内网中利用wireshark分析ping命令执行过程
Wireshark抓包实验
Wireshark抓包实验⼀、实验名称利⽤Wireshark抓包并分析 TCP/IP 协议⼆、实验⽬的通过实验，了解和掌握报⽂捕获⼯具 Wireshark 的使⽤⽅法和基本特点，使⽤ Wireshark 捕获⽹络报⽂，并分析各种⽹络协议的报⽂格式和⼯作过程。
三、实验内容使⽤ Wireshark 捕获⽹络报⽂，分析以太⽹、ARP、IP、TCP、DNS 和 HTTP 等协议的报⽂格式和⼯作过程。
四、实验步骤DNS分析在 cmd 下运⾏：nslookup –type=Anslookup –type=NS nslookup –type=MX nslookup –type=A 然后⽤Wireshark捕获报⽂并分析DNS和UDP协议的报⽂格式和⼯作过程。
ICMP分析在cmd下运⾏pingtracert然后⽤Wireshark捕获报⽂并分析 ICMP 报⽂格式和⼯作过程。
TCP/IP分析a) 在浏览器输⼊ ⽹址后，然后⽤ Wireshark 捕获报⽂并分析HTTP，TCP，IP，ARP和以太⽹等协议的报⽂格式和⼯作过程。
b) 运⾏各⾃编写的 UDP 和 TCP 客户/服务器程序并进⾏抓包分析。
五、实验结果及分析（⼀）DNS分析通过ipconfig命令查看IP、⽹关地址IP地址192.168.43.217默认⽹关192.168.43.1DNS报⽂格式DNS分析⼤体相同，就选择其⼀进⾏分析1.在cmd下运⾏nslookup -type=A ⾮权威应答：110.53.188.133 113.247.230.248 202.197.9.133应答服务器地址为192.168.43.1，为默认⽹关地址利⽤wireshark进⾏抓包分析，筛选DNS报⽂，本次运⾏有4个DNS报⽂，可以看出对应请求包和响应包的源IP与⽬的IP刚好相反。
Query这是⼀个请求报⽂。
⾸先主机发送⼀个 DNS 报⽂。
DNS 采⽤ UDP 协议⽀持。
电子科大网络安全实验2Wireshark抓包分析实验完整分析
电⼦科⼤⽹络安全实验2Wireshark抓包分析实验完整分析实验2 Wireshark抓包分析实验⼀、实验原理TCP三次握⼿准则介绍TCP是因特⽹中的传输层协议，使⽤三次握⼿协议建⽴连接。
当主动⽅发出SYN连接请求后，等待对⽅回答SYN，ACK。
这种建⽴连接的⽅法可以防⽌产⽣错误的连接，TCP使⽤的流量控制协议是可变⼤⼩的滑动窗⼝协议。
第⼀次握⼿：建⽴连接时，客户端发送SYN包(SEQ=x)到服务器，并进⼊SYN_SEND状态，等待服务器确认。
第⼆次握⼿：服务器收到SYN包，必须确认客户的SYN(ACK=x+1),同时⾃⼰也送⼀个SYN包(SEQ=y),即SYN+ACK包，此时服务器进⼊SYN_RECV状态。
第三次握⼿：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1),此包发送完毕，客户端和服务器进⼊Established状态，完成三次握⼿。
HTTP协议介绍HTTP协议⽤于在Internet上发送和接收消息。
HTTP协议是⼀种请求-应答式的协议 ——客户端发送⼀个请求，服务器返回该请求的应答，所有的请求与应答都是HTTP包。
HTTP协议使⽤可靠的TCP 连接，默认端⼝是80。
HTTP的第⼀个版本是HTTP/0.9，后来发展到了HTTP/1.0，现在最新的版本是HTTP/1.1。
HTTP/1.1由RFC 2616 定义。
⼆、实验⽬的1、了解并会初步使⽤Wireshark，能在所⽤电脑上进⾏抓包。
2、了解IP数据包格式，能应⽤该软件分析数据包格式。
3、了解HTTP请求中的三次握⼿准则，并能利⽤该软件对该过程进⾏简要分析。
三、实验内容（1）安装wireshark软件，并使⽤该软件捕获HTTP请求中的报⽂，分析该过程中TCP建⽴连接的握⼿过程以及报头各字段的含义，记录实验结果和数据。
（2）尝试利⽤wireshark软件捕获Ping请求中的报⽂，并分析报⽂中各字段的含义，记录实验结果和数据。
Wireshark教程,看完这个,你也是大神！！！
抓取报文:下载和安装好Wireshark之后，启动Wireshark并且在接口列表中选择接口名，然后开始在此接口上抓包。
例如，如果想要在无线网络上抓取流量，点击无线接口。
点击Capture Options 可以配置高级属性，但现在无此必要。
点击接口名称之后，就可以看到实时接收的报文。
