抓包工具Wireshark分析DHCP协议
Wireshark抓包实例分析
Wireshark抓包实例分析通信工程学院010611班赖宇超01061093一．实验目的1.初步掌握Wireshark的使用方法，熟悉其基本设置，尤其是Capture Filter和Display Filter 的使用。
2.通过对Wireshark抓包实例进行分析，进一步加深对各类常用网络协议的理解，如：TCP、UDP、IP、SMTP、POP、FTP、TLS等。
3.进一步培养理论联系实际，知行合一的学术精神。
二．实验原理1.用Wireshark软件抓取本地PC的数据包，并观察其主要使用了哪些网络协议。
2.查找资料，了解相关网络协议的提出背景，帧格式，主要功能等。
3.根据所获数据包的内容分析相关协议，从而加深对常用网络协议理解。
三．实验环境1.系统环境：Windows 7 Build 71002.浏览器：IE83.Wireshark：V 1.1.24.Winpcap：V 4.0.2四．实验步骤1.Wireshark简介Wireshark（原Ethereal）是一个网络封包分析软件。
其主要功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。
其使用目的包括：网络管理员检测网络问题，网络安全工程师检查资讯安全相关问题，开发者为新的通讯协定除错，普通使用者学习网络协议的相关知识……当然，有的人也会用它来寻找一些敏感信息。
值得注意的是，Wireshark并不是入侵检测软件（Intrusion Detection Software,IDS）。
对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。
然而，仔细分析Wireshark 撷取的封包能够帮助使用者对于网络行为有更清楚的了解。
Wireshark不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。
Wireshark本身也不会送出封包至网络上。
2.实例实例1：计算机是如何连接到网络的？一台计算机是如何连接到网络的？其间采用了哪些协议？Wireshark将用事实告诉我们真相。
DHCP完整过程详解及Wireshark抓包分析
DHCP完整过程详解及Wireshark抓包分析DHCP，Dynamic Host Configuration Protocol，动态主机配置协议，简单来说就是主机获取IP地址的过程，属于应⽤层协议。
DHCP采⽤UDP的68（客户端）和67（服务器）端⼝进⾏通信。
【过程】DHCP过程主要为DHCP Discover-->DHCP Offer-->DHCP Request-->DHCP Ack四个过程。
通过Wireshark抓取DHCP获取IP过程的数据报⽂。
1、开Wireshark抓包2、PC当前已有IP，使⽤cmd命令释放IP（ipconfig /release)，并重新获取IP（ipconfig /renew）3、停⽌抓包，使⽤bootp过滤报⽂。
4、可以看到图中的5个报⽂，其中DHCP Release报⽂为PC释放IP时发出的报⽂。
获取IP时，PC会发送DHCP Discover⼴播报⽂，由于当前PC没有IP，故源IP为0.0.0.0；特别要注意到的是，PC会随机出⼀个Transaction ID，如果之后收到的Offer报⽂中的Transaction ID与PC模拟出的不同，PC会将该Offer报⽂直接丢弃。
DHCP Offer报⽂DHCP Request报⽂DHCP Ack报⽂【模拟服务器发送Offer报⽂的过程及注意事项】1、保证服务器与客户端的连通性2、准备好⼀个Offer报⽂（可编辑）3、使⽤Wireshark抓取客户端发出的Discover报⽂，确定当前客户端随机出的Transaction ID4、更改Offer报⽂中的Transaction ID与Discover报⽂中⼀致5、使⽤发包软件发送Offer报⽂注：Transaction ID【地址租期】DHCP服务器提供的每个IP地址都有相应的租⽤期，在Offer报⽂中的IP Address Lease Time中可以看到。
实验7_使用Wireshark分析DHCP协议
实验7_使用Wireshark分析DHCP协议DHCP（Dynamic Host Configuration Protocol）是一种网络协议，用于动态分配IP地址、子网掩码、默认网关、DNS服务器等网络配置信息给计算机设备。
