实验三 网络数据包的捕获与分析
实验三网络数据包的捕获与分析
实验三 网络数据包的捕获与分析一、实验目的和要求通过本次实验，了解sniffer 的基本作用，并能通过sniffer 对指定的网络行为所产生的数据包进行抓取，并分析所抓取的数据包。
二、实验内容A ：1、首先打开sniffer 软件，对所要监听的网卡进行选择2、选择网卡按确定后，进入sniffer 工作主界面，对主界面上的操作按钮加以熟悉。
B ：设置捕获条件进行抓包基本的捕获条件有两种：1、链路层捕获，按源MAC 和目的MAC 地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。
2、IP 层捕获，按源IP 和目的IP 进行捕获。
输入方式为点间隔方式，如：10.107.1.1。
如果选择IP 层捕获条件则ARP 等报文将被过滤掉。
链任意捕获条件编辑协议捕获编辑缓冲区编辑基本捕获条件路层捕获IP 层捕获数据流方向链路层捕获地址条件高级捕获条件在“Advance ”页面下，你可以编辑你的协议捕获条件，如图：选择要捕获的协议捕获帧长度条件错误帧是否捕获保存过滤规则条件高级捕获条件编辑图在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。
在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。
在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。
在保存过滤规则条件按钮“Profiles”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。
C：捕获报文的察看：Sniffer软件提供了强大的分析能力和解码功能。
如下图所示，对于捕获的报文提供了一个Expert专家分析系统进行分析，还有解码选项及图形和表格的统计信息。
专家分析系统专家分析系统捕获报文的图形分析捕获报文的其他统计信息专家分析专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。
在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。
任务三计算机网络实验IP数据报捕获与分析
任务三计算机网络实验IP数据报捕获与分析一、实验目的本实验的目的是通过使用网络抓包工具捕获IP数据报，了解IP协议的工作过程，分析数据报的结构和内容。
二、实验设备和工具1.计算机2.网络抓包工具：Wireshark三、实验原理IP（Internet Protocol）是网络层的核心协议，在互联网中承担着数据包的传输任务。
IP协议负责将数据包从源主机传输到目标主机，保证数据在不同主机之间的正确传输。
IP数据报是IP协议传输的基本单位，由IP头和数据部分组成。
IP头部包含以下重要字段：1.版本（4位）：表示IP协议的版本号，IPv4为4，IPv6为62.首部长度（4位）：表示IP头部的长度，以32位的字节为单位。
3.区分服务（8位）：用于标识优先级和服务质量等信息。
4.总长度（16位）：指明整个IP数据报的长度。
5.标识（16位）：用于标识同一个数据报的分片。
6.标志位（3位）：标记是否进行数据报的分片。
7.片偏移（13位）：表示数据报组装时的偏移量。
8.生存时间（8位）：表示数据报在网络中的存活时间。
9.协议（8位）：指明IP数据报中携带的数据部分所使用的协议，如TCP、UDP等。
10.头部校验和（16位）：用于对IP头部的校验。
11.源IP地址（32位）：指明数据报的发送者的IP地址。
12.目的IP地址（32位）：指明数据报的目标IP地址。
四、实验步骤1.安装Wireshark软件。
2.打开Wireshark软件，选择需要进行抓包的网络接口。
3.点击“开始”按钮，开始抓包。
4.进行相关网络操作，产生数据包。
5.停止抓包。
6.选中其中一个数据包，进行分析。
五、数据包分析Wireshark软件可以对捕获到的数据包进行详细的分析，提供了丰富的信息和统计数据。
以下是对数据包的一些常规分析内容：1.源IP地址和目的IP地址：根据协议规定，每个IP数据报必须携带源IP地址和目的IP地址，通过分析这两个字段可以确定数据包的发送方和接收方。
捕获法实验报告
一、实验目的1. 理解捕获法的基本原理及其在通信过程中的应用。
2. 掌握使用Wireshark等工具进行数据包捕获的方法。
3. 学习分析捕获到的数据包，了解网络协议的工作机制。
4. 培养实际操作能力和问题解决能力。
二、实验环境1. 实验设备：电脑一台、网络连接线一根。
2. 实验软件：Wireshark网络分析工具。
3. 实验网络：以太网。