Wireshark会捕捉系统发送和接收的每一个报文。
如果抓取的接口是无线并且选项选取的是混合模式，那么也会看到网络上其他报文。
上端面板每一行对应一个网络报文，默认显示报文接收时间（相对开始抓取的时间点），源和目标IP地址，使用协议和报文相关信息。
点击某一行可以在下面两个窗口看到更多信息。
“+”图标显示报文里面每一层的详细信息。
底端窗口同时以十六进制和ASCII码的方式列出报文内容。
需要停止抓取报文的时候，点击左上角的停止按键。
色彩标识:进行到这里已经看到报文以绿色，蓝色，黑色显示出来。
Wireshark通过颜色让各种流量的报文一目了然。
比如默认绿色是TCP报文，深蓝色是DNS，浅蓝是UDP，黑色标识出有问题的TCP报文——比如乱序报文。
报文样本:比如说你在家安装了Wireshark，但家用LAN环境下没有感兴趣的报文可供观察，那么可以去Wireshark wiki下载报文样本文件。
打开一个抓取文件相当简单，在主界面上点击Open并浏览文件即可。
也可以在Wireshark里保存自己的抓包文件并稍后打开。
过滤报文:如果正在尝试分析问题，比如打电话的时候某一程序发送的报文，可以关闭所有其他使用网络的应用来减少流量。
但还是可能有大批报文需要筛选，这时要用到Wireshark过滤器。
最基本的方式就是在窗口顶端过滤栏输入并点击Apply（或按下回车）。
例如，输入“dns”就会只看到DNS报文。
输入的时候，Wireshark会帮助自动完成过滤条件。
也可以点击Analyze菜单并选择Display Filters来创建新的过滤条件。
常用网络命令的使用及Wireshar的简单使用
课程实验报告一、实验目的熟悉 ping、ipconfig、netstat、tracert、arp等命令的使用；了解真实环境下的网络通信过程；Wireshark 实验工具安装，以 HTTP 协议为例简单使用 Wireshark。
二、实验要求常用网络命令的使用及Wireshark的简单使用三、实验软硬件环境基本Windows系统，Wireshark四、实验内容、步骤及结果A.常用网络命令的使用1. ping 命令ping 是一个测试程序，如果ping 运行正确，你大体上就可以排除网络访问层、网卡、modem 的输入输出线路、电缆和路由器等存在的故障，从而减小了问题的范围.ping127.0.0.1ping 本机ip （断掉网线后结果？）断网后：ping 局域网内其他ipping 网关ipWifi有问题导致全都丢失了ping 远程ip google的dnsPing 域名ping ip -t——连续对ip地址执行ping命令，直到被用户以ctrl+c中断。
ping ip -l 2000——指定ping命令中的数据长度为2000 字节，而不是缺省的32 字节。
ping ip -n——执行特定次数的ping命令。
2. ipconfig 命令该命令用于检查网络TCP/IP 配置的信息,如IP 地址、MAC 地址、DNS 等。
ipconfigipconfig /all、ipconfig /renew、ipconfig /release 等3. netstat 命令该命令用户显示各协议相关的统计及数据，一般用于检查本地主机的各个端口的网络连接情况。
netstat –r 显示网络各种通信协议的状态netstat –E 显示以太网层的数据统计情况netstat –A 显示网络中有效连接的信息netstat –N 显示所有已经建立的连接4. tracert 命令该命令用于检查由本地主机到目标主机所经历的路由信息。
5. arp 命令arp 命令显示和修改地址解析协议（ARP）缓存中的项目。
Wireshark抓包实验报告
Wireshark抓包实验报告第一次实验：利用Wireshark软件进行数据包抓取抓取一次完整的网络通信过程的数据包实验一，实验目的：通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。
二，实验环境：操作系统为Windows 7,抓包工具为Wireshark.三，实验原理：ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。
四，验步骤：2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1图 1-1图 1-2停止抓包后，截取的数据如图 1-3图 1-34，分析数据包：选取一个数据包进行分析，如图1- 4图1-4每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。
