实验二 网络测量之抓包分析
实验二 网络抓包及协议分析软件使用说明
实验二网络抓包及合同分析软件使用阐明⏹目的及意义：运用网络合同分析工具Eｔhereaｌ截获网络中传送的数据包，通过观测分析,从而理解和结识(理解）合同的运营机制。
⏹下载与安装:在Ｗindowｓ下安装Eｔherｅaｌ,可从下载安装软件,然后执行安装。
Etｈerｅａｌ 在0．１0.12版本后都内置了Winｐcap,如没内置的Winpcaｐ，可先安装Winpcａp。
有关Winpcap的具体信息可参照。
一.实验目的:1．理解抓包与合同分析软件的简朴使用措施。
2．理解并验证网络上数据包的基本构造。
二．实验环境1.硬件：ＰC、配备网卡，局域网环境。
２.软件：Ｗindows 或者ＸP操作系统、ｗinｐcap、aｎaｌyzer。
三.实验内容运用Etheｒｅａｌ软件抓取网络上的数据包，并作相应分析。
四.实验范例（1）安装Eｔｈｅral的安装非常简朴,只要按照提示安装即可。
（2）运营双击桌面的Etｈereal，显示“Tｈe Etheｒeal Network Ａnａｌyzeｒ”的主界面,菜单的功能是:（3）设立规则这里有两种方式可以设立规则：●使用interface1）选择Caｐｔｕre—>ｉnterfacｅs，将显示该主机的所有网络接口和所有流经的数据包,单击“Ｃapｔurｅ”按钮，及执行捕获。
2）如果要修改捕获过程中的参数，可以单击该接口相应的“Ｐｒepare”按钮。
在捕获选项对话框中，可以进一步设立捕获条件:●Interface——拟定所选择的网络接口●Limit ｅach packｅt to N bytes——指定所捕获包的字节数。
选择该项是为了节省空间，只捕获包头，在包头中已经拥有要分析的信息。
●Ｃａptｕrｅ packet in promiscuous mode——设立成混杂模式。
在该模式下，可以记录所有的分组,涉及目的地址非本机的分组。
●Caｐtｕre Filtｅr——指定过滤规则有关过滤规则请查阅如下使用Ｆｉlｔｅｒ方式中的内容。
实验2 网络数据包的监听与分析(参考答案)
实验2 网络数据包的监听与分析一实验目的1.掌握使用Wireshark软件监听和捕获网络数据包。
2.掌握通过实际观察网络数据进行分析而了解网络协议运行情况。
二实验要求1.设备要求：计算机若干台（装有Windows 2000/XP/2003操作系统、装有网卡），局域网环境，主机装有Wireshark工具。
2.每组1人，独立完成。
三实验预备知识1.Wireshark简介Wireshark是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析软件之一，支持Linux和Windows平台，支持500多种协议分析。
网络分析系统首先依赖于一套捕捉网络数据包的函数库。
这套函数库工作在在网络分析系统模块的最底层。
作用是从网卡取得数据包或者根据过滤规则取出数据包的子集，再转交给上层分析模块。
从协议上说，这套函数库将一个数据包从链路层接收，将其还原至传输层以上，以供上层分析。
在Linux系统中，1992年Lawrence Berkeley Lab的Steven McCanne 和Van Jacobson提出了包过滤器，称之为BPF（BSD Packet Filter），设计了基于BPF的捕包函数库Libpcap。
在Window系统中，意大利人Fulvio Risso和Loris Degioanni提出并实现了Winpcap函数库，其实现思想来源于BPF。
2.Wireshark的简单操作方法安装Wireshark之前，需要安装Winpcap，安装过程比较简单。
安装完成后，启动Wireshark，如图2.1所示。
图2.1 启动Wireshark后的界面设置Capture选项。
选择“Capture”-“Options”，弹出“Capture Options”界面，设置完成后点击“Capture”而开始捕获数据，如图2.2所示。
图2.2 “Capture Options”界面在“Capture Options”界面中，主要选项如下：•“Interface”是要求选择在哪个接口（网卡）上抓包。
抓包分析报告
计算机通信与网络实验报告实验题目：抓包并进行分析班级：..姓名：..学号：..Wireshark抓包分析Wireshark是世界上最流行的网络分析工具。
这个强大的工具可以捕捉网络中的数据，并为用户提供关于网络和上层协议的各种信息，与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。