三、实验内容1. 实验一：捕获并分析HTTP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。
（2）在过滤栏中输入“http”，只捕获HTTP协议的数据包。
（3）观察并分析捕获到的HTTP数据包，包括请求和响应内容、请求方法、URL、状态码等信息。
（4）分析实验过程中可能遇到的问题，如数据包捕获失败、数据包内容不完整等，并提出解决方案。
2. 实验二：捕获并分析DNS数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。
（2）在过滤栏中输入“dns”，只捕获DNS协议的数据包。
（3）观察并分析捕获到的DNS数据包，包括查询类型、域名、响应代码等信息。
（4）分析实验过程中可能遇到的问题，如DNS解析失败、DNS数据包丢失等，并提出解决方案。
3. 实验三：捕获并分析TCP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。
（2）在过滤栏中输入“tcp”，只捕获TCP协议的数据包。
（3）观察并分析捕获到的TCP数据包，包括源端口、目的端口、序列号、确认号、窗口大小、标志位等信息。
（4）分析实验过程中可能遇到的问题，如TCP连接失败、数据包丢失等，并提出解决方案。
4. 实验四：捕获并分析ICMP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。
（2）在过滤栏中输入“icmp”，只捕获ICMP协议的数据包。
（3）观察并分析捕获到的ICMP数据包，包括类型、代码、校验和等信息。
（4）分析实验过程中可能遇到的问题，如ICMP请求未响应、数据包丢失等，并提出解决方案。
计算机网络练习之使用WireShark捕获和分析数据包
以太帧和ARP包协议分析实验一、目的1、理解以太帧格式2、理解ARP协议格式和ARP 协议的工作原理二、实验类型验证类实验三、实验步骤一：运行wireshark开始捕获数据包，如图所示点击第二行的start开始捕获数据包。
启动界面：抓包界面的启动是按file下的按钮（或capture下的interfaces）之后会出现这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包。
（捕捉本地连接对应的网卡，可用ipconfig/all 查看）二：几分钟后就捕获到许多的数据包了，主界面如图所示：如上图所示，可看到很多捕获的数据。
第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为0.000秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。
选中第一个数据帧，然后从整体上看看Wireshark的窗口，主要被分成三部分。
上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。
三：开始分析数据1.打开“命令提示符”窗口，使用“arp -a”命令查看本地计算机ARP高速缓存。
2.使用“arp -d”命令清除本地计算机ARP高速缓存，再使用“arp -a”命令查看。
此时，本地计算机ARP高速缓存为空。
3.在下图中Filter后面的编辑框中输入：arp（注意是小写），然后回车或者点击“Apply”按钮将计算机与数据设备相连（3928或路由器），参见静态路由配置。
3.此时，网络协议分析软件开始捕获数据，在“命令提示符”窗口中PING同一子网中的任意主机。
（计算机Aping计算机B）因为PING命令的参数为IP地址，因此使用PING命令前，需要使用ARP机制将IP地址转换为MAC地址，这个过程用户是无法感知的。
因为我们在使用PING命令前已经开始网络数据包捕获，因此，此时网络协议分析软件将捕获到ARP解析数据包。
计算机网络技术与实验——数据包的捕获与分析
计算机⽹络技术与实验——数据包的捕获与分析计算机⽹络技术与实验——数据包的捕获与分析1. 实验介绍本次实验的⽬的在于学习WinPcap的使⽤⽅法，利⽤它捕获以太⽹中的数据包并进⾏简单的解析，最终使⽤MFC画界⾯，展⽰捕获后解析出来的信息。
2. 使⽤WinPcap + MFC进⾏数据包的捕获与分析2.1 WinPcap简单介绍WinPcap是⼀个开源的数据包捕获体系结构，它的主要功能是进⾏数据包捕获和⽹络分析。
它包括了内核级别的包过滤、低层次的动态链接库(packet.dll)、⾼级别系统⽆关的函数库(wpcap.dll)等。
在编写程序之前我们先按以下步骤配置好WinPcap的开发环境。
