實驗五抓包分析實驗

1、石家莊鐵道大學(xué)信息學(xué)院網(wǎng)絡(luò)工程與信息安全系 實驗五抓包分析實驗Iris的使用【實驗?zāi)康摹渴煜ず驼莆兆グぞ逫ris的使用；利用Iris進行網(wǎng)絡(luò)抓包實驗并做簡單分析?！绢A(yù)備知識】網(wǎng)絡(luò)嗅探：以太網(wǎng)的數(shù)據(jù)傳輸是基于“共享”原理的：所有的同一本地網(wǎng)范圍內(nèi)的計算機共同接收到相同的數(shù)據(jù)包。這意味著計算機直接的通訊都是透明可見的。正是因為這樣的原因，以太網(wǎng)卡都構(gòu)造了硬件的“過濾器”來忽略掉一切和自己無關(guān)的網(wǎng)絡(luò)信息（事實上是忽略掉了與自身MAC地址不符合的信息）。而網(wǎng)絡(luò)嗅探程序利用了這個特點，它主動的關(guān)閉了過濾器，也就是設(shè)置了網(wǎng)卡“混雜模式”，此時，嗅探程序就能夠接收到整個以太網(wǎng)內(nèi)的網(wǎng)絡(luò)數(shù)據(jù)信息，并加以分析。

2、通過對得到的數(shù)據(jù)包進行一定的分析，網(wǎng)絡(luò)嗅探程序可能得到許多有價值的信息，包括機密數(shù)據(jù)，賬戶密碼等，得到有用信息的難易程度，取決于許多因素，例如數(shù)據(jù)包的類型，加密程度等。【實驗環(huán)境】以一組同學(xué)為例PC1：Windows2000ProfessionalSP2，IP地址為192.168.0.1PC2：Windows2000ProfessionalSP2，IP地址為192.168.0.2PC3：Windows2000ServerSP2，IP地址為192.168.0.3其中PC2安裝Iris進行抓包，PC1主要用來向PC3發(fā)包?！緦嶒灩ぞ摺縄ris.exe：Version2.0英文版；eEye公司；共享

3、軟件；網(wǎng)絡(luò)嗅探工具，可以抓取并分析在共享式網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包，通過分析數(shù)據(jù)包可能得到許多有價值的信息，特別是帳戶密碼信息。實驗過程與步驟】步驟一：配置Iris1.啟動PC2上安裝的Iris（如果是第一次使用，會提示你設(shè)置adapters,即軟件所使用的網(wǎng)卡，如圖6-1）圖6-網(wǎng)1卡設(shè)置2.Toolssetting可做各項配置，選默認(rèn)設(shè)置即可（如圖6-2）。圖6-2捕捉方式選項3.FiltersEditfilter設(shè)置包過濾規(guī)則，可針對多種參數(shù)進行設(shè)置，選擇抓取包的類（如圖6-3）。xjHardwarefilterLye2,3Layer2,3WordseMACaddress*IPaddress停

4、Ports*Advanced：=utieLayer3+AJLFCOiiOBOe)EoDIP(00800)PPPframe(OxC021)ReverseART(Ok8035SOFCOitBHC)3Com(0 x6010)3ComCOmEOU)3Com(0 x6012)3Com(0 x6013)EGFCOmOS)EBCAP(0 x62)ICMP(OkOQIGMF(Ok02IGRF(Ok58JOSFFIGFC0 x59)TCFC0mO6)PKDCOkLI)3PEditfiltersettings(*IncludeExcludeNcte:CLickKelptotindouthowto確走1取消1應(yīng)用幫

5、助圖6-抓3包設(shè)置步驟二：監(jiān)聽網(wǎng)絡(luò)，抓取數(shù)據(jù)包1.選擇主界面左下方的capture圖標(biāo)后點擊工具欄中的開始按鈕，即可開始抓包（如圖6-4），右上方子窗口顯示的是抓到的包的類型等信息，左方顯示的是選中的包的結(jié)構(gòu)，右下方是包具體內(nèi)容的十六進制代碼表示，選擇某個包即可查看其具體信息，如MACheader和IPheader等。2.展開MACHeader,其中Destination為目標(biāo)MAC,Source為源MAC,Type說明類型。同時可以看到十六進制表示的窗口中有些代碼變成了灰底紅字（如圖-4）,這些即是MACHeader相應(yīng)的內(nèi)容在數(shù)據(jù)包中的具體表示（如圖6-5）。圖6-抓4包的現(xiàn)象圖6-數(shù)5據(jù)

6、包的目標(biāo)地址3.展開IPv4Header,可以看到IP協(xié)議的版本號（4）,包頭長度（5）,源IP（192.168.0.2）等信息（如圖6-6），被選中的項也在十六進制窗口中變?yōu)榛业准t字突出顯示（如圖6-7）。圖數(shù)據(jù)包的包頭圖6-數(shù)7據(jù)包的協(xié)議步驟三：分析數(shù)據(jù)包1暫停抓包或累計抓2000包，點擊左邊工具欄上的Decode按鈕，可以對所有抓到的包中有用的包進行分類分析，是按照源主機一一端口（協(xié)議）進行分類的（如圖6-8）。圖6-數(shù)8據(jù)包分析2選中某臺主機上的某種協(xié)議，可以看到和它有關(guān)的數(shù)據(jù)包，選中某個數(shù)據(jù)包在它下方可以顯示包的具體內(nèi)容（ASCII碼表示）（如圖6-9）。圖6-9數(shù)據(jù)包內(nèi)容分析3分析ASCII碼，找出有價值的信息。如圖6-11所示，選取PC1的23端口（TCPTELNET），可以看到有兩個數(shù)據(jù)包，第一個沒有多少有價值的信息（圖6-10,而第二個就包含了PC1用TELNET登錄PC2時使用的用戶名Administrator和密碼biti01245（圖6-11）（由于TELNET的信息為明文傳送，所以可能直接截取到未加密的帳戶信息）。圖6-1數(shù)0據(jù)包內(nèi)容分析圖6-1數(shù)