网络数据包的捕获与协议分析知识分享
数据包的捕获与分析
pcap_setfilter() 设置过滤器
pcap_next_ex() 循环捕获数据包
PacketHandler() 处理数据包
pcap_freealldevs() 关闭网络设备
网络安全编程技术
第3讲：数据包的捕获与分析
任德斌
本讲编程训练目标
编程实现一个协议分析器。该协议分析器将包 含以下几部分功能 ：
1. 2. 3. 4.
数据采集——捕捉Ethernet网络数据包； 解析Ethernet网数据帧头部的全部信息； 解析IP数据包的头部信息； 解析TCP和UDP包的头部信息；
14
2. 进行协议分析
目的：对抓获的包进行分析，是不是ip包， ip的头部各个字段是什么，是不是tcp或udp 报文等待？ 故首先我们需要对ip，tcp和udp等协议有所 了解，特别是它们的头部字段。
15
2.1 TCP/IP协议族中的协议
用户进程 用户进程 用户进程 用户进程 应用层
TCP
UDP
2
主要内容
用原始Socket抓包 进行协议分析 使用开发工具包WinPcap抓包
3
1. 用原始Socket抓包流程
1. 2.
3. 4. 5.
创建原始Socket 获取一个需要监听网络接口的ip地址，并 绑定（必须要显示绑定） 设置网卡为混杂模式 开始循环接收数据 关闭Socket
4
关键代码1：创建原始Socket
12
阅读p227-229的代码 课后请上机测试，并运行 注意：编译时可能报错，找不到头文件 mstcpip.h，请自己上网查找资料来解决。
实践三网络嗅探与协议分析
实践三⽹络嗅探与协议分析⽹络嗅探与协议分析1. 每个⼈找⼀个抓包软件，分析其功能，设计的模块等，着重使⽤和分析，不建议⽤wireshark，编译过程可能⽐较难，也可挑战（1）⾸先我们要清楚抓包的原理。
⽹络数据包捕获的原理：以太⽹（Ethernet）具有共享介质的特征，信息是以明⽂的形式在⽹络上传输，当⽹络适配器设置为监听模式（混杂模式，Promiscuous）时，由于采⽤以太⽹⼴播信道争⽤的⽅式，使得监听系统与正常通信的⽹络能够并联连接，并可以捕获任何⼀个在同⼀冲突域上传输的数据包。
winpcap抓包原理：WinPcap 包括三个部分：NPF(Netgroup Packet Filter)、packet.dll和Wpcap.dll。
packet.dll直接映射了内核的调⽤。
Wpcap.dll提供了更加友好、功能更加强⼤的函数调⽤。
WinPcap的优势是提供了⼀套标准的抓包接⼝，与libpcap兼容，可使得原来许多UNIX平台下的⽹络分析⼯具快速移植过来便于开发各种⽹络分析⼯具，充分考虑了各种性能和效率的优化，包括对于NPF内核层次上的过滤器⽀持，⽀持内核态的统计模式，提供了发送数据包的能⼒。
（2）其次，我们需要清楚经典的ISO/OSI参考模型与TCP/IP模型（3）最后我们来分析我找到的⼀个基于winpcap的抓包⼯具winpcap(windows packet capture)是windows平台下⼀个免费，公共的⽹络访问系统。
我们常⽤的wireshark软件是基于winpcap的，winpcap可直接开发基于⽹络底层协议的应⽤程序。
本程序设计流程1、由于winpcap是基于⽹卡的数据获取，所以先获取正确的⽹卡2、打开选择的⽹卡设备3、启动抓包相关接⼝介绍1、int pcap_findalldevs(pcap_if_t **, char *);//获取所有⽹络设备，保存于pcap_if_t 指向的内存空间2、void pcap_freealldevs(pcap_if_t *); // 清空所有⽹络设备3、pcap_t *pcap_open(const char *source, // 获取的设备名int snaplen, //要捕捉的数据包的部分int flags, // 模式int read_timeout,// 超时时间struct pcap_rmtauth *auth, // 远程机器验证char *errbuf);// 错误缓冲池4、void pcap_close(pcap_t *);//关闭设备5、pcap_compile(pCap, &fcode, filter, 