实验yi：网络协议分析工具Wireshark的使用
《使用wireshark进行网络协议分析》实验报告
《计算机网络与通信原理》课程实验报告Wireshark和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。
（2）Wireshark的显示过滤器显示过滤器可以根据1)协议2)是否存在某个域3)域值4)域值之间的比较来查找感兴趣的数据包。
注意：捕获过滤器（Capture Filters）和显示过滤器（Display Filters）的语法规则是不同的。
值比较表达式可以使用下面的操作符来构造：●eq ==，如ip.addr==10.1.10.20●ne !=，如ip.addr!=10.1.10.20●gt >，如frame.pkt_len>10●lt <，如frame.pkt_len<10●ge >=，如frame.pkt_len>=10●le <=，如frame.pkt_len<=10可以使用下面的逻辑操作符将表达式组合起来：●and &&逻辑与，如ip.addr=10.1.10.20 && tcp.flag.fin●or || 逻辑或，如ip.addr=10.1.10.20||ip.addr=10.1.10.21●not ! 逻辑非，如!llc例如：IP 地址是192.168.2.10 的主机，它所接收收或发送的所有的HTTP 报文，那么合适的Filter（过滤器）就是：ip.addr == 192.168.2.10 && http。
提示：Filter的背景显示出表达式的合法与否，绿色为合法，红色为否。
（3）菜单Capture的Options说明Interface:选择采集数据包的网卡IP address:选择的网卡所对应的IP地址Link-layer header type:数据链路层的协议，在以太网中一般是Ethernet IIBuffer size:数据缓存大小设定，默认是1M字节。
协议分析实验(1)Wireshark 基础应用
《信息系统安全》实验实验 - Wireshark 应用Mininet 拓扑目标第 1 部分：安装和验证 Mininet 拓扑第 2 部分：在 Wireshark 中捕获和分析 ICMP 数据背景/场景CyberOps 虚拟机包含一个 Python 脚本，运行该脚本时，它会设置并配置上图中所示的设备。
然后，同学们便可以访问同学们的一台虚拟机内的四台主机、一台交换机和一个路由器。
这样，同学们就可以模拟各种网络协议和服务，而无需配置设备的物理网络。
例如，在此实验中，同学们将在 Mininet 拓扑中的两台主机之间使用ping 命令，并使用 Wireshark 捕获这些 ping。
Wireshark 是一种协议分析器软件，即“数据包嗅探器”应用程序，适用于网络故障排除、分析、软件和协议开发以及教学。
当数据流在网络中传输时，嗅探器可以“捕获”每个协议数据单元 (PDU)，并根据适当的 RFC 或其他规范对其内容进行解码和分析。
对于使用网络进行数据分析和排除故障的任何人来说，Wireshark 是一个有用的工具。
同学们需要使用 Wireshark 来捕获 ICMP 数据包。
所需资源•CyberOps 虚拟机•互联网接入第 1 部分：安装和验证 Mininet 拓扑在此部分中，同学们将使用 Python 脚本在 CyberOps 虚拟机中设置 Mininet 拓扑。
然后，同学们需要记录 H1 和H2 的 IP 地址和 MAC 地址。
第 1 步：验证 PC 的接口地址。
启动并登录同学们在之前的实验中使用以下凭证安装的 CyberOps Workstation：用户名：analyst密码：cyberops第 2 步：运行 Python 脚本以安装 Mininet 拓扑。
打开终端仿真程序以启动 Mininet，并在提示符后输入以下命令。
系统提示时，输入cyberops 作为密码。
[analyst@secOps ~]$ sudo ~/lab.support.files/scripts/cyberops_topo.py[sudo] password for analyst:第 3 步：记录 H1 和 H2 的 IP 地址和 MAC 地址。
实验二 用 Wireshark 进行协议分析
实验二用Wireshark 进行协议分析一．分组及实验任务组长：，组员：由于本次试验不需要合作，所以每个人的任务都一样。
任务：1. 学习协议分析软件Wireshark 的使用。
2. 分析以太网帧格式。
3. 分析IP、ICMP、ARP 数据包格式。
二．实验环境1.以太网交换机1 台、PC 机2 台；2.实验拓扑如下：三．实验过程在命令行界面执行命令ping，在Wireshark选项界面的Capture option 中设置过滤规则：“ether proto0x0806”，界面出现了arp request和arp reply的包；设置过滤规则：”ip proto 1 “,界面出现了ICMP request 和ICMP reply 的包；设置过滤规则：“ether proto 0x0806 or ip proto 1”后，界面出现了ARP和ICMP的request包以及reply包。