DLC协议的目的和源是MAC，IP协议的目的和源是IP，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。
ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下：（1）诊断报文（类型：8，代码0；类型：0代码：0）；(2）目的不可达报文（类型：3，代码0-15）；（3）重定向报文（类型：5，代码：0--4）；（4）超时报文（类型：11，代码：0--1）；（5）信息报文（类型：12--18）。
一，实验目的：通过本次实验，掌握使用Wireshark抓取TCP协议的数据包的技能，能够在深入分析“TCP的三次握手”，TCP的四次挥手协议在网络数据流的基础上，进一步提高理论联系实践的能力。
计算机网络练习之使用WireShark捕获和分析数据包
以太帧和ARP包协议分析实验一、目的1、理解以太帧格式2、理解ARP协议格式和ARP 协议的工作原理二、实验类型验证类实验三、实验步骤一：运行wireshark开始捕获数据包，如图所示点击第二行的start开始捕获数据包。
启动界面：抓包界面的启动是按file下的按钮（或capture下的interfaces）之后会出现这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包。
（捕捉本地连接对应的网卡，可用ipconfig/all 查看）二：几分钟后就捕获到许多的数据包了，主界面如图所示：如上图所示，可看到很多捕获的数据。
第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为0.000秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。
选中第一个数据帧，然后从整体上看看Wireshark的窗口，主要被分成三部分。
上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。
三：开始分析数据1.打开“命令提示符”窗口，使用“arp -a”命令查看本地计算机ARP高速缓存。
2.使用“arp -d”命令清除本地计算机ARP高速缓存，再使用“arp -a”命令查看。
此时，本地计算机ARP高速缓存为空。
3.在下图中Filter后面的编辑框中输入：arp（注意是小写），然后回车或者点击“Apply”按钮将计算机与数据设备相连（3928或路由器），参见静态路由配置。
3.此时，网络协议分析软件开始捕获数据，在“命令提示符”窗口中PING同一子网中的任意主机。
（计算机Aping计算机B）因为PING命令的参数为IP地址，因此使用PING命令前，需要使用ARP机制将IP地址转换为MAC地址，这个过程用户是无法感知的。
因为我们在使用PING命令前已经开始网络数据包捕获，因此，此时网络协议分析软件将捕获到ARP解析数据包。
实验二 WireShark(Ethereal)抓包实验
WireShark的安装很简单，安装 过程中会提示安装WinPcap，一切 都按默认设置即可。
10
10
（二）捕获数据包的一般操作
步骤 01 启动Wireshark，显示图2-1所示的主界面。
图2-1 启动Wireshark
11
11
（二）捕获数据包的一般操作
步骤 02
首先设置捕获参数。选择“Capture”（捕获）菜单中的“Options”（选项）命令，打开“Capture Option”（捕获选项）对话框。“Capture Option”对话框显示了多项设置和过滤器，用于确定捕获的数 据通信类型及数量等，如图2-2所示。
即“途经”该网卡但不发往该计算机的数据包）。
13
13
（二）捕获数据包的一般操作
步骤 05 步骤 06
“Capture”设置区的“Capture Filter”栏用来设置是抓包过虑，除非需要过虑特定的数据包，否则一 般情况下可以保持默认设置，即留空。 单击“Start”（开始）按钮即可开始数据包捕获。图2-3所示为开启捕获后的Wireshark的主显示窗 口，主要有五个组Байду номын сангаас部分。
与上一次显示 帧的时间间隔
帧号为6 捕获长度为74字节
与上一次被捕获帧的时间间隔
与参考帧或第1帧的时间间隔 帧长为74字节 帧不会被忽略