1, NetMask)6、pcap_setfilter(pCap, &fcode)// 设置过滤规则7、int pcap_next_ex(// 从interface或离线记录⽂件获取⼀个报⽂pcap_t *,struct pcap_pkthdr **, // 报⽂头，包含mac地址const u_char **);//报⽂内容具体分析⽹卡选择AdapaterSelection.cpp⽂件中OnInitDialog()⽤于选择⽹卡功能的实现m_pDev变量定位获取到的⽹卡名称，如下pcap_if_t* CAdapaterSelection::getDevice(){if(m_pDev == NULL)return NULL;return m_pDev;}HTREEITEM是树中节点的句柄，也就是⼀个DWORD值，在树中唯⼀标识⼀个节点。
TCP-IP协议和抓包分析
TCP-IP协议和抓包分析1．数据包1）OSI 参考模型：起源：没有标准通信协议造成的混乱目标：定义各种网络节点间的通信的框架目的：通信标准，解决异种网络互连时所遇到的兼容性问题优点：各层互不干扰；简化开发；快速定位网路故障各层的功能及相关协议：封装和解封装：封装：将上层交给自己的数据包（泛指各种PDU）放进一个或多个本层能理解的数据包的Data部分，并为这些数据包填充适当的头部字段信息，然后将装配好的数据包交给下一层。
解封装：从下层接过本层能理解的数据包，然后去掉本层的数据包头部字段，将Data 部分传给上一层。
2）DOD 模型（TCP/IP 协议族）：3）对应关系4）数据包：a. TCP 头部：b. UDP 头部：c. IP 头部：5）TCP 协议三次握手过程的描述：过程简述：1）服务器应用启动，建立相应的TCB,进入LISTEN状态；2）客户端向服务器端发送一个TCP段，该段设置SYN标识，请求跟服务器端应用同步，之后进入SYN-SENT状态，等待服务器端的响应；3）服务器端应用收到客户端的SYN段之后，发送一个TCP段响应客户端，该段设置SYN和ACK标识，告知客户端自己接受它的同步请求，同时请求跟客户端同步。
之后进入SYN-RECEIVED状态；4）客户端收到服务器端的SYN+ACK段之后，发送一个TCP段，该段设置ACK标识，告知服务器端自己接受它的同步请求。
之后，进入ESTABLISHED状态；5）服务器端应用收到客户端的ACK段之后，进入ESTABLISHED状态。
到此，客户端跟服务器端的TCP连接就建立起来了。
6）TCP/UDP 协议之比较：7) TCP 状态机：解释：TCP 连接建立的两种方式：A）常规的三次握手方式：见5）TCP 协议三次握手过程的描述B）同步开放方式：1) 服务器应用启动，建立相应的TCB,进入LISTEN状态；2）客户端向服务器端发送一个TCP段，该段设置SYN标识，请求跟服务器端应用同步，之后进入SYN-SENT状态，等待服务器端的响应；3）服务器端应用收到客户端的SYN段之后，发送一个TCP段响应客户端，该段设置SYN，告知客户端自己请求跟它同步。
网络数据包捕获的原理
网络数据包捕获的原理网络数据包捕获的原理是通过网络抓包工具拦截和截获网络中传输的数据包，以便对网络数据流进行分析、监控和诊断。
下文将从网络数据包的传输过程、网络数据包捕获的工作原理、常用的网络数据包捕获工具以及网络数据包捕获的应用等方面展开阐述。
首先，我们来了解一下网络数据包的传输过程。
在电脑与服务器等网络设备之间进行通信时，数据被拆分成小的数据包进行传输，每个数据包都包含一个数据包头部和数据包正文。
数据包头部包含了一些描述该数据包特征的信息，比如源IP 地址、目的IP地址、协议类型、源端口号、目的端口号等。
数据包正文则是实际的数据内容。
网络数据包捕获工具的原理是在网络的某个位置上，通过特殊的网络设备或软件来监视网络流量，拦截和记录通过网络传输的数据包。
它首先需要在目标网络节点上建立一个监控点或者进行镜像，以便能够捕获经过该点的所有数据包。
然后，它会将捕获到的数据包进行过滤和存储，以便后续的分析和处理。
常见的网络数据包捕获工具包括Wireshark、tcpdump、WinPcap等。
