计算机网络第三讲

如何观察一个重流量网络？
n
n
在一个重流量网络中，网络协议分析器每秒钟可 以捕获到成千上百的分组，这将造成分析器过 载。分组可能“丢失”。 如何尽量减少分组的丢失？
¨ 禁用实时显示和转换。 ¨ 使用捕获过滤器限制捕获数据的数量。
n
如何在庞大的分析记录中寻找感兴趣的分组？
¨ 使用显示过滤器过滤掉不感兴趣的分组。 ¨ 使用颜色过滤器高亮感兴趣的分组。
跟踪记录分析-2（协议层）
用WireShark观察一个Mozilla Web浏览器 所产生的数据包。 (traces/2_simpleHttp.cap) n 配置：
n
¨ 实验在一个私有家庭网络环境中进行。一台运
行Windows的PC连接到调制解调路由器。在这 台PC上已启动了一个Mozilla Web浏览器。访 问路由器中Web服务器上的XML页面 （http://192.168.0.1:5678/rootDesc.xml）
TCP连接
n
观察从1号分组到16号分组所显示的TCP连 接。这个连接的目的是传输rootDesc.xml。
¨ rootDesc.xml只有3459个字节，通过连接却
4902个字节。所有协议层的开销占实际传输文 件的42%。
¨ 没有数据的分组比带有数据的分组小得多。 ¨ 带有数据的分组。4号（浏览器->服务器），其
捕获过滤器（Capture Filter）
n n n n n n n
例子中指定的捕获过滤器是host 192.168.0.101。 dst host *** 进一步限制发送到该地址的分组。 src host *** 限制捕获从该地址发出的分组。 ether host/ether src/ether dst 基于以太网地址。 src port/dst port 分离出特定端口号的分组。 tcp/udp 分离出TCP或UDP分组。 详细列表请参考：
因特网的标准化工作
因特网草案 实验的 RFC 建议标准 提供信息的 RFC
草案标准 6 种 RFC 因特网标准
历史的 RFC
协议层次统计
A count is also made for packets in which the protocol is the last protocol in the stack. They show you how many packets ended in a particular protocol. In the table, they are listed under "End Packets" and "End Bytes".
n
在无线局域网中，你能嗅探在一个信道下面所有 主机的数据流。
WireShark
n n
n
WireShark（原名Ethereal）是一个跨平台的、开 放源代码的网络数据流分析/嗅探软件。 在过去，网络数据流分析/嗅探软件是非常昂贵的 专属软件。WireShark的出现改变了这一切。在 GNU GPL通用许可证的保障范围下，使用者可以 免费的使用该软件，并可以对它的源代码进行修 改。 WireShark是目前全世界应用最广泛的网络数据 流分析/嗅探软件之一。
WireShark的跟踪设置界面
WireShark的跟踪界面
跟踪列表框
协议层框
原始分组框
详细分析跟踪记录
20个SSDP协议分组声明的是一个可用的网 关设备。从网关192.168.0.1发送到多播地 址239.255.255.250。 n 第11号分组是从当前主机192.168.0.101发 送到广播地址192.168.0.255的。声明它属 于MSHOME域/工作组。
捕获过滤器（Capture Filter）
捕获过滤器（Capture Filter）
n n n n
WireShark中捕获过滤器的语言源于一个著名的 命令行网络协议分析器tcpdump。 Tcpdump于1987年由加州伯克莱分校的程序员开 发。使用libpcap进行抓包。 Tcpdump在Windows上的版本叫做Windump，使 用Winpcap进行抓包。 Libpcap和winpcap为许多开源和商业的网络应用 工具提供了抓包和过滤引擎。

因特网协议
n n
许多在因特网中使用的协议都是开放协议。这些 协议的全部规约任何人都可以获得。 要学习因特网协议的细节，就应该参考请求评论 文档（Requests for Comments），即RFC。 如：
¨ IP协议在RFC791中定义。 ¨ TCP协议在RFC793中定义。 ¨ HTTP协议在RFC2616中定义。
息。 ¨ 对网络上使用的专属协议，如QQ协议等进行逆向工 程。 ¨ 收集信息以入侵无线网络。
哪些数据流能被嗅探？
n
在有线局域网中：
