实验二 网络抓包及协议分析实验

实验二网络抓包及协议分析实验

一．实验目的：

1．了解抓包与协议分析软件的简单使用方法。

2．了解并验证网络上数据包的基本结构。

二．实验环境

1．硬件：PC、配备网卡，局域网环境。

2．软件：Windows 2000或者XP操作系统、winpcap、analyzer。

三．实验内容

利用Ethereal软件抓取网络上的数据包，并作相应分析。

四．实验范例

（1）安装

Etheral的安装非常简单，只要按照提示安装即可。

（2）运行

双击桌面的Ethereal，显示“The Ethereal Network Analyzer”的主界面，菜单的功能是：（3）设置规则

这里有两种方式可以设置规则：

●使用interface

1）选择Capture—>interfaces，将显示该主机的所有网络接口和所有流经的数据包，单击“Capture”按钮，及执行捕获。

2）如果要修改捕获过程中的参数，可以单击该接口对应的“Prepare”按钮。在捕获选项对话框中，可以进一步设置捕获条件：

●Interface——确定所选择的网络接口

●Limit each packet to N bytes——指定所捕获包的字节数。

选择该项是为了节省空间，只捕获包头，在包头中已经拥有要分析的信息。

●Capture packet in promiscuous mode——设置成混杂模式。

在该模式下，可以记录所有的分组，包括目的地址非本机的分组。

●Capture Filter——指定过滤规则

有关过滤规则请查阅以下使用Filter方式中的内容。

●Capture files——指定捕获结果存放位置

●Update list of packets in real time——实时更新分组

每个新分组会随时在显示结果中出现，但在重网络流量时会出现丢包现象。

●Stop Capture limits——设置停止跟踪的时间

如捕获到一定数量的分组（…after N packets）、跟踪记录达到一定的大小(…after N megabytes)或在一个特定的时间后(…after N minutes)。

●Name resolution——设置名字解析

如启用MAC地址转换（Enable MAC name resolution），可以将地址转换成厂商、网络地址转换(Enable network name resolution)，可以将地址转换成主机名、传输名字转换(Enable transport name resolution)，可以将端口号翻译成协议，但在重网络流量时会出现丢包现象。

3）设定完毕后，单击“OK”按钮将按照新设定的条件执行捕获。

●使用filter

1）选择Capture—>Capture Filter，显示过滤器对话框，该过滤器可以过滤掉不感兴趣的数据包，使捕获的结果减少。

2）单击“New”按钮，在Filter Name和Filter Sting中填入过滤器名称和过滤规则，最后单击“Save”按钮保存过滤规则。

（4）捕获数据包

选择Capture—>Start，将按照事先设定的过滤规则进行捕获。捕获结束时，单击“Stop”按钮。没有设定过滤条件时，表示捕获流经本机的所有数据包。

（5）产生一个满足捕获条件的动作

如要捕获本机HTTP协议的数据包，可以在本机打开浏览器后访问一个网站。

（6）分析结果

捕获结束后，捕获结果将按时间顺序显示在跟踪列表框（第一个窗口）中，包括序号、发送时间、源地址、目的地址、协议等信息，其中源地址和目的地址是物理地址。单击表头中的标题，可以重新按照该标题排序。

1）在跟踪列表框中，单击指定数据分组时，在协议框（第二个窗口）中将显示分组的各层协议：物理层帧、以太网帧及其首部、IP数据包及其首部、UDP数据包及其首部信息等。2）在协议框中，单击指定协议或者协议的组成部分时，在原始分组框（第三个窗口）中将突显该协议或组成部分中所含数据的每个字节，窗口的左边显示的是十六进制数据，右边显示的是ASCII码。

3）选择Analyze——>Follow TCP Stream，可以查看控制通道传输的所有内容。

（7）统计分组

1）选择Statistic——>Summary，可以查看跟踪记录的概要，显示的结果包括通信的总字节数、通信的频率、分组的平均大小等。

2）选择Statistic——>Protocol Hierarchy，可以按照协议层次统计，显示结果包括指定协议分组的数据包数（Packets）、字节数（Bytes）、指定协议是最后一个协议（嵌套最深）的数据包数（End Packets）和字节数（End Bytes）。