以Wireshark为例，它是一款开源的网络封包分析软件，可以在多个平台上运行。
Wireshark可以通过网络适配器捕获网络数据包，并提供可视化的界面来展示捕获到的数据包的详细信息。
它支持多种过滤器来对捕获的数据包进行筛选，提供了丰富的统计和显示功能，方便用户进行网络流量分析、协议分析和问题排查。
网络数据包捕获的应用十分广泛。
首先，它可以用于网络流量分析。
通过捕获和分析网络数据包，可以了解网络中的通信行为，包括通信的协议、源和目的地址、端口号等信息，从而帮助管理员有效监控网络流量，检测和排查网络问题，优化网络性能。
其次，网络数据包捕获也可以用于网络安全监控和入侵检测。
通过捕获和分析网络数据包，可以发现和识别网络中的恶意行为，比如端口扫描、DDoS攻击、数据包欺骗等，从而及时采取相应的防护和应对措施，提高网络的安全性。
网络协议分析与抓包工具
网络协议分析与抓包工具在当今数字化时代，网络已经成为人们生活和工作中必不可少的一部分。
而网络协议作为网络通信的基础，对于保障网络的稳定和安全至关重要。
为了更好地了解网络协议的工作原理以及网络传输过程中的数据包信息，人们研发了各种抓包工具。
本篇文章将对网络协议的基本概念进行分析，并介绍几种常用的抓包工具。
一、网络协议的基本概念1.网络协议的定义网络协议是指在计算机网络中，为了使网络中的不同设备能够相互通信而共同遵循的一系列规则和规范。
它定义了数据的格式、传输速率、传输步骤等相关要素，实现了网络中各个设备之间的可靠通信。
2.网络协议的分类网络协议可以根据其功能和层次进行分类。
根据功能可分为通信协议、路由协议、安全协议等；根据层次可分为物理层协议、数据链路层协议、网络层协议、传输层协议和应用层协议等。
3.网络协议的工作原理网络协议的工作原理是通过发送和接收数据包来实现。
数据包是网络中传输的基本单位，其中包含了源地址、目标地址、数据信息等。
发送端通过网络协议对数据包进行封装和编码，然后发送给接收端。
接收端通过解码和解封装过程获取数据包中的信息。
二、常用的抓包工具1. WiresharkWireshark是一个开源的网络协议分析工具，它能够在网络上捕获数据包信息，并对其进行详细分析。
Wireshark支持多种协议的解析，并提供了强大的过滤和显示功能，方便用户进行网络故障排查和性能优化。
2. tcpdumptcpdump是一个命令行下的抓包工具，它可以抓取网络数据包并将其保存为文件或直接打印出来。
tcpdump支持各种协议的抓包，用户可以根据自己的需求进行过滤和捕获特定数据包的操作。
tcpdump在网络调试和安全漏洞检测等方面具有广泛的应用。
3. TsharkTshark是Wireshark的命令行版本，它可以用于自动化捕获和分析网络数据包。
通过使用Tshark，用户可以脱离图形界面，实现对网络流量的实时分析和监控。
网络层数据包抓包分析
网络层数据包抓包分析引言：在计算机网络中，网络层是由网络协议和路由器实现的一种协议层，用于在不同的网络之间进行数据传输。
网络层数据包抓包分析是一种技术，通过捕获网络流量来分析和诊断网络通信问题。
本文将介绍网络层数据包抓包分析的背景、工具和实际应用，帮助读者理解并运用该技术。
一、背景在计算机网络中，网络层是实现数据传输的核心部分。
网络层负责将传输层的数据分组打包成数据包，并根据网络地址将它们发送到目标主机或网络。
网络层数据包抓包分析可以帮助我们深入了解网络中的数据传输过程，以及定位和解决网络通信故障。
二、工具1. WiresharkWireshark是一款开源的网络协议分析工具，可以捕获和解析网络数据包。
它支持多种协议，包括Ethernet、IP、TCP和UDP等。
Wireshark可以在各种操作系统上运行，并且提供了丰富的过滤和统计功能，便于对网络流量进行分析和排查问题。
2. tcpdumptcpdump是一个命令行工具，用来捕获和分析网络数据包。
它可以在多种操作系统上使用，并且支持各种网络协议。
tcpdump可以通过命令行参数进行不同层次、不同协议的过滤，并将捕获的数据包保存到文件中，方便后续分析。
3. WinPcapWinPcap是一个Windows平台上的网络抓包库，它提供了一个对网络数据包进行捕获和处理的接口。