下载WinPcap并安装打开VS2015,新建->项⽬->MFC应⽤程序（基于对话框，经典菜单）在项⽬上，右键->属性⼯具->属性->项⽬和解决⽅案-> VC++⽬录->包含⽂件->添加WinPcap开发包中的Include⽬录⼯具->属性->项⽬和解决⽅案-> VC++⽬录->库⽂件->添加WinPcap开发包中的lib⽬录项⽬->项⽬属性->配置属性->预处理定义->添加WPCAP和HAVE_REMOTE项⽬->项⽬属性->配置属性->连接器->命令⾏->附加选项框中加⼊wpcap.lib在程序中要加⼊pcap.h头⽂件#include pcap.h2.2 WinPcap程序设计思路使⽤WinPcap捕获数据包⼀般有三个步骤：获取设备列表打开⽹络适配器在打开的⽹络适配器上捕获⽹络数据包2.2.1 获取设备列表在开发以WinPcap为基础的应⽤程序时，第⼀步要求的就是获取⽹络接⼝设备（⽹卡）列表。
这可以调⽤WinPcap提供的pcap_findalldevs_ex()函数，该函数原型如下：int pcap_findalldevs_ex(char * source; //指定从哪⼉获取⽹络接⼝列表struct pcap_rmauth auth; //⽤于验证，由于是本机，置为NULLpcap_if_t ** alldevs; //当该函数成功返回时，alldevs指向获取的列表数组的第⼀个//列表中每⼀个元素都是⼀个pcap_if_t结构char * errbuf //错误信息缓冲区);在上⾯注释中提到的pcap_if_t结构定义如下：struct pcap_if{struct pcap_if *next; //指向链表中下⼀个元素char *name; //代表WinPcap为该⽹络接⼝卡分配的名字char *description; //代表WinPcap对该⽹络接⼝卡的描述struct pcap_addr* addresses; //addresses指向的链表中包含了这块⽹卡的所有IP地址u_int flags; //标识这块⽹卡是不是回送⽹卡}2.2.2 打开⽹卡在获取设备列表之后，可以选择感兴趣的⽹卡打开并对其上的⽹络流量进⾏监听。
数据包的捕获与分析
数据包的捕获与分析随着数字化时代的到来，数据成为了生活中不可或缺的一部分。
无论是在个人生活还是商业领域，数据都扮演着重要的角色。
数据包的捕获与分析是一项关键的技术，它可以帮助我们更好地理解和利用数据。
一、数据包的捕获数据包是网络通信过程中的基本单位，它包含了传输的内容，比如电子邮件、网页浏览记录、聊天消息等。
数据包的捕获是指通过网络嗅探或使用专门的工具，将数据包拦截下来并保存下来以便后续的分析。
1.1 网络嗅探网络嗅探是一种通过截取网络上的数据包进行分析的技术。
嗅探器可以通过网络接口获取网络数据包，并将其保存到本地磁盘上。
这种方法可以帮助我们获取网络上的实时数据，并进行进一步的分析和处理。
1.2 抓包工具除了网络嗅探外，还有一些专门的抓包工具可以用来捕获数据包。
这些工具提供了更多的功能和选项，可以帮助用户更方便地进行数据包的捕获和分析。
常见的抓包工具有Wireshark、tcpdump等。
二、数据包的分析数据包的分析是指对捕获到的数据包进行解析和研究，从中获取有用的信息和洞察。
数据包分析可以帮助我们了解网络通信的细节，发现网络中的问题，或者进行网络安全分析。
2.1 解析协议数据包中包含了丰富的信息，例如源IP地址、目标IP地址、端口号、协议类型等。
通过对这些信息的解析，我们可以了解两台主机之间的通信流程和协议类型。
比如，通过分析数据包的源IP地址和目标IP地址，我们可以确定两台主机之间的通信关系。
2.2 分析应用层协议应用层协议是数据包中最高层的协议，它决定了数据包中的内容和格式。
通过分析应用层协议，我们可以了解具体的通信内容。
比如，通过分析HTTP协议，我们可以获取到网页浏览记录、网页标题、请求和响应的头部信息等。
2.3 发现网络问题数据包的分析也可以帮助我们发现网络中的问题。
通过分析网络通信流量和数据包的延迟、丢包情况，我们可以确定网络是否存在瓶颈或故障。
这对于网络管理员来说是非常重要的，可以帮助他们快速定位和解决网络问题。
任务三计算机网络实验IP数据报捕获与分析
任务三网络编程一、实验目的捕获本机网卡的IP包，对捕获的IP包进行解析.要求必须输出以下字段：版本号、总长度、标志位、片偏移、协议、源地址和目的地址。
二、实验环境平台：Windows编程环境：VC 6。
0语言：C++三、实验原理3.1 数据报格式以太帧由一个包含三个字段的帧头开始，前两个字段包含了物理地址,各六个字节,头部的第三个字段包含了 16 位的以太帧类型，帧头后面是数据区。
根据帧类型可以判断是哪种数据包，一般常用的有 0X0080（IP 数据包)、 0X0806（ARP 请求／应答）和 0X8035(RARP 请求／应答)三种类型.TCP／IP 协议簇中位于网络层的协议，也是最为核心的协议。