四．问题解答1. 抓取一对ARP 包（包括ARP request 和ARP reply ），分析以太网帧头的字段。
解：下图是做实验时用软件抓到的ARP包：以太网首部：目的主机采用的是广播地址00:21:97:29:44，源主机的MAC地址是00:21:97:29:80:50;上层协议类型0x0806代表ARP2. 抓取一对封装ICMP 报文的IP 数据报（包括echo 和echo reply ），然后1) 找到两个ICMP 报文中的类型（type）和代码（code ）字段，2) 分析其中一个IP 数据报的首部字段值，3) 并计算首部校验和。
解：1）：这是一个ICMP回应请求报文，报文类型为08，代码字段为00这是一个ICMP回应应答报文，报文类型为00，代码字段为002）：ICMP回应请求报文中IP数据报的首部字段为：45:00:00:3c:a4:2a:00:00:80:01:13:62:c0:98:01:03:c0:98:01:01第一个字节“45”高四位为“4”，代表IP协议的版本为4，低四位为“5”，代表该IP数据报的首部长度为20个字节；第二个字节为“00”，为区分服务；第三、四个字节为“003c”，表示该IP数据报的总长度为60字节（3x16+12=60）；第五六字节为“a42a”,为标识字段；第七八字节为“0000”，前三位为标志字段，表示该数据报为若干数据报片中的最后一个，在这代表只有一个数据报，不存在分片；后十三位为片偏移字段，在这没有意义；第九个字节为“80”，表示生存时间；第十个字节为“01”，表用来示该数据报携带的数据使用的何种协议，在这表示使用的是UDP协议；第十一十二字节为“13 62”,为首部检验和；第十三至第十六字节为“c0 98 01 03”,表示源地址；第十七至第二十字节为“c0 98 01 01”,表示目的地址；3）：数据报首部反码算术求和二进制表示为0011011100111001,取反码为1100100011000110;即首部校验和为1100100011000110；五．实验总结本次试验主要要求我们熟悉wireshark软件，难度不是很大，我们很快就做完了，再结合课堂上学习到的知识，思考题也迎刃而解。
wireshark抓包实验报告
wireshark抓包实验报告Wireshark抓包实验报告1. 实验简介本次实验旨在通过使用Wireshark软件进行网络抓包，深入了解网络通信过程中的数据传输和协议交互。
通过分析抓包数据，我们可以了解网络流量的组成、协议的运作方式以及网络安全的相关问题。
2. 实验准备在进行实验之前，我们需要准备一台运行Wireshark软件的计算机，并连接到一个网络环境中。
Wireshark是一款开源的网络协议分析工具，可以在各种操作系统上运行。
安装并配置好Wireshark后，我们就可以开始进行抓包实验了。
3. 实验步骤3.1 启动Wireshark打开Wireshark软件，选择需要抓包的网络接口。
Wireshark会监听该接口上的所有网络流量，并将其显示在界面上。
3.2 开始抓包点击“开始”按钮，Wireshark开始抓取网络数据包。
此时，我们可以看到界面上实时显示的数据包信息，包括源地址、目标地址、协议类型等。
3.3 过滤抓包数据由于网络流量非常庞大，我们可以使用过滤器来筛选出我们感兴趣的数据包。
Wireshark提供了丰富的过滤器选项，可以根据协议、源地址、目标地址等条件进行过滤。
3.4 分析抓包数据选中某个数据包后，Wireshark会显示其详细信息，包括协议分层、数据字段等。
通过分析这些信息，我们可以了解数据包的结构和内容，进一步了解网络通信的细节。
4. 实验结果与讨论在实验过程中，我们抓取了一段时间内的网络流量，并进行了分析。
通过对抓包数据的观察和解读，我们得出了以下几点结果和讨论：4.1 协议分层在抓包数据中，我们可以清晰地看到各种协议的分层结构。
从物理层到应用层，每个协议都承担着不同的功能和责任。
通过分析协议分层，我们可以了解协议之间的关系，以及它们在网络通信中的作用。
4.2 数据传输过程通过分析抓包数据，我们可以追踪数据在网络中的传输过程。
我们可以看到数据包从源地址发送到目标地址的路径，了解中间经过的路由器和交换机等设备。
Wireshark网络抓包分析技巧
Wireshark网络抓包分析技巧网络抓包是计算机网络中常用的一种分析技术。
它可以用来捕获网络数据包，进行深入分析，了解网络传输中的各种细节。
Wireshark是一款开源、跨平台的网络抓包分析软件，具有强大的功能和灵活的扩展性。
本文将介绍Wireshark网络抓包分析技巧，并结合实例进行详细讲解。
一、Wireshark基本操作1.安装Wireshark：从官方网站下载并安装Wireshark。