许多网络抓包工具都基于WinPcap开发，包括Wireshark和tcpdump等。
通过使用WinPcap，可以在Windows系统上进行网络数据包的抓包分析工作。
三、实际应用1. 诊断网络问题网络层数据包抓包分析可以帮助诊断网络通信问题，如网络延迟、丢包、带宽不足等。
通过捕获网络数据包，我们可以分析数据包的发送和接收时间、路径以及传输速率等信息，从而确定问题的原因，并采取相应的措施进行修复。
2. 监控网络流量网络层数据包抓包分析还可以用于监控网络流量，了解网络中不同主机之间的通信情况。
计算机网络练习之使用WireShark捕获和分析数据包
以太帧和ARP包协议分析实验一、目的1、理解以太帧格式2、理解ARP协议格式和ARP 协议的工作原理二、实验类型验证类实验三、实验步骤一：运行wireshark开始捕获数据包，如图所示点击第二行的start开始捕获数据包。
启动界面：抓包界面的启动是按file下的按钮（或capture下的interfaces）之后会出现这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包。
（捕捉本地连接对应的网卡，可用ipconfig/all 查看）二：几分钟后就捕获到许多的数据包了，主界面如图所示：如上图所示，可看到很多捕获的数据。
第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为0.000秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。
选中第一个数据帧，然后从整体上看看Wireshark的窗口，主要被分成三部分。
上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。
三：开始分析数据1.打开“命令提示符”窗口，使用“arp -a”命令查看本地计算机ARP高速缓存。
2.使用“arp -d”命令清除本地计算机ARP高速缓存，再使用“arp -a”命令查看。
此时，本地计算机ARP高速缓存为空。
3.在下图中Filter后面的编辑框中输入：arp（注意是小写），然后回车或者点击“Apply”按钮将计算机与数据设备相连（3928或路由器），参见静态路由配置。
3.此时，网络协议分析软件开始捕获数据，在“命令提示符”窗口中PING同一子网中的任意主机。
（计算机Aping计算机B）因为PING命令的参数为IP地址，因此使用PING命令前，需要使用ARP机制将IP地址转换为MAC地址，这个过程用户是无法感知的。
因为我们在使用PING命令前已经开始网络数据包捕获，因此，此时网络协议分析软件将捕获到ARP解析数据包。
抓包基础知识
抓包，也称为网络抓包或网络包分析，是一种网络诊断和调试的重要工具。
以下是关于抓包的基础知识：1. 抓包的概念：抓包是指通过网络协议分析工具（如Wireshark）捕获网络上的数据包，并对其进行解码和分析的过程。
通过抓包，可以了解网络中数据包的类型、内容和传输过程。
2. Wireshark：Wireshark是一款流行的开源网络协议分析器，是抓包工具中最常用的软件之一。
它能够捕获网络上的数据包，并按照协议标准进行解码，使得用户能够了解网络中数据包的详细信息。
3. 抓包的基础知识：抓包需要一定的网络知识和工具使用技能。
在抓包之前，需要确保具有足够的权限，以便能够捕获网络上的数据包。
通常需要安装在网络交换机或路由器上，以便能够捕获所有通过该设备的网络流量。
在抓包过程中，需要了解常见的网络协议，如TCP、UDP、HTTP等，以便能够正确解码数据包。
此外，还需要了解常见的网络攻击手段和防御措施，以便能够通过抓包分析异常行为，并采取相应的措施进行防御。
抓包可以用于以下场景：1. 网络故障诊断：通过抓包可以分析网络故障的原因，例如网络延迟、丢包等问题。
通过分析数据包的内容和传输过程，可以找到问题的根源。
2. 网络安全分析：通过抓包可以分析网络中的恶意行为，例如攻击者发送的恶意数据包或恶意软件。
通过分析这些数据包，可以发现攻击者的行为和攻击手段，并采取相应的措施进行防御。