帧没有被标记
图2-7 物理层数据帧概况
帧内封装的协 议层次结构 被着色字符串为icmp， icmpv6
19
被着色规则名 称为ICMP
19
（三）ping PDU数据的捕获和分析
菜单和工具命令 协议筛选 数据包列表
数据包首部明细 数据包内容
14 图2-3 开启捕获后的主显示窗口
wireshark教程
wireshark教程Wireshark教程Wireshark是一个开源的网络协议分析工具，它能够在网络中捕获数据包，并通过分析这些数据包来帮助用户了解和解决网络问题。
本文将介绍Wireshark的基本功能和使用方法，以及一些常见的应用场景。
一、Wireshark的安装首先，您需要从Wireshark官方网站（https:///）下载并安装Wireshark。
Wireshark可用于Windows、Mac和Linux操作系统。
安装完成后，您可以启动Wireshark并开始使用。
二、Wireshark的界面Wireshark的界面相对复杂，但通过了解每个区域的功能，您将能够更好地利用它。
以下是Wireshark界面的主要组成部分：1. 菜单栏：包含Wireshark的各种功能选项，例如打开文件、保存捕获的数据包等。
2. 捕获面板：用于选择要捕获的网络接口和开始/停止捕获。
3. 数据包列表：显示捕获到的数据包的详细信息，例如源IP地址、目标IP地址、协议类型等。
4. 数据包细节：显示选定数据包的详细信息，例如每个协议层的字段和值。
5. 过滤器：用于过滤数据包，以便只显示用户感兴趣的数据包。
6. 统计面板：提供网络流量统计、协议分布等信息。
7. 此外，Wireshark还提供了很多其他的工具和功能，例如实时图表、包含过滤器的自动化任务等。
三、捕获数据包使用Wireshark捕获数据包是解决网络问题和分析网络流量的首要步骤。
要捕获数据包，您可以按照以下步骤操作：1. 在捕获面板选择要监控的网络接口。
如果不确定应该选择哪个接口，可以选择“任何”。
2. 点击“开始”按钮开始捕获数据包。
3. Wireshark将立即开始捕获数据包并显示在数据包列表中。
四、分析数据包一旦您捕获到足够的数据包，您可以开始分析这些数据包以获取有用的信息。
以下是一些常见的数据包分析方法：1. 查看每个数据包的详细信息：通过双击数据包列表中的特定数据包，您可以查看分析该数据包的详细信息。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
内网中利用Wireshark分析ping命令执行过程
目录
1. Ping的过程 (1)
2. 如图：测试环境 (1)
3. 执行一下ping 18.250.0.31看看结果 (2)
4. Ping同网段ip，消息发出后，无法获得目的ip的mac地址的情况 (4)
5. 没有路由的情况模拟 (5)
6. 恢复集成网卡的网线的情况 (6)
6.1. Ping其他网段的情况 (7)
6.2. Ping异网段的ip，没有得到reply的情况 (8)
6.2.1. 这个ip不存在时 (8)
6.2.2. 当对方ip存在，但打开防火墙时会出现time out的现象 (9)
6.2.3. 没有回程路由，ping过去是time out (11)
7. 结论： (12)
8. 知识点： (12)
Ping命令是我们常用的用来探查网络导通性的工具，ping命令执行结果往往能反应出网络的一些问题，下面我们用wireshark来分析一下内网中ping命令执行过程及几种常见结果和其原因？
1.Ping的过程：
ping属于icmp协议的探查消息，属于ip层协议，利用发出request消息携带一段字符串到目的ip，当收到目的ip返回的reply消息，携带同一段字符串返回时，认为网络层是导通的。
当cmd下输入ping命令后，操作系统首先查询路由表，看是否是符合直连路由，符合的话，要查询arp缓存里是否有对应目的ip的arp地址，没有的话，要发起arp广播request 消息，来获取目的ip的mac地址，获取成功后，ip层组成ping消息，二层进行mac层封装，发出二层单播消息出去到目的ip地址。
当发现不符合直连路由，就查缺省路由，这时要查询缺省网关的mac地址，当arp缓存里有缺省网关的ip的mac地址时，直接发包，没有的话，要发起二层广播arp请求消息，去请求网关的mac地址，获得到网关mac后，二层组包发出ping的request消息。