一、安装软件并抓包1：安装并运行wireshark并打开捕获界面。
2、捕获选项图1捕获选项的设置3、开始抓包点击上图中的“Start”开始抓包几分钟后就捕获到许多的数据包了，主界面如图所示：图2 主界面显示如上图所示，可看到很多捕获的数据。
第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为0.000秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。
选中第8个数据帧，然后从整体上看看Wireshark的窗口，主要被分成三部分。
上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。
二、分析UDP、TCP、 ICMP协议1、UDP协议UDP 是User Datagram Protocol的简称，中文名是用户数据包协议，是 OSI 参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。
它是IETF RFC 768是UDP的正式规范。
（1） UDP是一个无连接协议，传输数据之前源端和终端不建立连接，当它想传送时就简单地去抓取来自应用程序的数据，并尽可能快地把它扔到网络上。
在发送端，UDP传送数据的速度仅仅是受应用程序生成数据的速度、计算机的能力和传输带宽的限制；在接收端，UDP把每个消息段放在队列中，应用程序每次从队列中读一个消息段。
（2）由于传输数据不建立连接，因此也就不需要维护连接状态，包括收发状态等，因此一台服务机可同时向多个客户机传输相同的消息。
（3） UDP信息包的标题很短，只有8个字节，相对于TCP的20个字节信息包的额外开销很小。
实验二 网络抓包实验
试验二、网络抓包试验试验目的：深入理解TCP/IP协议试验内容：使用网络嗅探器，抓取网络上的数据包，进行分析试验要求：分别抓取ARP包，ICMP包，IP包，TCP包，UDP包，HTTP包，DNS包等，分析其各层的头部。
试验步骤：1.打开抓包软件，在capture菜单下选择interfaces，弹出如图窗口，点击capture开始抓包，如图2.点击stop停止抓包，结果如图3.依次分析各种包的头部。
1)ARP包ARP包包括frame、Ethernet、address resolution protocol三部分内容，具体如下：上图显示的是该ARP包的目的地址和源地址。
上图显示的是该ARP包目的ip地址和Mac地址。
2)IP包Ip包由frame、Ethernet、Internet protocol三部分组成。
3)TCP包TCP包由frame、Ethernet、Internet protocol、transmission control protocol四部分组成。
4)UDP包Udp包由frame、Ethernet、Internet protocol、user datagram protocol四部分组成。
5)HTTP包HTTP包由frame、Ethernet、Internet protocol、transmission control protocol、hypertext transfer protocol、line-based text data六部分组成。
6)DNS包Dns包由frame、Ethernet、Internet protocol、user datagram protocol、domain name system五部分组成。
网络抓包分析实验报告(IP,icmp)
网络抓包分析实验报告一：实验目的：1. 学习使用网络数据抓包软件Ethereal，对互连网进行数据抓包，巩固对所学知识的理解二：实验内容：1：分析IP，ICMP的报文格式。
三：实验工具Wireshark抓包软件四：实验步骤1、安装Wireshark，简单描述安装步骤。
2、打开wireshark，选择接口选项列表。
或单击“Capture”，配置“option”选项。
3、设置完成后，点击“start”开始抓包，显示结果。
4、选择某一行抓包结果，双击查看此数据包具体结构5、抓ICMP时在开始->运行cmd->tracert 五：分析1：IP报文分析报文格式：截图：分析：由图可知：IP报文版本号是IPV4，首部长度：20 bytes，数据包总长度：58，标示符：0x7335，标志：0x00，比特偏移：0，寿命：112，上层协议：UDP，首部校验和：0x071d，并且是正确的。
