Wireshark 工具的使用与TCP数据包分析

Wireshark 工具的使用与TCP数据包分析(SEC-W07-007.1)

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是捕捉网络数据包，并尽可能显示出最为详细的数据包内容。在过 去，网络数据包分析软件或者非常昂贵，或者专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证的保障下，使用者可以 免费取得软件及其源代码，并拥有对源代码修改的权利。Wireshark是目前全世界最广泛的网络封包分析软件之一。

传输控制协议（Transmission Control Protocol），简称TCP协议，是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer） 通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，基于TCP的常见应用如 TELNET，SSH，HTTP，FTP等。

实验目的

l学习Wireshark工具的使用。

l学习TCP协议及其TCP头部结构。

l利用Wireshark分析TCP数据包内容。

实验拓扑

实验准备

l获取Windows 远程桌面客户端工具mstsc压缩包并解压。

l获取服务器Windows操作系统Administrator管理员口令。

l获取服务器IP地址。

实验步骤

学习Wireshark工具使用

步骤说明：

使用Wireshark工具，熟悉常见功能配置。

1.运行远程桌面客户端程序mstsc.exe，输入服务器端IP地址，点击Connect连接，如图1：

图1

2.以Administrator（管理员）身份登陆服务器桌面。

注：

l服务器Administrator用户的登陆密码为123456。

3.在远程桌面中，单击桌面Wireshark程序快捷图标，弹出Wireshark程序如图2：

图2

4.在Wireshark程序点击查看本机网卡状态配置按钮：Interface List，弹出如图3对话框，图例中可以看出本机的网卡信息。

图3

5.在Wireshark主程序界面中，点击配置详细条件按钮：Capture Options，弹出如图4对话框，配置捕捉的详细条件。

图4

注：

l这里我们选择了本地local的网卡，实验环境不同可能会使用不同的网卡。

6.在图4的配置界面中，可以通过在Capture Filter输入框中输入捕捉数据包的条件，样例中的host 192.168.0.1的意思为：程序只捕捉IP地址为 192.168.0.1的数据包。

7.下面举例了几种常见过滤条件：

tcp

只捕捉tcp数据包

port 80

捕捉tcp或udp协议且端口为80的数据包

not tcp port 3389

不捕捉tcp端口为3389的数据包

src 192.168.0.1 and dst 192.168.0.2

捕捉源地址为192.168.0.1且目的地址为192.168.0.2的数据包

8.这里我们选择过滤条件为not tcp port 3389，点击对话框下方的start按钮开始捕捉网络数据包，捕捉现象如图5所示：

图5

学习TCP协议及头部结构

步骤说明：

了解TCP/IP协议，学习TCP数据包头部结构。

1.TCP/IP是一个协议集，它包含了IP、TCP、UDP一系列协议，TCP协议意为Transmission Control Protocol传输控制协议， 它是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明

（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，如图6所示：

2.TCP协议头最少20个字节，包括若干个区域头部，结构如图7所示：

图7

3.由于TCP是基于IP协议的，在利用Wireshark工具分析中，通常可以看到的TCP头和IP头结构组成，如图8所示：

图8

使用Wireshark分析TCP数据包

步骤说明：

配置Wireshark捕捉TCP数据包，分析数据包内容。

1.登陆到远程服务器桌面中，开启Wireshark，在如图4的对话框的Capture Filter中输入过滤条件：

host 该服务器的IP and tcp port 21

这里我们需要捕捉访问远程服务器的TCP端口21的所有TCP数据包。

2.点击对话框下方的start按钮后，Wireshark会处于捕捉状态。

3.回到客户端系统中，点击“开始”->“运行”，输入命令：

ftp 服务器的IP

利用该命令登陆远程服务器的FTP Server。

注：

l远程服务器已经开放了FTP端口21，用户名为guest，密码为helloftp。

4.如图9输入正确的用户名和密码，成功登陆后，输入exit命令退出FTP服务器。

图9

5.再次登陆到远程服务器桌面中，wireshark已经捕捉到了ftp的会话数据包，如图10：

图10

6.在图10中，选中捕获的含有密码明文的TCP数据包，在“数据包详细信息栏”中Transmission Control Protocol部分 TCP头部的各个信息被详细解释出来。通过分析20字节的IP头部信息和20字节的TCP头部信息，以及基于TCP的FTP协议 数据包，我们就可以分析出地址、端口、明文密码等信息了。