3）选择Statistic——>Converstion，指定协议类型后，可以观察指定协议的连接过程。（8）改变显示结果

1）选择View——>Coloring Rules Dialog，显示颜色过滤器，可以改变跟踪列表框中指定分组的颜色。

2）在Coloring Rules对话框中，单击“New”按钮，完成显示规则的名称、颜色过滤器的表达式以及前景色（Foreground Color）和背景色（Background Color）设置后，单击“OK”按钮，则跟踪列表中分组将以新的颜色过滤规则显示。

如果对描述颜色过滤器表达式的语法不熟悉，可以单击“+Expression”按钮，利用帮助菜单中协议的组成元素创建一个表达式。

3）在Ethereal的主窗口的Filter文本框中，输入显示过滤器的规则后，单击“Apply”按钮，将按新规则显示结果。

显示过滤器与颜色过滤器对规则描述的语法是相同的，如果对描述显示过滤器表达式的语法不熟悉，可以单击“+Expression”按钮，利用帮助菜单中协议的组成元素创建一个表达式。也可以选择Analyze——>Display Filter完成显示过滤器规则的编辑。

（9）搜索分组

1）选择Edit——>Find Packet，通过设置显示过滤器的规则可以快速定位到指定分组。2）选择Edit——>Find Next，可以按照已设定的显示过滤器规则定位到后一个满足条件的分组。

3）选择Edit——>Find Previous，可以按照已设定的显示过滤器规则定位到前一个满足条件的分组。

?Filter string 语法输入的格式

◆[src|dst] host

◆ether [src|dst] host

◆gateway host

◆[src|dst] net [{mask }|{len }

◆[tcp|udp] [src|dst] port

◆less|greater

◆ip|ether proto

◆ether|ip broadcast|multicast

◆ relop

实验语法示例：

1)捕获 MAC地址为 00:d0:f8:00:00:03 网络设备通信的所有报文

ether host 00:d0:f8:00:00:03

2) 捕获 IP地址为 192.168.10.1 网络设备通信的所有报文

host 192.168.10.1

3) 捕获网络web浏览的所有报文

tcp port 80

4) 捕获192.168.10.1除了http外的所有通信数据报文

host 192.168.10.1 and not tcp port 80

●ARP实验

?试验过程

?定义过滤器

?清除a r p缓存（a r p-d）

?开始抓包

?利用p i n g命令，迫使主机发出a r p请求。

?停止抓包，进行数据分析。

●实验报告

（1）设计一个捕获HTTP实现的完整过程，并对捕获的结果进行分析和统计。（2）设计一个捕获TCP实现的完整过程，并对捕获的结果进行分析和统计。（3）设计一个捕获ICMP实现的完整过程，并对捕获的结果进行分析和统计

TCP IP网络协议分析实验报告

TCP/IP网络协议分析实验 一、实验目的 1. 通过实验，学习和掌握TCP/IP协议分析的方法及其相关工具的使用； 2. 熟练掌握 TCP/IP体系结构； 3. 学会使用网络分析工具； 4. 网络层、传输层和应用层有关协议分析。 二、实验类型 分析类实验 三、实验课时 2学时 四、准备知识 1.Windows 2003 server 操作系统 2.TCP/IP 协议 3.Sniffer工具软件 五、实验步骤 1.要求掌握网络抓包软件Wireshark。内容包括： ●捕获网络流量进行详细分析 ●利用专家分析系统诊断问题 ●实时监控网络活动 ●收集网络利用率和错误等 2.协议分析（一）：IP协议，内容包括： ●IP头的结构 ●IP数据报的数据结构分析 3.协议分析（二）：TCP/UDP协议，内容包括： ●TCP协议的工作原理 ●TCP/UDP数据结构分析