源IP地址：61.142.208.196目的IP地址：192.168.1.102二：ＩＣＭＰ报文分析截图如下：ICMP格式有抓包显示截图可知：类型：8 （回显请求）代码/编码：0校验和：0xf2ff（正确的校验和）标示符：0x0300；序列号：512(0x0200)通过这次试验，培养了自己动手的能力，另外，通过对wireshark抓包软件的使用，用其来抓取数据包，对ip, icmp报文的格式有了进一步的了解，通过对报文格式的分析，并且把课本上多学的理论知识与实践结合起来，对以前的知识得到深化和巩固，为以后学习新的知识打下基础，也提高了学习的兴趣，收获很大。
电子科大网络安全实验2Wireshark抓包分析实验完整分析
电⼦科⼤⽹络安全实验2Wireshark抓包分析实验完整分析实验2 Wireshark抓包分析实验⼀、实验原理TCP三次握⼿准则介绍TCP是因特⽹中的传输层协议，使⽤三次握⼿协议建⽴连接。
当主动⽅发出SYN连接请求后，等待对⽅回答SYN，ACK。
这种建⽴连接的⽅法可以防⽌产⽣错误的连接，TCP使⽤的流量控制协议是可变⼤⼩的滑动窗⼝协议。
第⼀次握⼿：建⽴连接时，客户端发送SYN包(SEQ=x)到服务器，并进⼊SYN_SEND状态，等待服务器确认。
第⼆次握⼿：服务器收到SYN包，必须确认客户的SYN(ACK=x+1),同时⾃⼰也送⼀个SYN包(SEQ=y),即SYN+ACK包，此时服务器进⼊SYN_RECV状态。
第三次握⼿：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1),此包发送完毕，客户端和服务器进⼊Established状态，完成三次握⼿。
HTTP协议介绍HTTP协议⽤于在Internet上发送和接收消息。
HTTP协议是⼀种请求-应答式的协议 ——客户端发送⼀个请求，服务器返回该请求的应答，所有的请求与应答都是HTTP包。
HTTP协议使⽤可靠的TCP 连接，默认端⼝是80。
HTTP的第⼀个版本是HTTP/0.9，后来发展到了HTTP/1.0，现在最新的版本是HTTP/1.1。
HTTP/1.1由RFC 2616 定义。
⼆、实验⽬的1、了解并会初步使⽤Wireshark，能在所⽤电脑上进⾏抓包。
2、了解IP数据包格式，能应⽤该软件分析数据包格式。
3、了解HTTP请求中的三次握⼿准则，并能利⽤该软件对该过程进⾏简要分析。
三、实验内容（1）安装wireshark软件，并使⽤该软件捕获HTTP请求中的报⽂，分析该过程中TCP建⽴连接的握⼿过程以及报头各字段的含义，记录实验结果和数据。
（2）尝试利⽤wireshark软件捕获Ping请求中的报⽂，并分析报⽂中各字段的含义，记录实验结果和数据。
网络抓包及网络命令实验报告
实验报告题目网络抓包及网络命令实验报告学院专业班级学号学生姓名成绩指导教师完成日期网络工具应用实践实验报告1.实验概要通过使用软件Wireshark抓取网络上的数据包，并作相应分析。
2.实验环境硬件：台式笔记本或Pc、网卡、网络环境。
软件：Windows xp sp3及Windows 7、8。
3.实验目的了解网络抓包的意义，学习并了解使用网络抓包Wiresh 。
对互联网进行数据抓包；了解网络抓包的相关协议。
4.实验要求合理地使用电脑进行数据分析，提高自身对网络的安全意识。
5.实验环境搭建安装Wireshark软件，Wireshark的安装非常简单，只需按照步骤即可。
并且要求电脑具有上网的环境。
6.实验内容及步骤（1）安装Wireshark，简单描述安装步骤。
（2）打开wireshark，选择接口选项列表。
或单击“Capture”，配置“option”选项。
（3）设置完成后，点击“start”开始抓包，显示结果。
（4）选择某一行抓包结果，双击查看此数据包具体结构。
（5）捕捉TCP数据报。
a.写出TCP数据报的格式。
b.捕捉TCP数据报的格式图例。
针对每一个域所代表的含义进行解释。
7.实验过程及结果分析安装Wireshark软件，安装过程如下（如图1-1——1-3）：图1-1图1-2图1-3安装完毕。
打开软件，界面如图1-4：图1-4：打开软解截面图选中Start下的以太网，点击Start就可以捕获以太网上的数据包了。