在本实验中，我们将使用Wireshark工具来分析DHCP协议的工作流程和数据包的结构。
首先，我们需要准备一个局域网环境，并在其中设置一个DHCP服务器和至少一个客户端设备。
DHCP服务器负责为客户端设备分配IP地址和其他网络配置信息。
客户端设备在启动时会发送DHCP请求，以获取分配给它的IP地址和其他配置信息。
使用Wireshark进行DHCP协议分析的步骤如下：1. 打开Wireshark软件，并选择适当的网络接口进行抓包。
在“捕获”选项卡中，选择正确的网络接口，然后点击“开始”按钮开始抓包。
2.在客户端设备上，启动DHCP服务发现过程。
客户端将发送一个DHCP发现广播消息，以寻找可用的DHCP服务器。
3. 在Wireshark中，我们可以看到DHCP发现消息的数据包。
可以通过在过滤器栏中输入“bootp”或“dhcp”来过滤只显示与DHCP相关的数据包。
4.DHCP服务器接收到DHCP发现消息后，会回复一个DHCP提供消息。
该消息包含了DHCP服务器可以提供给客户端的IP地址和其他配置信息。
5.客户端接收到DHCP提供消息后，会发送一个DHCP请求消息，以确认接受DHCP服务器提供的配置信息。
6.DHCP服务器接收到DHCP请求消息后，会发送一个DHCP确认消息，将IP地址和其他配置信息分配给客户端。
7. 在Wireshark中，我们可以查看这些DHCP消息的详细信息。
可以看到每个消息的源IP地址、目的IP地址、消息类型、配置选项等。
8.客户端设备在接收到DHCP确认消息后，将使用分配给它的IP地址和其他配置信息来配置自己的网络连接。
通过分析DHCP协议的数据包，我们可以了解到DHCP协议的工作流程和数据包的结构。
wireshark协议分析
wireshark协议分析Wireshark协议分析Wireshark是一个功能强大的网络协议分析工具，它能够捕获、分析和显示网络数据包中的数据。
通过使用Wireshark，我们可以深入了解网络通信过程中的协议细节，追踪数据包的传输路径，发现潜在的安全风险，并进行网络性能优化。
在进行协议分析之前，我们首先需要捕获网络数据包。
Wireshark支持在多个平台上运行，包括Windows、Mac OS和Linux。
它能够通过本地网络接口或远程连接捕获网络数据包。
当我们开始捕获数据包时，Wireshark会显示一个实时的数据包列表，并提供详细的信息，如源IP地址、目标IP地址、协议类型、端口号等。
在开始分析数据包之前，我们可以通过使用过滤器来限制需要关注的数据包。
Wireshark支持使用协议、源IP地址、目标IP地址、端口号等作为过滤条件。
通过设置适当的过滤器，我们可以只关注我们感兴趣的数据包，而忽略其他不相关的数据。
一旦我们捕获了数据包，我们就可以开始进行协议分析了。
Wireshark提供了许多工具和功能来帮助我们分析协议。
其中一个很有用的功能是重构TCP流。
当网络中的数据包是以多个片段的形式传输时，Wireshark可以将它们重新组装成完整的数据流，以便我们更好地分析和理解通信内容。
此外，Wireshark还可以对数据包进行解码。
它支持解码多种网络协议，包括TCP/IP、UDP、HTTP、DNS等。
通过解码数据包，我们可以查看每个协议中的字段和值，以便更好地理解和分析网络通信过程。
在分析数据包时，我们还可以使用Wireshark提供的统计功能。
Wireshark可以统计网络中的数据包数量、协议类型、数据包大小等信息，并以图表的形式展示。
通过分析这些统计信息，我们可以了解网络的负载情况、流量模式以及网络性能状况。
除了基本的协议分析功能外，Wireshark还支持操作和导出数据包。
我们可以对数据包进行重发、制作过滤器、设置标记等操作。
Wireshark抓包实验
Wireshark抓包实验⼀、实验名称利⽤Wireshark抓包并分析 TCP/IP 协议⼆、实验⽬的通过实验，了解和掌握报⽂捕获⼯具 Wireshark 的使⽤⽅法和基本特点，使⽤ Wireshark 捕获⽹络报⽂，并分析各种⽹络协议的报⽂格式和⼯作过程。
三、实验内容使⽤ Wireshark 捕获⽹络报⽂，分析以太⽹、ARP、IP、TCP、DNS 和 HTTP 等协议的报⽂格式和⼯作过程。
四、实验步骤DNS分析在 cmd 下运⾏：nslookup –type=Anslookup –type=NS nslookup –type=MX nslookup –type=A 然后⽤Wireshark捕获报⽂并分析DNS和UDP协议的报⽂格式和⼯作过程。
