)器，連接過程如圖所示。一次完整的FTP會(huì)話一次完整的FTP會(huì)話o登錄FTP的過程是一次典型的TCP連接，因?yàn)镕TP服務(wù)使用的是TCP協(xié)議。分析TCP報(bào)頭的結(jié)構(gòu)如圖所示。傳輸控制協(xié)議（TCP）的特點(diǎn)o 傳輸控制協(xié)議（傳輸控制協(xié)議（TCP）的特點(diǎn)是：提供可靠的、面向）的特點(diǎn)是：提供可靠的、面向連接的數(shù)據(jù)報(bào)傳遞服務(wù)。連接的數(shù)據(jù)報(bào)傳遞服務(wù)。o 傳輸控制協(xié)議可以做到如下的六點(diǎn)：傳輸控制協(xié)議可以做到如下的六點(diǎn)：n1、確保、確保IP數(shù)據(jù)

13、報(bào)的成功傳遞。數(shù)據(jù)報(bào)的成功傳遞。n2、對(duì)程序發(fā)送的大塊數(shù)據(jù)進(jìn)行分段和重組。、對(duì)程序發(fā)送的大塊數(shù)據(jù)進(jìn)行分段和重組。n3、確保正確排序以及按順序傳遞分段的數(shù)據(jù)。、確保正確排序以及按順序傳遞分段的數(shù)據(jù)。n4、通過計(jì)算校驗(yàn)和，進(jìn)行傳輸數(shù)據(jù)的完整性檢查。、通過計(jì)算校驗(yàn)和，進(jìn)行傳輸數(shù)據(jù)的完整性檢查。n5、根據(jù)數(shù)據(jù)是否接收成功發(fā)送消息。通過有選擇的確認(rèn)，、根據(jù)數(shù)據(jù)是否接收成功發(fā)送消息。通過有選擇的確認(rèn)，也對(duì)沒有收到的數(shù)據(jù)發(fā)送確認(rèn)。也對(duì)沒有收到的數(shù)據(jù)發(fā)送確認(rèn)。n6、為必須使用可靠的基于會(huì)話的數(shù)據(jù)傳輸?shù)某绦蛱峁┲С?，、為必須使用可靠的基于?huì)話的數(shù)據(jù)傳輸?shù)某绦蛱峁┲С郑鐢?shù)據(jù)庫(kù)服務(wù)和電子郵件服務(wù)。如數(shù)據(jù)庫(kù)服務(wù)和電

14、子郵件服務(wù)。TCP協(xié)議的工作原理 o TCP提供兩個(gè)網(wǎng)絡(luò)主機(jī)之間的點(diǎn)對(duì)點(diǎn)通信。TCP從程序中接收數(shù)據(jù)并將數(shù)據(jù)處理成字節(jié)流。o 首先將字節(jié)分成段，然后對(duì)段進(jìn)行編號(hào)和排序以便傳輸。在兩個(gè)TCP主機(jī)之間交換數(shù)據(jù)之前，必須先相互建立會(huì)話。TCP會(huì)話通過三次握手的完成初始化。這個(gè)過程使序號(hào)同步，并提供在兩個(gè)主機(jī)之間建立虛擬連接所需的控制信息。o TCP在建立連接的時(shí)候需要三次確認(rèn)，俗稱“三次握手”，在斷開連接的時(shí)候需要四次確認(rèn)，俗稱“四次揮手”。TCP協(xié)議的三次“握手” TCP協(xié)議的三次“握手”o 這個(gè)過程在FTP的會(huì)話過程中也明顯的顯示出來，如圖所示。第一次“握手” o 首先分析建立“握手”第一個(gè)過程

15、包的結(jié)構(gòu)，如圖所示。第二次“握手” oSYN為1，開始建立請(qǐng)求連接，需要對(duì)方計(jì)算機(jī)確認(rèn)，對(duì)方計(jì)算機(jī)確認(rèn)返回的數(shù)據(jù)包如圖所示。 第三次“握手” o對(duì)方計(jì)算機(jī)返回的數(shù)據(jù)包中ACK為1并且SYN為1，說明同意連接。o這個(gè)時(shí)候需要源計(jì)算機(jī)的確認(rèn)就可以建立連接了。確認(rèn)數(shù)據(jù)包的結(jié)構(gòu)如圖所示。 TCP協(xié)議的四次“揮手” o需要斷開連接的時(shí)候，TCP也需要互相確認(rèn)才可以斷開連接，四次交互過程如圖所示。第一次“揮手” o 第一次交互過程的數(shù)據(jù)報(bào)結(jié)構(gòu)如圖所示。第二次“揮手” o第一次交互中，首先發(fā)送一個(gè)FIN=1的請(qǐng)求，要求斷開，目標(biāo)主機(jī)在得到請(qǐng)求后發(fā)送ACK=1進(jìn)行確認(rèn)，如圖所示。 第三次“揮手” o在確認(rèn)信息