流量如图1-5：图1-5：流量截图选择某一行抓包结果，双击查看数据属性，如图1-6：图1-6：数据属性截图(4)捕捉到的TCP信息如图1-7：图1-8：TPC信息截图由图可知这个TCP信息如下：Host: 来自Professorlee的新浪博客User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:23.0) Gecko/20100101 Firefox/23.0HTTP/1.1 200 OKServer: nginx/1.2.8Date: Thu, 12 Sep 2013 12:37:01 GMTContent-Type: application/x-javascriptLast-Modified: Thu, 12 Sep 2013 09:51:17 GMTTransfer-Encoding: chunkedConnection: keep-aliveVary: Accept-EncodingExpires: Thu, 12 Sep 2013 12:37:31 GMTCache-Control: max-age=30X-debug: 114.80.223.58Content-Encoding: gzip8.网络抓包相关网络协议TCP/IP协议不是TCP和IP这两个协议的合称，而是指因特网整个TCP/IP协议族。
实验二IP报文的捕获与分析
实验⼆IP报⽂的捕获与分析实验⼆ IP报⽂的捕获与分析——实验报告⼀、实验⽬的（1）掌握IP协议报⽂格式。
（2）对捕捉到的包进⾏IP分析。
⼆、实验内容⽤Wireshark过滤出IP数据包，查看并分析具体的IP包的内容。
三、实验原理1、wireshark简介Wireshark（前称Ethereal）是⼀个⽹络封包分析软件。
⽹络封包分析软件的功能是撷取⽹络封包，并尽可能显⽰出最为详细的⽹络封包资料。
在GNUGPL通⽤许可证的保障范围底下，使⽤者可以以免费的代价取得软件与其程式码，并拥有针对其源代码修改及客制化的权利。
Ethereal是⽬前全世界最⼴泛的⽹络封包分析软件之⼀。
Wireshark可以帮助⽹络管理员检测⽹络问题，帮助⽹络安全⼯程师检查资讯安全相关问题，开发者使⽤Wireshark来为新的通讯协议除错，普通使⽤者使⽤Wireshark来学习⽹络协定的相关知识当然，有的⼈⽤它来寻找⼀些敏感信息Wireshark不是⼊侵侦测软件（Intrusion DetectionSoftware,IDS）。
对于⽹络上的异常流量⾏为，Wireshark不会产⽣警⽰或是任何提⽰。
然⽽，仔细分析Wireshark撷取的封包能够帮助使⽤者对于⽹络⾏为有更清楚的了解。
Wireshark不会对⽹络封包产⽣内容的修改，它只会反映出⽬前流通的封包信息，它也不会送出封包⾄⽹络上2、IP数据报格式IP数据报TCP/IP协议定义了⼀个在因特⽹上传输的包，称为IP数据报(IP Datagram)。
这是⼀个与硬件⽆关的虚拟包，由⾸部和数据两部分组成。
⾸部的前⼀部分是固定长度，共20字节，是所有IP数据报必须具有的。
在⾸部的固定部分的后⾯是⼀些可选字段，其长度是可变的。
⾸部中的源地址和⽬的地址都是IP协议地址。
IP数据包格式如图1所⽰。
图1 IP报⽂格式上⽹查找资料，整理如下更详细更易懂的IP报⽂格式与字段含义：IP协议偏移量0~34~78~1516~1819~31偏移量0~34~78~1516~1819~31 0版本⾸部长度服务类型总长度32标识符标识分段偏移64存活时间协议⾸部校验和96源IP地址128⽬的IP地址160选项160或192+数据IP报⽂字段含义版本指 IP 协议所使⽤的版本。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验二 TCP/IP协议数据包分析一、实验目的基于网络协议分析工具Wireshark（原为Ethereal），通过多种网络应用的实际操作，学习和掌握不同网络协议数据包的分析方法，提高TCP/IP协议的分析能力和应用技能。
二、实验前的准备●二人一组，分组实验；●熟悉Ping、Tracert等命令，学习FTP、HTTP、SMTP和POP3协议；●安装软件工具Wireshark，并了解其功能、工作原理和使用方法；●安装任一种端口扫描工具；●阅读本实验的阅读文献；三、实验内容、要求和步骤3.1学习Wireshark工具的基本操作学习捕获选项的设置和使用，如考虑源主机和目的主机，正确设置Capture Filter；捕获后设置Display Filter。
Wireshark（前称Ethereal）是一个网络封包分析软件。
网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。
网络封包分析软件的功能可想像成"电工技师使用电表来量测电流、电压、电阻" 的工作- 只是将场景移植到网络上，并将电线替换成网络线。
在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。
Ethereal的出现改变了这一切。