ICMP分析在cmd下运⾏pingtracert然后⽤Wireshark捕获报⽂并分析 ICMP 报⽂格式和⼯作过程。
TCP/IP分析a) 在浏览器输⼊ ⽹址后，然后⽤ Wireshark 捕获报⽂并分析HTTP，TCP，IP，ARP和以太⽹等协议的报⽂格式和⼯作过程。
b) 运⾏各⾃编写的 UDP 和 TCP 客户/服务器程序并进⾏抓包分析。
五、实验结果及分析（⼀）DNS分析通过ipconfig命令查看IP、⽹关地址IP地址192.168.43.217默认⽹关192.168.43.1DNS报⽂格式DNS分析⼤体相同，就选择其⼀进⾏分析1.在cmd下运⾏nslookup -type=A ⾮权威应答：110.53.188.133 113.247.230.248 202.197.9.133应答服务器地址为192.168.43.1，为默认⽹关地址利⽤wireshark进⾏抓包分析，筛选DNS报⽂，本次运⾏有4个DNS报⽂，可以看出对应请求包和响应包的源IP与⽬的IP刚好相反。
Query这是⼀个请求报⽂。
⾸先主机发送⼀个 DNS 报⽂。
DNS 采⽤ UDP 协议⽀持。
实验5使用Wireshark分析IP协议
实验五使用Wireshark分析IP协议一、实验目的1、分析IP协议2、分析IP数据报分片二、实验环境与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。
三、实验步骤IP协议是因特网上的中枢。
它定义了独立的网络之间以什么样的方式协同工作从而形成一个全球户联网。
因特网内的每台主机都有IP地址。
数据被称作数据报的分组形式从一台主机发送到另一台。
每个数据报标有源IP地址和目的IP地址，然后被发送到网络中。
如果源主机和目的主机不在同一个网络中，那么一个被称为路由器的中间机器将接收被传送的数据报，并且将其发送到距离目的端最近的下一个路由器。
这个过程就是分组交换。
IP允许数据报从源端途经不同的网络到达目的端。
每个网络有它自己的规则和协定。
IP能够使数据报适应于其途径的每个网络。
例如，每个网络规定的最大传输单元各有不同。
IP允许将数据报分片并在目的端重组来满足不同网络的规定。
打开已俘获的分组，分组名为：dhcp_isolated.cap。
感兴趣的同学可以在有动态分配IP的实验环境下俘获此分组，此分组具体俘获步骤如下：1、使用DHCP获取IP地址（1）打开命令窗口,启动Wireshark。
（2）输入“ipconfig /release”。
这条命令会释放主机目前的IP地址，此时，主机IP 地址会变为0.0.0.0（3）然后输入“ipconfig /renew”命令。
这条命令让主机获得一个网络配置，包括新的IP地址。
（4）等待，直到“ipconfig /renew”终止。
然后再次输入“ipconfig /renew” 命令。
（5）当第二个命令“ipconfig /renew” 终止时，输入命令“ipconfig/release” 释放原来的已经分配的IP地址（6）停止分组俘获。
如图1所示：图1：Wireshark俘获的分组下面，我们对此分组进行分析：IPconfig 命令被用于显示机器的IP地址及修改IP地址的配置。
wireshark抓包分析
wireshark抓包分析Wireshark抓包分析是一种网络安全技术，通过对网络数据包的捕捉和分析，可以深入了解网络通信过程中所传输的数据内容和各层协议的运行情况。
本文将从Wireshark抓包的基本原理、抓包的过程、常见应用场景以及分析方法等方面进行详细介绍。
首先，我们来了解一下Wireshark抓包的基本原理。
Wireshark是一款开放源代码的网络协议分析工具，可以在不同的操作系统上运行。
它使用网络接口（如网卡）来捕捉通过该接口的数据包，并对数据包进行解析和展示。
通过Wireshark的捕包功能，我们可以观察和分析网络通信过程中发送和接收的数据包，从而深入了解网络的运行情况和数据内容。
要进行Wireshark抓包，首先需要安装Wireshark软件，并打开它的图形界面。
在Wireshark的主界面上，我们可以选择要进行抓包的接口，如以太网、无线网卡等。
选择好接口后，点击开始按钮即可开始抓包。
在抓包过程中，Wireshark会实时捕捉到通过选择的接口发送和接收的数据包，并以列表的形式展示出来。
Wireshark抓包可以应用于各种网络场景中，例如网络故障排查、网络性能优化、网络安全分析等。