六、实验结果 1.IP协议分析： （1）工作原理：IP协议数据报有首部和数据两部分组成，首部的前一部分是固定长度，共20字节，是IP数据报必须具有的。首部分为，版本、首部长度、服务类型、总长度、标识、标志、片偏移、生存时间、协议、首部检验和、源地址、目的地址、可选字段和数据部分 （2）IPV4数据结构分析：

2.TCP协议分析： （1）工作原理：TCP连接是通过三次握手的三条报文来建立的。第一条报文是没有数据的TCP报文段，并将首部SYN位设置为1。因此，第一条报文常被称为SYN分组，这个报文段里的序号可以设置成任何值，表示后续报文设定的起始编号。连接时不能自动从1开始计数，选择一个随机数开始计数可避免将以前连接的分组错误地解释为当前连接的分组。

网络协议 实验

1.你的浏览器运行的是HTTP1.0，还是HTTP1.1？你所访问的服务器所运行的HTTP版本号是多少？ 答：HTTP 1.1 version 4 2. 你的浏览器向服务器指出它能接收何种语言版本的对象？ 答：Accept language: zh-CN\r\n 3. 你的计算机的IP地址是多少？服务器https://www.wendangku.net/doc/2416392826.html,/DatumDownload.aspx 的IP地址是多少？ 答：我的IP是：10.127.117.2 服务器：222.197.183.99 4. 从服务器向你的浏览器返回的状态代码是多少？ 答：200 OK

5. 你从服务器上所获取的HTML文件的最后修改时间是多少？ 答：如图 6.返回到你的浏览器的内容以供多少字节？ 答：24370 在浏览器地址栏中如下网址： https://www.wendangku.net/doc/2416392826.html,/wireshark-labs/HTTP-wireshark-file2.html 8.分析你的浏览器向服务器发出的第一个HTTP GET请求的内容，在该请求报文中，是否有一行是：IF-MODIFIED-SINCE？ 答：没有

9.分析服务器响应报文的内容，服务器是否明确返回了文件的内容？如何获知？ 答：有 HTTP/1.1 200 OK（text/html） 10.分析你的浏览器向服务器发出的第二个“HTTP GET”请求，在该请求报文中是否有一行是：IF-MODIFIED-SINCE？如果有，在该首部行后面跟着的信息是什么？ 答：仍然没有。如图。 11.服务器对第二个HTTP GET请求的响应中的HTTP状态代码是多少？服务器是否明确返回了文件的内容？请解释。 答：状态码和相应状态信息的值为304 NOT Modified,他表示缓存器可以使用该对象。第二次没有返回文件的内容，因为他只是作为对该条件GET的响应，WEB服务器只发送一个响应报文,不包含请求的对象。 12. 你的浏览器一共发出了多少个HTTP GET请求？ 答：1个 13. 传输这一个HTTP响应需要多少个TCP报文段？ 答：4个。

网络协议分析——抓包分析

计算机网络技术及应用实验报告开课实验室：南徐学院网络实验室

第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。 第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。 第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。 3、具体分析各个数据包 TCP分析：

源端口 目的端口序号 确认号 首部长度窗口大小值

运输层: 源端口：占2个字节。00 50（0000 0000 1001 0000） 目的端口：占2个字节。C0 d6(1100 0000 1101) 序号：占四个字节。b0 fe 5f 31(1011 0000 0101 1110 0011 0001) 确认号：占四个字节。cd 3e 71 46(1100 1101 0011 1110 0110 0001 0100 0110) 首部长度：共20个字节：50（0101 0001） 窗口大小值：00 10（0000 0000 0001 00000） 网络层： 不同的服务字段：20 （0010 0000）

总的长度：00 28（0000 0000 0010 10000） 识别：81 28（1000 0001 0010 10000） 片段抵消：40 00（0100 0000 0000 0000） 生存时间：34 （0011 0100） 协议： 06(0000 0110)