在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。
Ethereal是目前全世界最广泛的网络封包分析软件之一。
软件简介Wireshark使用目的：网络管理员使用Wireshark来检测网络问题，网络安全工程师使用Wireshark来检查资讯安全相关问题，开发者使用Wireshark来为新的通讯协定除错，普通使用者使用Wireshark来学习网络协定的相关知识当然，有的人也会“居心叵测”的用它来寻找一些敏感信息……Wireshark不是入侵侦测软件（Intrusion DetectionSoftware,IDS）。
对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。
然而，仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。
Wireshark不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。
Wireshark本身也不会送出封包至网络上。
3.2PING命令的网络包捕获分析PING命令是基于ICMP协议而工作的，发送4个包，正常返回4个包。
以主机210.31.40.41为例，主要实验步骤为：（1）设置“捕获过滤”：在Capture Filter中填写host 210.31.40.41；（2）开始抓包；（3）在DOS下执行PING命令；（4）停止抓包。
（5）设置“显示过滤”: IP.Addr=210.31.40.41（6）选择某数据包，重点分析其协议部分，特别是协议首部内容，点开所有带+号的内容。
（7）针对重要内容截屏，并解析协议字段中的内容，一并写入WORD文档中。
源ip地址：222.31.141.241 目的ip地址：222.31.140.212 ；TTL值为64，可判断目的主机操作系统为windows。
分析：源ip地址：222.31.141.241目的ip地址：222.31.140.212IP协议版本：4头部长度：20字节TTL值为64，可判断目的主机操作系统为windows版本：4总长度：60Fragment offset：0 一片偏移协议：ICMP协议头部校验和：源212.31.141.241 222.31.140.212IMCP：类型：8代码：0校验和0x4d0f标识符0x04003.3TRACERT命令数据捕获观察路由跳步过程。
分别自行选择校内外2个目标主机。
比如，（1）校内：tracert 210.31.32.8（2）校外：tracert Tracert 工作原理通过向目标发送不同IP 生存时间(TTL) 值的“Internet 控制消息协议(ICMP)”回应数据包，Tracert 诊断程序确定到目标所采取的路由。
要求路径上的每个路由器在转发数据包之前至少将数据包上的TTL 递减1。
数据包上的TTL 减为0 时，路由器应该将“ICMP 已超时”的消息发回源系统。
Tracert 先发送TTL 为 1 的回应数据包，并在随后的每次发送过程将TTL 递增1，直到目标响应或TTL 达到最大值，从而确定路由。
通过检查中间路由器发回的“ICMP 已超时”的消息确定路由。
某些路由器不经询问直接丢弃TTL 过期的数据包，这在Tracert 实用程序中看不到。
（1）校内：分析：源ip地址：222.31.141.241目的ip地址：222.31.140.212IP协议版本：4头部长度：20字节TTL值为64，可判断目的主机操作系统为windows 版本：4总长度：92Fragment offset：0 一片偏移协议：ICMP协议头部校验和：源212.31.141.241 222.31.140.212 IMCP：类型：8代码：0校验和0xff97标识符0x0400序列号103(2)校外：分析：源ip地址：222.31.141.241目的ip地址：23.201.102.40IP协议版本：4头部长度：20字节TTL值为64，可判断目的主机操作系统为windows版本：4总长度：317Fragment offset：0 一片偏移协议：HTTP协议头部校验和：0*0000源212.31.141.241 222.31.140.212端口扫描数据捕获与分析（1）各组自行下载和安装某个端口扫描工具，比如NMAP、SUPERSCAN、SCANPORT、SSPORT、TCPVIEW。
（2）扫描对方的主机，获得开放的端口号。
捕获其所有相关信息和协议内容。
显示过滤举例：tcp.port=139Portmap.prot（3）关闭某一开放的端口，重新扫描，观察捕获效果。