在网络故障排查方面，我们可以通过抓包分析来确定网络中出现的故障原因，找出导致网络延迟、丢包或连接中断的根源。
在网络性能优化方面，我们可以通过抓包分析来评估网络的带宽使用情况，找出网络瓶颈所在，并采取相应的措施来提高网络性能。
在网络安全分析方面，我们可以通过抓包分析来检测和识别网络中的恶意流量和攻击行为，以及监测网络中的异常行为和数据泄露等情况。
对于Wireshark抓包的分析方法，首先我们可以从数据包的基本信息入手，了解到达和离开主机的数据包的源地址和目的地址。
通过IP地址和端口号的对应关系，我们可以知道数据包的发送者和接收者，以及它们之间建立的连接。
其次，我们可以进一步分析数据包的内容，了解TCP、UDP、HTTP等各个层次的协议头的具体内容和传输过程。
Wireshark对DHCP建立过程进行抓包分析
DHCP:Dynamic Host Configuration Protocol 给主机动态的分配IP地址DHCP Server ：UDP67DHPC Client：UDP68DHCP服务器分配IP的过程：1.DHCP客户端发送DHCP Discover消息，广播，请求分配IP2.DHCP服务器提供DHCP Offer消息，回应，表示可提供IP3.DHCP客户端发送DHCP Request消息，选定一个服务器，并请求IP租用4.DHCP服务器发送ACK消息，确认地址租用给客户端Wireshark过滤命令：bootp技巧：1.采用断开网络再连接2.win+R——CMD——输入ipconfig /release断开连接，输入ipconfig /renew重连Wireshark抓包对DHCP IP分配过程进行分析：1.DHCP客户端以广播的形式发送Discover请求IP租用2.范围内的DHCP服务器接收到discover请求后，会向客户端发出DHCP Offer报文作为回应，该报文包含该DHCP服务器可向DHCP客户端提供的IP地址以及该DHCP服务器自己的IP地址信息3.DHCP客户端会选择最先接收到的DHCP Offer进行处理，并以广播的形式发送DHCP Request报文，该报文会加入对应DHCP服务器的地址以及所需要的IP4.DHCP服务器接收到DHCP Request报文后，会判断报文中的服务器IP是否与自己相同。
如果不同，不做任何处理，只清除相应的IP分配记录；如果相同，服务器会向客户端发送ACK报文，确认可以使用，并且附上相应的租期。
5.DHCP客户端接收到ACK信息后，会检查该IP是否能够使用，如果可以就直接使用该IP并使用租期自动启用延续过程。
如果发现IP已被使用，则发送DHCP Decline报文告知服务器禁用该IP然后重新发起Discover。
6.当租期不到1/2左右时候，如果还要继续使用该IP，客户端会自动向服务器发起续租请求报文Request报文，服务器会向客户端发送ACK报文确认。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Wireshark分析DHCP协议
一，动态主机配置协议DHCP
1,DHCP简介
DHCP(Dynamic Host Configuration Protocol),动态主机配置协议，是一个应用层协议。
当我们将客户主机ip地址设置为动态获取方式时，DHCP服务器就会根据DHCP 协议给客户端分配IP，使得客户机能够利用这个IP上网。
DHCP的前身是BOOTP协议（Bootstrap Protocol）,BOOTP被创建出来为连接到网络中的设备自动分配地址，后来被DHCP取代了，DHCP比BOOTP更加复杂，功能更强大。
后面可以看到，在用Wireshark过滤显示DHCP包，需要输入过滤条件BOOTP，而不是DHCP,但或许是因为我使用的Wireshark版本是比较旧的1.12.9,没有在新版本中尝试过，也许可以输入DHCP让其只显示DHCP包。
2，DHCP的实现
DHCP的实现分为4步，分别是：
第一步：Client端在局域网内发起一个DHCP Discover包，目的是想发现能够给它提供IP的DHCP Server。
第二步：可用的DHCP Server接收到Discover包之后，通过发送DHCP Offer包给予Client端应答，意在告诉Client端它可以提供IP地址。
第三步：Client端接收到Offer包之后，发送DHCP Request包请求分配IP。
第四步：DHCP Server发送ACK数据包，确认信息。