目的ip网段的网关收到ping的request消息后，检查对应arp缓存表，有的话，直接转发arp请求消息，没有的话，发起在本网段的arp查询请求二层广播消息，获得应答后，根据mac地址组包，对方目的ip收到ping的request消息后，查询自身的路由表，有回程路由的话组成ping的reply消息，携带request里携带探查字符串发回到源目的ip侧。
2.如图：测试环境
本机一个主板集成网卡192.168.205.201，配置为上网网卡有默认的网关205.1和dns地址，这是默认的上网ip。
一个usb网卡，仅配置ip地址18.250.0.145，掩码是24位。
没有网关ip，仅用来访问内网一些特殊设备。
我们先用usb的ping出进行测试。
集成网卡的mac地址是44-37-E6-8E-CF-88,usb网卡的mac地址是00-0E-C6-FA-5A-4C。
路由表显示如下：
Arp缓存里显示如下：
3.执行一下ping 18.250.0.31看看结果：
去ping18.250.0.31这台嵌入式设备的情况：
看看wireshark里的抓包，过滤arp contains 12-fa-00-91 || icmp，其中12-fa-00-91是18.250.0.145的十六进制表示，icmp是ping的协议名。
标识用来区别每一个ping消息，序号表示每个ping包的编号。
4.Ping同网段ip，arp消息发出后，无法获得目的ip的mac地址的情况
去ping18.250.0.45，这个ip要么没开机，要么不存在时的情况：
显示无法访问目标主机，查看一下wireshark里的表象？
每次ping的request消息发出前，都启动了arp的请求消息。
5.没有路由的情况模拟
拔掉主板集成网卡的网线，使上网的路由失效，只留18网段的直连路由，看看情况？
去ping192.168.207.25，同样显示无法访问目标主机
Wireshark里看没有发出任何arp和icmp消息
没有路由时，不会发出任何arp和icmp包。
6.恢复集成网卡的网线的情况
网关的mac地址是C8-50-E9-67-FA-0C。
Ping一个同网段的ip地址192.168.205.54的情况：
Wireshark的抓包情况同usb网段同网段ip的ping情况
6.1.Ping其他网段的情况
6.2.Ping异网段的ip，没有得到reply的情况
6.2.1.这个ip不存在时
去ping192.168.206.10的情况：
发现网关给回了主机不可达，交换机上查询主机地址，发现没有此主机。
在206网段的其他pc上抓包，过滤对应c0-a8-ce-0a的arp广播消息，能发现网关每隔一秒发出一次arp的广播查询消息，因为没有响应，所以会发出多次。
Arp查询没有成功，所以交换机给源主机回主机不可达的icmp消息。
6.2.2.当对方ip存在，但打开防火墙时会出现time out请求
超时的现象
去ping一台内网的pc192.168.206.110的情况：
看抓包
在目的主机上抓包看到，包已经到目的主机，但目的主机没有回。
看arp表里有地址：
看路由表里：
为什么不回消息？检查防火墙：
关闭后：
6.2.3.没有回程路由，ping过去是time out
如图，ping 172.103.201.105一台内网centos7.0的服务器。
Wireshark的抓包如下：
在目的主机侧执行tcpdump的结果tcpdump -i em1 -nne icmp：
Ping的request已经收到，为啥没有回？检查防火墙是否开启和回程路由是否存在？
防火墙没有打开，检查回程路由是否存在？
发现没有对应的回程路由，192.168.205.0。
添加后观察：
Ping成功。
7.结论：
Ping出现无法访问目标主机时，一般是对方主机ip不存在或者没有开机。
Ping出现time out时，是对方没有应答，一般检查防火墙是否打开，或者回程路由是否存在，或者回程路由有误，回包发向了错误的地方。
8.知识点：
Ping消息，得到响应的情况下，1秒发出一个request消息，没有得到响应情况下，会间隔大于1秒发出一个request消息。
Windows下默认发四次。
Ping的requset里的id和序号要一致，里面携带的data要一致，原路返回pc的话，证明通道是通的。
同网段ping消息发出前，arp缓存里要有目的ip的mac地址，没有的话，要发起arp 请求消息。
Icmp协议有探查和通知错误的作用，如主机不可达，端口不可达，路由选择错误等等。