(完整)計(jì)算機(jī)網(wǎng)絡(luò)-實(shí)驗(yàn)4-利用wireshark進(jìn)行協(xié)議分析

Windows

9x/NT/2000/XP/2003與因特網(wǎng)連接的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)分組分析器Wireshark：要深入理解網(wǎng)絡(luò)協(xié)議，需要仔細(xì)觀察協(xié)議實(shí)體之間交換的報(bào)文序列。為探究協(xié)議操作細(xì)節(jié)，可使協(xié)議實(shí)體執(zhí)行某些動(dòng)作，觀察這些動(dòng)作及其影響。這些任務(wù)可以在仿真環(huán)境下或在如因特網(wǎng)這樣的真實(shí)網(wǎng)絡(luò)環(huán)境中完成。觀察在正在運(yùn)行協(xié)議實(shí)體間交換報(bào)文的基本工具被稱為分組嗅探器（packetsniffer）。顧名思義，一個(gè)分組嗅探器俘獲（嗅探）計(jì)算機(jī)發(fā)送和接收的報(bào)文。一般情況下，分組嗅探器將存儲(chǔ)和顯示出被俘獲報(bào)文的各協(xié)議頭部字段的內(nèi)容。圖4-1為一個(gè)分組嗅探器的結(jié)構(gòu)。圖

4-1

分組嗅探器的結(jié)構(gòu)圖4-1右邊是計(jì)算機(jī)上正常運(yùn)行的協(xié)議（在這里是因特網(wǎng)協(xié)議）和應(yīng)用程序（如：web瀏覽器和ftp客戶端）。分組嗅探器（虛線框中的部分）是附加計(jì)算機(jī)普通軟件上的，主要有兩部分組成。分組俘獲庫(kù)（packetcapturelibrary）接收計(jì)算機(jī)發(fā)送和接收的每一個(gè)鏈路層幀的拷貝。高層協(xié)議（如：HTTP、FTP、TCP、UDP、DNS、IP圖

4-1

分組嗅探器的結(jié)構(gòu)分組嗅探器的第二個(gè)組成部分是分析器。分析器用來(lái)顯示協(xié)議報(bào)文所有字段的內(nèi)容。為此，分析器必須能夠理解協(xié)議所交換的所有報(bào)文的結(jié)構(gòu)。例如：我們要顯示圖4-1中HTTP協(xié)議所交換的報(bào)文的各個(gè)字段。分組分析器理解以太網(wǎng)幀格式，能夠識(shí)別包含在幀中的IP數(shù)據(jù)報(bào)。分組分析器也要理解IP數(shù)據(jù)報(bào)的格式，并能從IP數(shù)據(jù)報(bào)中提取出TCP報(bào)文段。然后，它需要理解TCP報(bào)文段，并能夠從中提取出HTTP消息。最后，它需要理解HTTP消息。Wireshark

是一種可以運(yùn)行在

Windows,

UNIX,

Linux

等操作系統(tǒng)上的

分

組

分

析

器

。

運(yùn)行

Wireshark

程序時(shí)，其圖形用戶界面如圖

4-2

所示。圖

4-3

Wireshark

的用戶界面圖

4-2

圖

4-3

Wireshark

的用戶界面圖

4-2

Wireshark

初始用戶界面此時(shí)

Wireshark

的用戶界面主要有

5

部分組成，如圖

4-3

所示。命令菜單（command

menus）：命令菜單位于窗口的最頂部，是標(biāo)準(zhǔn)的下拉式菜單。最常用菜單命令有兩個(gè)：File、Capture。File

菜單允許你保存俘獲的分組數(shù)據(jù)或打開一個(gè)已被保存的俘獲分組數(shù)據(jù)文件或退出

Wireshark

程序。Capture

菜單允許你開始俘獲分組。俘獲分組列表（listing

of

captured

packets）：按行顯示已被俘獲的分組內(nèi)容，其中包括：Wireshark

賦予的分組序號(hào)、俘獲時(shí)間、分組的源地址和目的地址、協(xié)議類型、分組中所包含的協(xié)議說(shuō)明信息。單擊某一列的列名，可以使分組按指定列進(jìn)行排序。在該列表中，所顯示的協(xié)議類型分組頭部明細(xì)（details

of

selected

packet

header）：顯示俘獲分組列表窗口中被選中分組的頭部詳細(xì)信息。包括：與以太網(wǎng)幀有關(guān)的信息，與包含在該分組中的

IP

數(shù)據(jù)報(bào)有關(guān)的信息。單擊以太網(wǎng)幀或

IP

數(shù)據(jù)報(bào)所在行左邊的向右或向下的箭頭可以展開或最小化相關(guān)信息。另外，如果利用

TCP

或

UDP

承載分組，Wireshark

也會(huì)顯示

TCP

或

UDP

協(xié)議頭部信息。最后，分組最高層協(xié)議的頭部字段也會(huì)顯示在此窗口中。分組內(nèi)容窗口（packet

content）：以

ASCII

碼和十六進(jìn)制兩種格式顯示被俘獲幀的完整內(nèi)容。顯示篩選規(guī)則（display

filter

specification）：在該字段中，可以填寫協(xié)議的名稱或其他信息，根據(jù)此內(nèi)容可以對(duì)分組列表窗口中的分組進(jìn)行過(guò)濾。