16、發(fā)出后，就發(fā)送了一個(gè)FIN=1的包，與源主機(jī)斷開，如圖所示。 第四次“揮手” o隨后源主機(jī)返回一條ACK=1的信息，這樣一次完整的TCP會(huì)話就結(jié)束了。如圖所示。UDP用戶數(shù)據(jù)報(bào)分析o 常用的網(wǎng)絡(luò)服務(wù)中，DNS使用UDP協(xié)議。o 在主機(jī)上設(shè)置DNS解析的主機(jī)，將主機(jī)的DNS解析指向虛擬機(jī)；o 在主機(jī)的DOS界面中輸入命令nslookup，exit退出。o 停止sniffer，并查看并分析抓取的UDP用戶數(shù)據(jù)報(bào)。用戶數(shù)據(jù)報(bào)協(xié)議UDP o UDP為應(yīng)用程序提供發(fā)送和接收數(shù)據(jù)報(bào)的功能。o 某些程序（比如騰訊的OICQ）使用的是UDP協(xié)議，UDP協(xié)議在TCP/IP主機(jī)之間建立快速、輕便、不可靠的數(shù)據(jù)傳輸

17、通道。 UDP和TCP的區(qū)別 oUDP提供的是非連接的數(shù)據(jù)報(bào)服務(wù)，意味著UDP無法保證任何數(shù)據(jù)報(bào)的傳遞和驗(yàn)證。oUDP的結(jié)構(gòu)如圖所示。 UDP和TCP傳遞數(shù)據(jù)的差異o UDP和TCP傳遞數(shù)據(jù)的差異類似于電話和明信片之間的差異。o TCP就像電話，必須先驗(yàn)證目標(biāo)是否可以訪問后才開始通訊。o UDP就像明信片，信息量很小而且每次傳遞成功的可能性很高，但是不能完全保證傳遞成功。o UDP通常由每次傳輸少量數(shù)據(jù)或有實(shí)時(shí)需要的程序使用。o 在這些情況下，UDP 的低開銷比TCP 更適合。UDP 與TCP 提供的服務(wù)和功能直接對(duì)比 UDP和TCP傳遞數(shù)據(jù)的比較 UDP協(xié)議協(xié)議TCP協(xié)議協(xié)議無連接的服務(wù)；在

18、主機(jī)之間不建立會(huì)話。無連接的服務(wù)；在主機(jī)之間不建立會(huì)話。面向連接的服務(wù)；在主機(jī)之間建立會(huì)話。面向連接的服務(wù)；在主機(jī)之間建立會(huì)話。UDP不能確?；虺姓J(rèn)數(shù)據(jù)傳遞或序列化數(shù)不能確?；虺姓J(rèn)數(shù)據(jù)傳遞或序列化數(shù)據(jù)。據(jù)。TCP 通過確認(rèn)和按順序傳遞數(shù)據(jù)來確保數(shù)據(jù)的通過確認(rèn)和按順序傳遞數(shù)據(jù)來確保數(shù)據(jù)的傳遞。傳遞。使用使用 UDP 的程序負(fù)責(zé)提供傳輸數(shù)據(jù)所需的程序負(fù)責(zé)提供傳輸數(shù)據(jù)所需的可靠性。的可靠性。使用使用 TCP 的程序能確?？煽康臄?shù)據(jù)傳輸。的程序能確保可靠的數(shù)據(jù)傳輸。UDP快速，具有低開銷要求，并支持點(diǎn)對(duì)快速，具有低開銷要求，并支持點(diǎn)對(duì)點(diǎn)和一點(diǎn)對(duì)多點(diǎn)的通訊。點(diǎn)和一點(diǎn)對(duì)多點(diǎn)的通訊。TCP 比較慢，有更高的

19、開銷要求，而且只支持比較慢，有更高的開銷要求，而且只支持點(diǎn)對(duì)點(diǎn)通訊。點(diǎn)對(duì)點(diǎn)通訊。UDP 和和 TCP 都使用端口標(biāo)識(shí)每個(gè)都使用端口標(biāo)識(shí)每個(gè) TCP/IP 程序的通訊。程序的通訊。 UDP協(xié)議的頭結(jié)構(gòu) o UDP的頭結(jié)構(gòu)比較簡(jiǎn)單，如表所示。 源端口（2字節(jié)）目的端口（2字節(jié)）封報(bào)長(zhǎng)度（2字節(jié)）校驗(yàn)和（2字節(jié)）數(shù)據(jù)UDP的頭結(jié)構(gòu) o （1）源端口（Source Port）：16位的源端口域包含初始化通信的端口號(hào)。源端口和IP地址的作用是標(biāo)識(shí)報(bào)文的返回地址。o （2）目的端口（Destination Port）：6位的目的端口域定義傳輸?shù)哪康?。這個(gè)端口指明報(bào)文接收計(jì)算機(jī)上的應(yīng)用程序地址接口。o （3）封包長(zhǎng)度（Length）：UDP頭和數(shù)據(jù)的總長(zhǎng)度。o （4）校驗(yàn)和（Check Sum）：和TCP和校驗(yàn)和一樣，不僅對(duì)頭