实验一 网络协议分析Ethereal

实验一网络协议分析Ethereal
一、实验目的
(1)学会正确安装和配置网络协议分析软件Ethereal；
(2)掌握使用Ethereal分析各种网络协议的技能，加深对协议格式、协议层次和协议交互过程的理解。

二、实验步骤
1、安装网络协议分析仪（实验所用的电脑中已经安装）
2、使用Ethereal分析协议
（1）启动系统。

点击“Ethereal”程序组中的“Ethereal"图标进入软件操作系统。

（2）分组俘获。

点击“Capture／Start’’菜单，在“Interface”(接口)框的下拉列表中选择一个适当的接口项，其余项可暂时保持默认配置。

然后，点击“OK”按钮，系统开始俘获网络分组。

当按“stop”(停止)按钮时，系统停止俘获分组并将已经俘获明分组信息装载在分析系统中。

（3）协议分析。

在上部的窗口中，有帧编号(No.)、时间(Time)、源地址(Source)、目的地址(Destination)、协议(Protocol)和信息(Info)等列，各列下方依次排列着俘获的分组。

中部的窗口给出选中的某帧的详细内容。

下部窗口中是与中部窗口对应的该协议帧某字段的十六进制数值内容。

把需要分析的协议内容截图并保存。

三、实验截图及协议分析
（1）HTTP协议帧的分析：
HTTP协议帧的截图在上部窗口的蓝色条形选框中，可以观察得出：俘获到的此帧的编号（No.）为：118；
俘获时间（Time）为：71.573724s；
源地址（Source）为：192.168.0.40；
目的地址（Destination）为：192.168.0.57；
协议（Protocol）为：HTTP；
帧携带的信息（Info）为：GET/HTTP/1.1。

在中部的窗口中，我们可以通过分析得到以下结论：
第一行（Frame118（521 bytes on ware，521 bytes captured））的展开分析如下：
(1)Arrival Time：帧到的间，也就是俘获到帧的时间为：2004年5月7日04：59：
18.430815000（这个时间为电脑自己的显示时间，与实验当天的操作时间不符可以理解），
这个时间为绝对时间，而上部窗口所显示的时间为从开始分组俘获到俘获到该帧的时间；
(2)Time delta from previous packet：与上一帧的时间间隔为0.000305000秒，故由
Arrival Time可以推知上一帧的俘获时间为2004年5月7日04：59：18.430510000（因为
实验时没考虑到这个问题，使上一帧时间没有显示在图中，但根据资料表明这个结论应属正
确；
(3)Time since reference or first frame：从俘获到第一帧到俘获到此帧经过的时间为
71.573724000s,与上部窗口中所显示的时间相符；
(4)Frame Number：帧的编号为118,与上部窗口中所显示的时间相符；
(5)Packet Length：数据包的大小为521字节；
(6)Capture Length：俘获到的大小为521字节，说明整个帧的数据都被俘获。

第二行（EthernetⅡ,Src:00:0d:87:f8:4b:90,Dst:00:0d:87:f9:70:3a）展开分析如下：
(1)Destination：00:0d:87:f9:70:3a(192.168.0.57):目的地址,前面为网卡地址，括号
内为IP地址。

该数据帧被我们所俘获，所以以上地址即为我们使用的主机的网卡地址；
(2)Source：00:0d:87:f8:4b:90(192.168.0.40):源地址，前面为网卡地址，括号内为IP
地址。

第三行（Internet Protocol,Src Addr:192.168.0.40(192.168.0.40),Dst Addr:
192.168.0.57(192.168.0.57)）展开分析如下：
(1)Header length:20 bytes：数据帧头部长度为20字节；
(2)Total length:507：数据帧总长度为465字节；
(3)Identification:0x64e7(25831)：该帧的校验序列为0x9ae6，属于十六进制数；
(4)Fragment offset:0：当帧进行分段的时候，用于为各片段做定位记录，该值为0，
说明该帧没有被分段；
(5)Time to live:128：该数据帧在计算机和网络设备间传送的时，它可以经历的最多
可以经128个设备传送；
(6)Protocol:TCP(0x06)：该帧所用的协议类型，括号内为协议号；
(7)Header checksum:0x1264(correct)：数据帧头部总和校验码为0x1264，检查结果
为正确；
(8)Source:192.168.0.40：源站点的IP地址；
(9)Destination:192.168.0.57：目的站点的IP地址。