2.启动Wireshark：启动后，选择需要抓包的网络接口（例如，本地网卡）。
Wireshark便开始进行抓包操作。
3.过滤抓到的数据包：Wireshark支持将抓取到的数据包进行过滤，只保留我们需要的数据包。
可以通过命令行或GUI界面的过滤器，来实现对数据包的过滤。
4.保存数据包：将抓到的数据包保存到本地磁盘中，以便后续分析。
5.多种图形化显示：Wireshark支持多种图形化界面，例如流图，I/O图等，来对抓到的数据包进行可视化分析。
二、常用Wireshark功能1.协议分析：Wireshark支持常见协议分析，例如TCP、UDP、HTTP等。
2.流量分析：Wireshark可以对抓到的数据包进行统计和分析，包括流量的大小、流量的源和目的地等。
3.时间线分析：Wireshark支持对抓到的数据包进行时间线分析，可以方便地定位网络问题和故障。
4.嗅探网络流量：Wireshark可以嗅探网络流量，得到抓包数据后，可以分析网络通讯过程的每个细节。
5.深入了解网络问题：通过分析网络流量，可以找出网络问题的根源，并能够帮助解决网络故障。
三、常见实例演示1.抓取HTTP请求：如下图所示，我们通过Wireshark抓取到浏览器发送的HTTP请求。
通过分析数据包的内容，我们可以了解每个HTTP请求的详细信息，例如请求头、请求体、响应头等。
2.查找网络故障：如下图所示，我们使用Wireshark来查找网络故障。
通过分析数据包的内容，我们可以发现某些数据包的响应时间过长，从而找出网络故障的根源。
1、使用网络协议分析仪Wireshark
一、实验名称:使用网络分析仪Wireshark二、实验目的：（1）掌握安装和配置网络协议分析仪Wireshark的使用方法；（2）熟悉使用Wireshark工具分析网络协议的基本方法，加深对网络协议格式、协议层次和协议交互过程的理解。
三、实验内容和要求：（1）安装和配置网络协议分析仪；（2）使用并熟悉Wireshark 分析仪的部分功能。
四、实验环境：windows 7下Wireshark64位五、操作方法与实验步骤（一）安装和配置：（二）、使用Wireshark分析仪启动系统，点击“Wireshark”图标进入界面选择网络连接方式，因为我用的是WiFi所有选择无线网络连接方式进入Capture Options选项，可以进行很多操作，可以选择接连的网络，可以选择过滤的条件，选择俘获分组的接口卡点击start开始俘获分组，点击工具栏中红色正方形停止俘获我们可以看见在Wireshark工具中我们可以看到帧的接受时间，源IP地址，目的IP地址，所使用的协议，帧的长度以及帧的信息。
下部信息是这样的，它是由十六进制数和ASCII码值表示的其实选择中一号帧双击我们也可以进入观察到它的信息Frame代表物理层的数据流，Ethernet II表示数据链路层的数据帧，Internet Protocol Version 4表示IP数据包，User Datagram Protocol表示UDP数据包下面选择想要研究的对象也可以点击开查看，以EthernetII帧为例，点击它的“+”标志我们可以看出该帧的源mac地址和目的mac地址分别为多少，对源地址和目的地址也有一定的描述，如果想要的到其他的具体信息，和EthernetII一样点开观察就好了。
如果我们想要清晰地看到自己想要看的信息，可以使用“Filters”功能，举个例子我们以源IP地址为112.90.84.10为条件进行过滤，就得到下面的界面了，这样就清晰多了六、实验体会、质疑和建议：本次实验不仅安装和配置了Wireshark，而且对其基本进本的功能和进本操作方法有了理解，对于我们想要看到的我们可以进行过滤操作，这就使用了Analyze的“filters”功能，Wireshark还有许多功能在以后的实验中还会有使用，要想的更深入的理解Wireshark还需要继续使用该工具。
实验一-Wireshark的安装与使用
实验一Wireshark的安装与使用一、实验目的1、熟悉并掌握Wireshark的基本使用；2、了解网络协议实体间进行交互以及报文交换的情况。
二、实验环境与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。
三、预备知识要深入理解网络协议，需要观察它们的工作过程并使用它们，即观察两个协议实体之间交换的报文序列，探究协议操作的细节，使协议实体执行某些动作，观察这些动作及其影响。
这种观察可以在仿真环境下或在因特网这样的真实网络环境中完成。
观察正在运行的协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer），又称分组捕获器。
顾名思义，分组嗅探器捕获（嗅探）你的计算机发送和接收的报文。
图显示了一个分组嗅探器的结构。
图分组嗅探器的结构图右边是计算机上正常运行的协议和应用程序（如：Web浏览器和FTP客户端）。