3.4FTP协议包捕获与分析登录学校FTP服务器：ftp://，重点捕获其3个关键过程：（1）FTP服务器的登录捕获USER和PWD的内容，分析FTP、TCP、IP协议的首部信息。
FTP服务器的端口号为21，用于控制连接。
分析：IP：源ip地址：222.31.141.241目的ip地址：210.31.32.5IP协议版本：4头部长度：20字节TTL值为127，版本：4总长度：55变时：0×5e12协议：TCP协议头部校验和：源222.31.141.241 目的210.31.32.5TCP：源端口：ftp(21)目的端口：6335 序列号:305下一相关序列号：320相关ack号：29头部长度：20字节（2）FTP文件的下载过程要求分别下载三个大小不同的文件（小于1MB、1MB—10MB、10MB以上），观察FTP、TCP和IP协议中的数据分片过程。
分析：IP：源ip地址：222.31.141.241目的ip地址：210.31.32.5IP协议版本：4头部长度：20字节TTL值为127，版本：4总长度：65变时：0×1df8协议：TCP协议头部校验和：源222.31.141.241 目的210.31.32.5TCP：源端口：ftp(21)目的端口：6438 序列号:552下一相关序列号：557相关ack号：228头部长度：20字节分析：IP：源ip地址：222.31.141.241目的ip地址：210.31.32.5IP协议版本：4头部长度：20字节TTL值为127，版本：4总长度：65变时：0×1df8协议：TCP协议头部校验和：源222.31.141.241 目的210.31.32.5 TCP：源端口：ftp-data(20)目的端口：6436 序列号:1461下一相关序列号：2921相关ack号：1头部长度：20字节（3）FTP服务的退出过程分析FTP、TCP、IP协议的不同内容。
分析：IP：源ip地址：210.31.32.5目的ip地址：222.31.141.241IP协议版本：4头部长度：20字节TTL值为127版本：4总长度：53变时：0×4d09协议：TCP（6）头部校验和：源地址：210.31.32.5 目的地址：222.31.141.241TCP：源端口：ftp(21)目的端口：6438序列号:594下一相关序列号：607相关ack号：234头部长度：20字节窗口大小：653023.5HTTP协议包的捕获与分析登录到国内外的一些门户网站上，将主页浏览过程捕获下来，分析其HTTP、TCP、UDP、IP协议的内容。
注意TCP协议中的端口号。
（1）访问百度分析：IP：源ip地址：123.125.115.43目的ip地址：222.31.141.241IP协议版本：4头部长度：20字节TTL值为48版本：4总长度：329协议：TCP（6）头部校验和：0×7024源地址：123.125.115.43 目的地址：222.31.141.241 TCP：源端口：HTTP(80)目的端口：(5891)序列号:290Ack号：1174头部长度：20字节窗口大小：8192（2）访问谷歌IP：源ip地址222.31.141.241目的ip地址74.82.63.228IP协议版本：4头部长度：20字节TTL值为64，可判断目的主机操作系统为windows版本：4总长度：41协议：TCP（6）头部校验和：源地址：222.31.141.241 目的地址：74.82.63.228TCP：源端口：6156目的端口：http（80）序列号：297Ack号：568头部长度：20字节窗口大小：63673EMAIL协议包的捕获与分析登录到校内外的邮件系统，捕获自己的登录信息，重点分析其SMTP、POP3协议的内容。
注意其端口号分别是25和110。
四、思考题（1）在FTP服务中，FTP数据长度为什么是1460字节？答：最大传输单元是1460字节是TCP层的报文段(segment)的长度限制。
（2）如何捕获FTP服务的结束数据包？答：可以在filter那个框里面输入ftp直接显示ftp数据包，然后再看一下information里的信息选择接受数据包。
（3）在端口扫描中，对应的协议有TCP和UDP。
应该如何查找某端口对应的服务类型？答：用netstat -a —n命令查看（4）不指定IP地址时，为什么有的邻近主机捕获不到？答：网络协议（IP）是网络上信息从一台计算机传递给另一台计算机的方法或者协议。
网络上每台计算机（主机）至少具有一个IP地址将其与网络上其他计算机区别开。
当你发送或者接受信息时（例如，一个电子邮件信息或一个网页），信息被分成几个小块，称为信息包。