第四行(Trasmission Control Protocol)展开分析如下：
(1)Source port:1208(1208)：发送方为1422端口；
(2)Destination port:http(80)：接收方为http(80)端口；
(3)Window size:65535：窗口大小为65535；
(4)Checksum:0xd76d：校验序列是0xff9b，且最终的校验是正确的。

第五行（Hypertext Transfer Protocol）展开分析如下：
这一行是http协议的内容：包括接收方式GET，收到的一些资源image/gif，
image/x-xbitmap，image/pjpeg…接收语言中文，接受编码gzip，主机，产生请求浏览器的类型等。

（2）ARP协议帧的分析：
在上部窗口的蓝色条形选框中，可以观察得出：
俘获到的此帧的编号（No.）为：1；
俘获时间（Time）为：0.000000s；
源地址（Source）为：192.168.0.46；
目的地址（Destination）为：Braodcast，即为广播的方式，对所有终端进行发送；
协议（Protocol）为：ARP；
帧携带的信息（Info）为：who has 192.168.80.1?Tell 192.168.0.46。

第一行（Frame1（60 bytes on ware，60 bytes captured））的展开分析如下：
(1)Arrival Time：帧到的间，也就是俘获到帧的时间为：2004年5月7日04：58：06.857091000（这个时间为电脑自己的显示时间，与实验当天的操作时间不符可以理解），这个时间为绝对时间，而上部窗口所显示的时间为从开始分组俘获到俘获到该帧的时间；
(2)Time delta from previous packet：与上一帧的时间间隔为0.000000000秒，因为这是俘获到的第一帧，故其与上一帧间隔为0.000000000s；
(3)Time since reference or first frame：从俘获到第一帧到俘获到此帧经过的时间为0.0000000000000s,与上部窗口中所显示的时间相符，其为0的原因同上；
(4)Frame Number：帧的编号为1,与上部窗口中所显示的时间相符；
(5)Packet Length：数据包的大小为60字节；
(6)Capture Length：俘获到的大小为60字节，说明整个帧的数据都被俘获。

第二行（EthernetⅡ,Src:00:0d:87:f8:4b:2f,Dst:ff:ff:ff:ff:ff:ff）展开分析如下：
(1)Destination：ff:ff:ff:ff:ff:ff(Broadcast):目的地址,前面为网卡地址，括号内为
IP地址,因为这个信息帧是以广播的形式发送出去的，所以没有固定的网卡地址，用ff:ff:ff:ff:ff:ff表示；
(2)Source：00:0d:87:f8:4b:90(192.168.0.46):源地址，前面为网卡地址，括号内为IP
地址。

第三行（Address Resolution Protocol(request)）展开分析如下：
(1)Hardware type:Ethernet(0x0001)：网卡的硬件类型为Ethernet，它的值为1；
(2)Protocol type:IP(0x0800)：协议类型为IP，它的值为0800，是十六进制的数据；
(3)Hardware size:6：硬件长度为6；
(4)Protocol size:4协议长度为4；
(5)Opcode:rsquest(0x0001)：此帧的操作是请求，括号里为它的值。

当值为1时是请求操作，2是响应操作；
(6)Sender MAC address: 00:0d:87:f8:46:2f(192.168.0.46)：发送方的MAC地址，这里显示的是网卡地址，括号里为IP地址；
(7)Sender IP address: 192.168.0.46(192.168.0.46)：发送方的IP地址；
(8)Target MAC address:00:00:00:00:00:00(00:00:00:00:00:00)：目标端的网卡地址，它的这种显示的解释同上；
(9)Target IP address:192.168.80.1(192.168.80.1)：目标端IP地址。

综上分析可知，这一帧为对所有计算机发送信息来寻找IP地址为192.168.80.1（网关）计算机的网卡地址。