分组嗅探器（虚线框中的部分）主要有两部分组成：第一是分组捕获器，其功能是捕获计算机发送和接收的每一个链路层帧的拷贝；第二个组成部分是分组分析器，其作用是分析并显示协议报文所有字段的内容（它能识别目前使用的各种网络协议）。
Wireshark是一种可以运行在Windows, UNIX, Linux等操作系统上的分组嗅探器，是一个开源免费软件，可以从下载。
运行Wireshark程序时，其图形用户界面如图所示。
最初，各窗口中并无数据显示。
Wireshark的界面主要有五个组成部分：命令和菜单协议筛选框捕获分组列表选定分组首部明细分组内容左：十六进制右：ASCII码图 Wireshark主界面命令菜单（command menus）：命令菜单位于窗口的最顶部，是标准的下拉式菜单。
协议筛选框（display filter specification）：在该处填写某种协议的名称，Wireshark据此对分组列表窗口中的分组进行过滤，只显示你需要的分组。
捕获分组列表（listing of captured packets）：按行显示已被捕获的分组内容，其中包括：分组序号、捕获时间、源地址和目的地址、协议类型、协议信息说明。
实验二、Wireshark的使用与PackerTracer的使用
实验二 Wireshark的使用与PackerTracer的使用实验目的：掌握网络协议分析软件Wireshark的常用操作和网络模拟器PackerTracer的常用操作。
实验环境：计算机若干、直通双绞线若干、小型非管理交换机10台。
实验步骤：1、配置对等局域网2、Wireshark的使用（1）启动系统。
点击“Wireshark”图标，将会出现如图1 所示的系统界面。
图1 Wireshark 系统界面其中“俘获(Capture)”和“分析(Analyze)”是Wireshark 中最重要的功能。
(2) 分组俘获。
点击“Capture/Interface”菜单，出现如图2 所示界面。
图2 俘获/接口界面如果该机具有多个接口卡，则需要指定希望在哪块接口卡俘获分组。
点击“Options”，则出现图3 所示的界面。
图3 俘获/接口/选项界面在该界面上方的下拉框中将列出本机发现的所有接口；选择一个所需要的接口；也能够在此改变俘获或显示分组的选项。
此后，在图2 或者图3 界面中，点击“Start(开始)”，Wireshark 开始在指定接口上俘获分组，并显示类似于图4 的界面。
当需要时，可以点击“Capture/Stop” 停止俘获分组，随后可以点击“File/Save”将俘获的分组信息存入踪迹(trace)文件中。
当需要再次俘获分组时，可以点击“Captuer/Start”重新开始俘获分组。
(3) 协议分析。
系统能够对Wireshark 俘获的或打开的踪迹文件中的分组信息(用File/Open 功能)进行分析。
如图4 所示，在上部“俘获分组的列表”窗口中，有编号(No)、时间(Time)、源地址(Source)、目的地址(Destination)、协议(Protocol)、长度(Length)和信息(Info) 等列(栏目)，各列下方依次排列着俘获的分组。
中部“所选分组首部的细节信息”窗口给出选中协议数据单元的首部详细内容。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
--------------------------------------------------------------------------------
c.根据Wireshark所观察到的现象解释解析域名“”所对应MX记录的过程。
本地主机的DNS客户端发送了一个查询且资源记录类型为MX的DNS查询报文。收到一个DNS回答报文，告知其规范主机名为。
d.“”域有几个邮件服务器？它们的IP地址分别是什么？
进入SYN_SEND状态，等待服务器确认。
第二次握手：服务器收到SYN包，ACK =1，同时发送SYN= 0的包，进入SYN_RECV状态。
第三次握手：收到上部报文后，本地主机回复了ACK=1的确认报文段，至此，链接建立。
c.TCP的连接终止过程：
第一次：本地主机向目的主机发送[FIN，ACK]报文，seq=16452,ack =58,FIN=1,请求中断链接
2.用Wireshark观察tracert命令的工作过程：（20分）
（1）运行Wireshark, 开始捕获tracert命令中用到的消息；
（2）执行“tracert-d ”
根据Wireshark所观察到的现象思考并解释tracert的工作原理。
-----------------------------------------------------------
--------------------------------------------------------------------------------
a.ether host 18-03-73-BC-70-51 and (tcp port 23)
b.TCP三次握手的连接建立过程：