3. 开发与调试：对于开发人员和测试人员来说，通过抓包可以分析应用程序的网络传输过程，并验证应用程序的功能和性能。
通过分析数据包的内容和传输过程，可以发现潜在的问题和漏洞，并采取相应的措施进行修复。
需要注意的是，抓包是一项敏感操作，需要遵守法律法规和道德准则，并尊重他人的隐私和权利。
在进行抓包之前，需要获得合法的授权和许可，并确保不会侵犯他人的合法权益。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
网络数据包的捕获与
协议分析
实验报告
（ 2016 / 2017 学年第一学期）
题目：网络数据包的捕获与协议分析
专业计算机科学与技术
学生姓名张涛
班级学号 14210133
指导教师江中略
指导单位计算机系统与网络教学中心
日期 2016.10.31
实验一：网络数据包的捕获与协议分析
一、实验目的
1、掌握网络协议分析工具Wireshark的使用方法，并用它来分析一些协议；
2、截获数据包并对它们观察和分析，了解协议的运行机制。
二、实验原理和内容
1、tcp/ip协议族中网络层传输层应用层相关重要协议原理
2、网络协议分析工具Wireshark的工作原理和基本使用规则
三、实验环境以及设备
Pc机、双绞线、局域网
四、实验步骤
1.用Wireshark观察ARP协议以及ping命令的工作过程：
（1）打开windows命令行，键入“ipconfig -all”命令获得本机的MAC地址和缺省路由器的IP地址；结果如下：
（2）用“arp -d”命令清空本机的缓存；结果如下
（3）开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包。
（4）执行命令：ping ,观察执行后的结果并记录。
此时，Wireshark所观察到的现象是:(截图表示)
2.设计一个用Wireshark捕获HTTP实现的完整过程，并对捕获的结果进行分
析和统计。
（截图加分析）
3.设计一个用Wireshark捕获ICMP实现的完整过程，并对捕获的结果进行分
析和统计。
要求：给出捕获某一数据包后的屏幕截图。
以16进制形式显示其包的内容，并分析该ICMP报文。
（截图加分析）
0000 6c 71 d9 3f 70 0b 78 eb 14 11 da b2 08 00 45 00
lq.?p.x. ......E.
0010 00 44 e4 9d 00 00 31 01 f7 11 6a 03 81 f3 c0
a8 .D....1. ..j.....
0020 01 6b 03 0a ab 1a 00 00 00 00 45 00 00 28 68
29 .k...... ..E..(h)
0030 40 00 73 06 f1 9c c0 a8 01 6b 6a 03 81 f3 e9 df
@.s..... .kj.....
0040 01 bb e1 58 0a 8d 93 e6 e0 94 50 11 01 01 b4
cc ...X.... ..P.....
0050 00 00 ..
4. 设计一个用Wireshark捕获IP数据包的过程，并对捕获的结果进行分析和统计（截图加分析）
要求：给出捕获某一数据包后的屏幕截图。
以16进制形式显示其包的内容，并分析在该数据包中的内容：版本首部长度、服务类型、总长度、标
识、片偏移、寿命、协议、源Ip地址、目的地址
版本首部长度：version:4 headlength:20 bytes
服务类型:Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
总长度:Total Length: 40
标识:Identification: 0x303e (12350)
片偏移: fragment offset:0
寿命:time to live:128
协议:protocol:tcp(6)
源Ip地址:Source: 192.168.1.105
目的地址:Destination: 112.80.248.73
五、实验总结
基本掌握了Wireshark软件的使用方法，包括抓包、筛选过滤目标数据包以及对数据包中的各层协议进行分析。