¨ 你总是能嗅探本机发出或接收的数据流。 ¨ 你总能嗅探同一集线器下其他主机的数据流。 ¨ 如果你拥有一个网关，你总能嗅探所有通过这个网关
的数据流。 ¨ 如果你位于一个交换机下面，你不能嗅探该交换机下 面其他主机的数据流。除非你采用一些欺骗技术，如 ARP欺骗。
n
观察该次跟踪的概要统计信息
n n
Statistics -> Summary Statistics -> Protocol Hierarchy
Snort
Snort是一套开放源代码的网络入侵预防和网络入侵 检测系统。它能够对IP网络进行实时抓包和分 析，进行内容查找/匹配。通常被用于动态的阻断 入侵或被动的检测入侵和嗅探。 n 自1998年发布，截至目前为止，Snort的被下载次 数已达到数百万次。 Snort被认为是全世界最广 泛使用的入侵预防与检测软件。
== 192.168.0.101) && http
n
你还可以搜索分组：
¨ Edit
-> Find Packet
协议原理
n n n
协议基于UDP。 客户端协议流程：login、logout、changepassword，login后有keepalive。 协议核心：通过与服务器交互，获取一个16字节 的隧道识别码
n
RFC-Editor——
因特网的标准化工作
n
制订因特网的正式标准要经过以下的四个 阶段 ：
¨ 因特网草案(Internet
Draft) ——在这个阶段还
不是 RFC 文档。 ¨ 建议标准(Proposed Standard) ——从这个阶 段开始就成为 RFC 文档。 ¨ 草案标准(Draft Standard) ¨ 因特网标准(Internet Standard)
跟踪记录分析-3（过滤器的使用）
n n
用WireShark观察一个重流量网络中抓取的 数据包。（traces/3_busyNetwork.cap） 配置：
¨ 实验在一个私有家庭网络环境中进行。一台运
行Windows的PC连接到调制解调路由器。在 WireShark抓包期间，专门打开并使用了多个 SSH会话，并从因特网下载一个大文件，并访 问了大量的网页。
WireShark的启动界面（Ubuntu/root）
跟踪记录分析-1
n n
用WireShark来观察一个轻流量网络。 （traces/1_quietNetwork.cap） 配置：
¨ 实验在一个私有家庭网络环境中进行。一台运
行Windows的PC连接到调制解调路由器。在开 始实验之前，所有使用网络的应用程序（Web 浏览器、电子邮件客户端）都已关闭。捕捉了 30秒钟的数据。
计算机网络与应用
第三讲 WireShark简介 利用WireShark初探网络协议层 谭舜泉 计算机与软件学院
Sniffer（网络嗅探）
n
n
网络嗅探（Sniffer）是一种黑客的窃听手段。一 般指黑客使用嗅探器对网络上传输的数据流进行 截获。 网络嗅探的用途：
¨ 检测可能的网络入侵企图。 ¨ 监视网络的使用，过滤网络数据流中可疑的内容。 ¨ 收集和分析网络统计数据。 ¨ 对其它网络用户进行间谍行为，收集密码等敏感信
¨ 0806
ARP帧/8035 RARP帧 ¨ 86DD IPV6帧
n
以太网帧首部占14个字节。
网际协议层（Internet Protocol）
n n n
IP首部长度可变。 协议字段：定义使用这个IP包的传输层协议。
¨ 1:
ICMP/ 6: TCP/ 17: UDP
源地址和目的地址。在IP层，这代表192.168.0.1 和192.168.0.101之间的一次对话。理论上，IP地 址和以太网地址应该是全球唯一的。以太网地址 是制造商赋予网卡的一个唯一的号码，而IP地址 则可以反映这台机器在全球因特网的位置。
¨ /CaptureFilters ¨ /tcpdump_man.html
颜色过滤器和显示过滤器
n n
颜色过滤器
¨ View
-> Coloring rules
显示过滤器：捕获过滤器和颜色过滤器的交叉。
¨ 举例：搜索出从192.168.0.101发出的http包。 ¨ (ip.src
传输控制协议层(TCP层)
n
TCP首部长度可变。 n 源端口号和目的端口号。
¨ 端口号指的是主机上面的一个应用端点。（IP
地址类似于公寓大楼的门牌号，而端口号类似 于每一个公寓房间的房间号。） ¨ 可以被使用的端口号共65535个。 ¨ 常用端口号：FTP (21), SSH (22), TELNET (23), SMTP (25) and HTTP (80)。
载荷之间都插入这个隧道识别码 ¨ TCP：正常的TCP三路握手后，TCP状态机处于连接 建立状态时，客户端发送的每个TCP报文，在TCP头 与TCP载荷之间都插入这个隧道识别码。每次登陆 后，识别码不变。