第一次握手：192.168.32.85向202.118.66.5发送了一个SYN= 0的报文后
b.解释解析域名“”所对应IP地址的过程。
首先，发出对应ptr请求，解析目的主机的IP。之后对www 进行A记录的查询请求，结果为无此域名。在最后向相关的DNS服务器发送查询www.dlut. ，得到对应A记录IP 202.118.66.66
由上图易知，进行A记录的查询后，得到一个IP，为202.108.252.141
五、讨论、建议、质疑
第二次：目的主机发送[ACK]报文，ACK =16452+1，seq = 58回复收到
第三次：目的主机发送[FIN，ACK]报文，FIN =1，seq =58,确认终止
第四次：本地主机发送[ACK]报文，对终止报文进行确认
d.首先终止方：
由于目的主机首先发送FIN为1的报文段，由此可知目的主机首先发起链接的终止。
3.用Wireshark观察TCP连接的建立过程和终止过程：（30分）
（1）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的Telnet协议中的包（提示：Telnet使用的传输层协议是TCP，它使用TCP端口号23）；
（2）在Windows命令行窗口中执行命令“telnet ”，登录后再退出。
（7）在提示符“>”下键入MX记录的查询结果，从而查出“”邮件服务器的IP地址；
（8）在提示符“>”下键入“exit”，退出nslookup的交互模式。
请在实验报告中回答：
a.写出步骤（2）中需要设置的Wireshark的Capture Filter过滤规则；
ether host 18-03-73-BC-70-51 and (udp port 53)
（3）在提示符“>”下直接键入域名，解析它所对应的IP地址；
（4）在提示符“>”下键入命令“set type=mx”，设置查询类型为MX记录;
（5）在提示符“>”下键入域名“”,解析它所对应的MX记录；
（6）在提示符“>”下键入命令“set type=a”，恢复查询类型为A记录;
4.用Wireshark观察使用DNS来进行域名解析的过程：（30分）
（1）在Windows命令窗口中执行命令“nslookup↙”，进入该命令的交互模式；
（2）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的DNS协议中的包（提示：DNS使用的传输层协议是UDP，它使用UDP端口号53）；
实验室路由跟踪显示有6个路由器
TTL指数据包还要经过的路由器数。tracert命令可以用来跟踪一个报文从一台计算机到另一台计算机所走的路径。要在转发数据包上的TTL之前至少递减1，必需路径上的每个路由器，所以TTL是有效的跃点计数。数据包上的TTL到达0时，路由器应该将“ICMP已超时”的消息发送回源系统。tracert首先发送TTL为1的数据包，之后发送TTL递加1的回显数据包，直到TTL达到最大值，从而确定路由信息。图中显示了到202.118.66.66的五个路由的请求与恢复。
实验一：
一、实验目的
学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。
二、实验原理和内容
1、பைடு நூலகம்cp/ip协议族中网络层传输层应用层相关重要协议原理
2、网络协议分析工具Wireshark的工作原理和基本使用规则
三、实验环境以及设备
Pc机、双绞线
四、实验步骤（操作方法及思考题）
1.用Wireshark观察ARP协议以及ping命令的工作过程：（20分）
（1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；
（2）用“arp”命令清空本机的缓存；
（3）运行Wireshark，开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）;
（4）执行命令：“ping缺省路由器的IP地址”；
请在实验报告中：
a.写出步骤（1）中需要设置的Wireshark的Capture Filter过滤规则；
b.根据Wireshark所观察到的现象解释TCP三次握手的连接建立过程；
c.根据Wireshark所观察到的现象解释TCP的连接终止过程；
d.根据Wireshark所观察到的现象说出是哪一方首先发起连接关闭；
（1）ipconfig/all
（2）arp–d
（3）( arp or icmp ) and ether host 18-03-73-BC-70-51,
ping 192.168.32.254后的截包信息图片：
首先，通过ARP找到所ping机器的ip地址，本机器发送一个广播包，在子网中查询192.168.32.254的MAC地址，然后一个节点发送了响应该查询的ARP分组，告知及其所查询的MAC地址。接下来，本机器发送3个请求的ICMP报文，目的地段回复了三个响应请求的应答ICMP报文。在最后对请求主机对应的MAC地址进行核查。