啟動(dòng)主機(jī)上的

web

瀏覽器。啟動(dòng)

Wireshark。你會(huì)看到如圖

4-2

所示的窗口，只是窗口中沒(méi)有任何分組列表。開始分組俘獲：選擇“capture”下拉菜單中的“Capture

Options”命令，會(huì)出現(xiàn)如圖

4-3

所示的“Wireshark:

Capture

Options”窗口，可以設(shè)置分組俘獲的選項(xiàng)。圖

4-4

Wireshark

的

Capture

Option在實(shí)驗(yàn)中，可以使用窗口中顯示的默認(rèn)值。在“Wireshark:

CaptureOptions”窗口（如圖

4-4

所示）的最上面有一個(gè)圖

4-4

Wireshark

的

Capture

Option開始分組俘獲后，會(huì)出現(xiàn)如圖

4-5

所示的窗口。該窗口統(tǒng)計(jì)顯示各類已俘獲數(shù)據(jù)包。在該窗口的工具欄中有一個(gè)“stop”按鈕，可以停止分組的俘獲。但此時(shí)你最好不要停止俘獲分組。在運(yùn)行分組俘獲的同時(shí)，在瀏覽器地址欄中輸入某網(wǎng)頁(yè)的

URL，如

：

。

為

顯

示

該

網(wǎng)

頁(yè)

，

瀏

覽

器

需

要

連

接

的服務(wù)器，并與之交換

HTTP

消息，以下載該網(wǎng)頁(yè)。包含這些

HTTP

報(bào)文的以太網(wǎng)幀將被

Wireshark

俘獲。當(dāng)完整的頁(yè)面下載完成后，單擊

Wireshark

菜單欄中的

stop

按鈕，停止分組俘獲。Wireshark

主窗口顯示已俘獲的你的計(jì)算機(jī)與其他網(wǎng)絡(luò)實(shí)體交換的所有協(xié)議報(bào)文，其中一部分就是與

服務(wù)器交換的

HTTP

報(bào)文。此時(shí)主窗口與圖

4-3

相似。在顯示篩選規(guī)則中輸入“http”，單擊“回車”，分組列表窗口將只顯示

HTTP

協(xié)議報(bào)文。圖

4-5

Wireshark

的抓包界面選擇分組列表窗口中的第一條

http

報(bào)文。它應(yīng)該是你的計(jì)算機(jī)發(fā)向

服務(wù)器的

HTTP

GET

報(bào)文。當(dāng)你選擇該報(bào)文后，以太網(wǎng)幀、IP

數(shù)據(jù)報(bào)、TCP

報(bào)文段、以及

HTTP

報(bào)文首部信息都將顯示在分組首部子窗口中。單擊分組首部詳細(xì)信息子窗口中向右和向下箭頭，可以最小化幀、以太網(wǎng)、IP、TCP

圖

4-5

Wireshark

的抓包界面

啟動(dòng)

Web

browser，然后啟動(dòng)

Wireshark

分組嗅探器。在窗口的顯示過(guò)濾說(shuō)明處輸入“http”，分組列表子窗口中將只顯示所俘獲到的HTTP

報(bào)文。開始

Wireshark

分組俘獲。在打開的瀏覽器窗口中輸入以下地址：/news

）。

分析服務(wù)器響應(yīng)報(bào)文的內(nèi)容，服務(wù)器是否明確返回了文件的內(nèi)

/Wireshark-labs/alice.txtALICE'S

ADVENTURES

IN

WONDERLAND/Wireshark-labs/TCP-Wireshark-file1.htmlALICE'S

ADVENTURES

INWONDERLANDUploadalice.txt

file圖圖4-6

Wireshark-labs網(wǎng)頁(yè)截圖

在顯示篩可以看到在本地主機(jī)和服務(wù)器之間

也可以看到

圖圖

4-7

pingplotter

窗口

圖4-8

Wrieshark窗口圖4-8

Wrieshark窗口IP地址是什么？

1.HTTPGET/response交互：IP為71，服務(wù)器IP為06TCP頭部：HTTP報(bào)文：HTTP1.1，zh-CN表明接受中文而服務(wù)器的報(bào)文中，源IP與目的IP與客戶端恰好相反：服務(wù)器的協(xié)議版本為HTTP1.1,，返回狀態(tài)代碼為200OK2.HTTP條件GET/response交互第一個(gè)HTTP-GET請(qǐng)求的內(nèi)容中，并沒(méi)有IF-MODIFIED-SINCE第一次回復(fù)報(bào)文，服務(wù)器返回文件內(nèi)容：第二次發(fā)請(qǐng)求時(shí)，出現(xiàn)了IF-MODIFIED-SINCE第二次回復(fù)報(bào)文時(shí)，服務(wù)器告知瀏覽器可在緩存中查找文件：

三次握手，可知，客戶端主機(jī)的IP地址為2，TCP端口號(hào)為60；服務(wù)器的IP地址是71，?用來(lái)發(fā)送和接受TCP報(bào)文的TCP端口號(hào)為1514：