网络协议分析实验报告

实 验 报 告 课程名称 计算机网络 实验名称 网络协议分析 系别 专业班级 指导教师 学号 姓名 实验日期 实验成绩 一、实验目的 掌握常用的抓包软件，了解ARP 、ICMP 、IP 、TCP 、UDP 协议的结构。 二、实验环境 1．虚拟机（VMWare 或Microsoft Virtual PC ）、Windows 2003 Server 。 2．实验室局域网，WindowsXP 三、实验学时 2学时，必做实验。 四、实验内容 注意：若是实验环境1，则配置客户机A 的IP 地址:192.168.11.X/24,X 为学生座号；另一台客户机B 的IP 地址:192.168.11.（X+100）。在客户机A 上安装EtherPeek （或者sniffer pro ）协议分析软件。若是实验环境2则根据当前主机A 的地址，找一台当前在线主机B 完成。 1、从客户机A ping 客户机B ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析ARP 协议； 2、从客户机A ping 客户机B ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析icmp 协议和ip 协议； 3、客户机A 上访问 https://www.wendangku.net/doc/2416392826.html, ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析TCP 和UDP 协议； 五、实验步骤和截图（并填表） 1、分析arp 协议，填写下表 客户机B 客户机A

2、分析icmp协议和ip协议，分别填写下表 表一：ICMP报文分析

3、分析TCP和UDP 协议，分别填写下表

网络协议分析——抓包分析

计算机网络技术及应用实验报告

第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。 第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。 第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。 第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。 3、具体分析各个数据包 TCP分析：

源端口 目的端口序号 确认号 首部长度窗口大小值

运输层: 源端口：占2个字节。00 50（0000 0000 1001 0000） 目的端口：占2个字节。C0 d6(1100 0000 1101) 序号：占四个字节。b0 fe 5f 31(1011 0000 0101 1110 0011 0001) 确认号：占四个字节。cd 3e 71 46(1100 1101 0011 1110 0110 0001 0100 0110)首部长度：共20个字节：50（0101 0001） 窗口大小值：00 10（0000 0000 0001 00000） 网络层： 不同的服务字段：20 （0010 0000）

总的长度：00 28（0000 0000 0010 10000） 识别：81 28（1000 0001 0010 10000） 片段抵消：40 00（0100 0000 0000 0000） 生存时间：34 （0011 0100） 协议： 06(0000 0110)

69 5b(0110 1001 0101 1011) 首部来源：dd b4 15 f1(1101 1101 1011 0100 0001 0101 1110 0001) 目的地：70 04 f8 82 （0110 0000 0000 0100 1111 1000 1000 0010） 点对点协议：00 21 （0000 0000 0010 0001）

wireshark抓包分析了解相关协议工作原理

安徽农业大学 计算机网络原理课程设计 报告题目wireshark抓包分析了解相关协议工作原理 姓名学号 院系信息与计算机学院专业计算机科学与技术 中国·合肥 二零一一年12月

Wireshark抓包分析了解相关协议工作原理 学生：康谦班级：09计算机2班学号：09168168 指导教师：饶元 （安徽农业大学信息与计算机学院合肥） 摘要：本文首先ping同一网段和ping不同网段间的IP地址，通过分析用wireshark抓到的包，了解ARP地址应用于解析同一局域网内IP地址到硬件地址的映射。然后考虑访问https://www.wendangku.net/doc/2416392826.html,抓到的包与访问https://www.wendangku.net/doc/2416392826.html,抓到的包之间的区别，分析了访问二者网络之间的不同。 关键字：ping 同一网段不同网段 wireshark 协议域名服务器 正文： 一、ping隔壁计算机与ping https://www.wendangku.net/doc/2416392826.html,抓到的包有何不同，为什么？（1）、ping隔壁计算机 ARP包：