所有的 TCP, UDP， ICMP及 IGMP 数据都以 IP 数据报格式传输。
IP 协议提供了无连接的、不可靠的数据传输服务。
同时IP 协议的一个重要功能是为网络上的包传递提供路由支持。
TCP／IP 协议使用 IP 数据报这个名字来指代一个互联网数据包。
IP 数据报由两部分组成，前面的头部和后面的数据区，头部含有描述该数据报的信息，包括源 IP 地址和目的 IP 地址等。
在 IP 数据报的报头中的众多信息可根据协议类型字段区分出该数据包的类型，常用的有TCP 包、 UDP 包、 ICMP 包等，各格式分别如下所示：IP数据报格式TCP数据报格式ICMP数据报格式UDP数据报格式3。
2 捕获数据包方法目前常用的捕获数据包的方法有原始套接字、LibPcap、WinPcap和JPcap等方法.本次实验选用套接字方法。
套接字是网络应用编程接口。
应用程序可以使用它进行网络通信而不需要知道底层发生的细节。
有时需要自己生成一些定制的数据包或者功能并希望绕开Socket提供的功能,原始套接字（RawSocket)满足了这样的要求。
原始套接字能够生成自己的数据报文，包括报头和数据报本身的内容。
通过原始套接字，可以更加自如地控制Windows下的多种协议，而且能够对网络底层的传输机制进行控制.网络数据包截获机制一般指通过截获整个网络的所有信息流,根据信息源主机，目标主机,服务协议端口等信息，简单过滤掉不关心的数据，再将用户感兴趣的数据发送给更高层的应用程序进行分析。
计算机网络数据包的获取与分析实验报告
计算机⽹络数据包的获取与分析实验报告课程设计报告数据包的获取与分析学院：专业班级：学⽣姓名：学号：指导教师：成绩：2011 年 12 ⽉1. 设计任务使⽤抓包软件抓取⽹络传输中的数据包，并对所抓取的数据包进⾏分析，在这⾥我使⽤的抓包软件是“锐捷”，使⽤“锐捷”抓包软件对邮件发送过程中所产⽣的数据包进⾏抓取，并从所抓取的数据包中筛选出邮件发送所产⽣的包，对其进⾏数据分析，包括数据包所属协议、作⽤以及⾸部字段和数据内容（具有相同功能的数据包只分析⼀次）。
并且需要截图做详细说明。
2. 操作步骤⾸先打开“锐捷”抓包软件，匿名登录上该软件。
从IE浏览器中打开163邮箱的登陆界⾯。
从⼀登陆上的界⾯点击开始按钮，开始捕捉⽹络中的数据包。
登陆163邮箱，编辑所要发送的邮件，编辑完成后，点击发送。
发送完成后，关闭邮箱。
查看并分析抓包软件所抓取的数据包。
3. 数据包分析3.1图3.1.1为我的主机的⽹络配置。
图3.1.1 计算机IP配置3.2 捕获到的数据包分析3.2.1 IP数据报的格式IP数据报的格式，在⽹络中要对I数据经⾏封装，在⽹络中要发送⼀个数据要对其进⾏封装。
3.2.1 IP数据包格式还需要地址解析协议ARP，如果主机A要向主机B发送IP数据报是如果⾼速缓存中没有主机B的IP地址，ARP进程在本局域⽹上⼴播发送⼀个ARP请求分组，主机B在ARP请求分组中看的⾃⼰的IP地址，就想主机A发送ARP响应分组，主机A收到主机B的响应分组后，就在ARP⾼速缓存中写⼊主机B的IP地址到ＭＡＣ地址的映射。
图3.2.2为邮件发送过程中所发送的ARP请求。
3.2.2 ARP会话树3.2.3 ARP协议结构树由图3.2.3可见，该ARP 硬件类型 0001 协议类型 0800 硬件长度 6 协议长度 4 操作码 1 源物理地址8c-89-a5-fb-15 源IP地址10.10.20.102 ⽬标物理地址还未知3.2.2在⽹络层封装层IP数据包在⽹络层封装层IP数据包，数据链路层把⽹络层交下来的IP数据报添加⾸部和尾部封装成帧，并把封装好的帧发送给⽬的主机的数据链路层，对⽅的数据链路层收到的帧⽆差错，则从收到的帧中提取出IP数据报上交给上⾯的⽹络层，否则丢弃这个帧。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验三 网络数据包的捕获与分析
一、实验目的和要求
通过本次实验，了解sniffer 的基本作用，并能通过sniffer 对指定的网络行为所产生的数据包进行抓取，并分析所抓取的数据包。
二、实验内容
A ：1、首先打开sniffer 软件，对所要监听的网卡进行选择
2、选择网卡按确定后，进入sniffer 工作主界面，对主界面上的操作按钮加以熟悉。
B ：设置捕获条件进行抓包 基本的捕获条件有两种：
1、链路层捕获，按源MAC 和目的MAC 地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。
2、IP 层捕获，按源IP 和目的IP 进行捕获。
输入方式为点间隔方式，如：10.107.1.1。
如果选择IP 层捕获条件则ARP 等报文将被过滤掉。
任意捕协议捕缓冲区基本捕获条件数据流链路层捕获获条件编辑
获编辑
编辑