二，利用Wireshark抓取DHCP包
1,分析
要想抓取到DHCP包，先要保证有可用的DHCP服务器，然后将主机IP地址获取方式设置为自动获取。
如果主机在抓包之前已经联网，需要先断开主机的网络连接，然后再连接网络。
在cmd下使用命令ipconfig来完成网络断开与连接的过程：ipconfig /release 断开主机当前的网络连接
ipconfig /renew 请求连接网络
在cmd中可以使用ipconfig /?查看各参数的含义：
(1)ipconfig /release
断开当前的网络连接，主机IP变为0.0.0.0，主机与网络断开，不能访问网络。
(2)ipconfig /renew
更新适配器信息，请求连接网络，这条命令结束之后，主机会获得一个可用的IP，再次接入网络。
2,开始抓包
实验环境：Win10,Wireshark1.12.9，有线连接
(1)在Wireshark中点击start开始抓包，在过滤栏输入bootp，使其只显示DHCP 数据包。
(2)在cmd中输入ipconfig /release 断开网络连接。
可以看到此时所有的网卡都已经断开。
以太网处于断开状态。
Wireshark中截获到一个DHCP Release数据包。
(3)在cmd中输入ipconfig /renew 请求网络连接。
此时，可以看到在Wireshark中新增了4个DHCP数据包：
数据包1：DHCP Discover
数据包2：DHCP Offer
数据包3：DHCP Request
数据包4：DHCP ACK
等待这条命令执行完毕之后，在cmd中可以看到主机被分配了IP，主机成功连入网络中。
(4)为了后续分析使用，我们再执行一次ipconfig /renew：
可以看到Wireshark中新增了3个数据包：DHCP ACK；DHCP Request;DHCP ACk。
如果再次使用ipconfig /renew,每执行一次会新增2个数据包：DHCP Request;DHCP ACk。
三，DHCP包分析
下面着重来分析当执行，ipconfig /renew这条命令产生的4个DHCP数据包，这4个数据包代表了客户机和DHCP服务器的交互过程，也是IP动态分配的过程。
1，DHCP Discover数据包
(1)Client端使用IP地址0.0.0.0发送了一个广播包，可以看到此时的目的IP为
255.255.255.255。
Client想通过这个数据包发现可以给它提供服务的DHCP服务器。
(2)从下图可以看出，DHCP属于应用层协议，它在传输层使用UDP协议，目的端口
是67。
2，DHCP Offer包
当DHCP服务器收到一条DHCP Discover数据包时，用一个DHCP Offerr包给予客户端响应。
(1)DHCP服务器仍然使用广播地址作为目的地址，因为此时请求分配IP的Client并
没有自己ip,而可能有多个Client在使用0.0.0.0这个IP作为源IP向DHCP服务器发出IP 分配请求，DHCP也不能使用0.0.0.0这个IP作为目的IP地址，于是依然采用广播的方式，告诉正在请求的Client们，这是一台可以使用的DHCP服务器。
(2)DHCP服务器提供了一个可用的IP,在数据包的Your (client) IP Address字段可以看到DHCP服务器提供的可用IP。
(3)除此之外，如图中红色矩形框的内容所示，服务器还发送了子网掩码，路由器，DNS，域名，IP地址租用期等信息。
3，DHCP Request包
当Client收到了DHCP Offer包以后（如果有多个可用的DHCP服务器，那么可能会收到多个DHCP Offer包），确认有可以和它交互的DHCP服务器存在，于是Client 发送Request数据包，请求分配IP。
此时的源IP和目的IP依然是0.0.0.0和255.255.255.255。
4，DHCP ACK包
服务器用DHCP ACK包对DHCP请求进行响应。
在数据包中包含以下信息，表示将这些资源信息分配给Client.
Your(client) IP address:分配给Client的可用IP。
后面有许多项option信息，前两项是DHCP服务器发送的消息类型（ACK）和服务器的身份标识，后面几项是：
Subnet Mask:Client端分配到的IP的子网掩码；
Router:路由器
Domain Name Server:DNS,域名服务器
Domain Name:域名
IP Address Lease Time:IP租用期。