链路层捕获IP 层捕获
方向
地址条件
高级捕获条件
在“Advance ”页面下，你可以编辑你的协议捕获条件，如图：
选择要捕捕获帧长错误帧是保存过滤获的协议
度条件
否捕获
规则条件
高级捕获条件编辑图
在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。
在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。
在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。
在保存过滤规则条件按钮“Profiles ”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。
C ：捕获报文的察看：
Sniffer 软件提供了强大的分析能力和解码功能。
如下图所示，对于捕获的报文提供了一个Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。
专家分析专家分析捕获报文的捕获报文的其他
系统
系统图形分析
统计信息
专家分析
专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的
诊断结果可以查看在线帮助获得。
在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。
对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。
双击此记录可以
查看详细信息
解码分析
下图是对捕获报文进行解码的显示，通常分为三部分，目前大部分此类软件结构都采用这种结构显示。
对于解码主要要求分析人员对协议比较熟悉，这样才能看懂解析出来的报文。
使用该软件是很简单的事情，要能够利用软件解码分析来解决问题关键是要对各种层次的协议了解的比较透彻。
工具软件只是提供一个辅助的手段。
因涉及的内容太多，这里不对协议进行过多讲解，请参阅其他相关资料。
对于MAC地址，Snffier软件进行了头部的替换，如00e0fc开头的就替换成Huawei，这样有利于了解网络上各种相关设备的制造厂商信息。
捕获的
报文
报文解
码
二进制
内容功能是按照过滤器设置的过滤规则进行数据的捕获或显示。
在菜单上的位置分别为
Capture->Define Filter和Display->Define Filter。
过滤器可以根据物理地址或IP地址和协议选择进行组合筛选。
实验要求：
按照图例学习捕获以太网数据帧，并选取其中一条记录解释其构造。
三、主要实验仪器及材料
装有Windows 2000/XP系统的计算机，局域网，sniffer pro软件。
用Sniffer抓包分析以太网帧
用sniffer抓icmp包来分析。
1。
ping 192.168.1.1 -l 0
ping一个IP，指定携带的数据长度为0
抓包分析如图：
从图上的1处我们可以看到这个数据总大小是：60byte
从2处看到ip数据总长度：28byte
ip数据为什么是28byte？
因为ip头部是20个字节（4处标记的），而icmp头部是8个字节，因为我们的ping是指定数据长度为0的，所以icmp里不带额外数据，即：28＝20＋8
而我们知道以太网类型帧头部是6个字节源地址＋6个字节目标地址＋2个字节类型＝14字节以太网帧头部＋ip数据总长度＝14＋28＝42
注意3处标记的，填充了18个字节。
42＋18＝60
刚好等于总长度，其实这里我们需要注意到这里捕捉到帧不含4个字节的尾部校验，如果加上4字节尾部校验，正好等于64！64恰好是以太类型帧最小大小。
在图中我们还可以看到这个帧没有分割，flags＝0x，因为不需要分割。
再分析一个
ping 192.168.1.1 -l 64
数据大小106byte
106－14（以太类型帧头部）=92
刚好等于ip部分的显示大小
92－20（ip）－8（icmp头）＝64
刚好等于我们指定的64字节ping 包
以太网帧实际承载数据部分最大为1500，这里面还包含其他协议的报头，所以实际承载数据肯定小于1500，如果ping 192.168.1.1 -l 1500，那么数据必要会被分割，但计算方法还是一样的，只是需要特别注意，后续帧无需包含第一个帧所包含的icmp报头。
所以第一个帧的大小会是1500（实际数据部分大小，含ip和icmp报头）＋14（以太类型帧头部）＝1514，在第一个帧里实际携带了多少数据的是1500－20（IP 报头）－8（icmp报头）＝1472，剩余28bytes数据会在后续帧中
后续帧大小：14（以太类型头）＋20（ip头）＋28（实际数据）＝62
注意上面的计算我们都不计算尾部4字节校验的。
可以实际抓包验证上面的分析。