ping包： （2）ing https://www.wendangku.net/doc/2416392826.html, ARP包：

Ping包： （3）考虑如何过滤两种ping过程所交互的arp包、ping包；分析抓到的包有

何不同。 答：ARP地址是解决同一局域网上的主机或路由器的IP地址和硬件地址的映射问题，如果要找的主机和源主机不在同一个局域网上，就会解析出网 关的硬件地址。 二、访问https://www.wendangku.net/doc/2416392826.html,，抓取收发到的数据包，分析整个访问过程。（1）、访问https://www.wendangku.net/doc/2416392826.html, ARP（网络层）： ARP用于解析IP地址与硬件地址的映射，本例中请求的是默认网关的硬件地址。源主机进程在本局域网上广播发送一个ARP请求分组，询问IP地址为192.168.0.10的硬件地址，IP地址为192.168.0.100所在的主机见到自己的IP 地址，于是发送写有自己硬件地址的ARP响应分组。并将源主机的IP地址与硬件地址的映射写入自己ARP高速缓存中。 DNS（应用层）： DNS用于将域名解析为IP地址，首先源主机发送请求报文询问https://www.wendangku.net/doc/2416392826.html, 的IP地址，DNS服务器210.45.176.18给出https://www.wendangku.net/doc/2416392826.html,的IP地址为210.45.176.3

网络协议分析软件的使用实验报告

实验报告 项目名称：网络协议分析工具的使用课程名称：计算机网络B 班级： 姓名： 学号： 教师： 信息工程学院测控系

一、实验目的 基于网络协议分析工具Wireshark（原为Ethereal），通过多种网络应用的实际操作，学习和掌握不同网络协议数据包的分析方法，提高TCP/IP协议的分析能力和应用技能。 二、实验前的准备 ● 二人一组，分组实验； ● 熟悉Ping、Tracert等命令，学习FTP、HTTP、SMTP和POP3协议； ● 安装软件工具Wireshark，并了解其功能、工作原理和使用方法； ● 安装任一种端口扫描工具； ● 阅读本实验的阅读文献； 三、实验内容、要求和步骤 3.1 学习Wireshark工具的基本操作 学习捕获选项的设置和使用，如考虑源主机和目的主机，正确设置Capture Filter；捕获后设置Display Filter。 3.2 PING命令的网络包捕获分析 PING命令是基于ICMP协议而工作的，发送4个包，正常返回4个包。以主机210.31.40.41为例，主要实验步骤为： （1）设置“捕获过滤”：在Capture Filter中填写host 210.31.38.94； （2）开始抓包； （3）在DOS下执行PING命令； （4）停止抓包。 （5）设置“显示过滤”: IP.Addr=210.31.38.94 （6）选择某数据包，重点分析其协议部分，特别是协议首部内容，点开所有带+号的内容。（7）针对重要内容截屏，并解析协议字段中的内容，一并写入WORD文档中。

分析：从这个数据包的分析结果来看我们可以得知： 数据包的到达时间为2013年11月28日14：43：15 帧的序号为20411 帧的长度为74bytes（592bits），同时抓取的长度也是74bytes，说明没有丢失数据 目的MAC地址为00：25：11:：4b：7a：6e 源MAC地址为00：25：11：4b：7d：6e 使用的协议为Ipv4 网络层的首部长度为20bytes 目的Ip地址为222.31.38.94 源Ip地址为222.31.38.93 数据没有分片说明数据大小没有超过最大传输单元MUT，其中用到了ICMP协议，数据包的生存周期为128 头部校验和为0x01正确 ICMP的校验和为0x01序列号为2304 数据有32bytes 3.3 TRACERT命令数据捕获 观察路由跳步过程。分别自行选择校内外2个目标主机。比如， （1）校内：tracert 210.31.32.8 （2）校外：tracert https://www.wendangku.net/doc/2416392826.html,

网络抓包实验

《网络信息与安全》 实验名称： 网络流量分析和监测程序的实现。 指导老师： 张兰萍 设计学生：许欣学号：07202123 班级：07行知网络 日期：2010.11.30 实验要求： 学会利用编程工具进行网络数据包的捕获并析出报文信息。结出所实现程序的功能结构图： 给出程序设计的思想： 网络层上有各种各样的数据包，它们以不同的帧格式在网络层上进行传输，但是在传输时它们都遵循相同的格式，即有相同的长度，如果一种协议的帧格式达不到这种长度，就让其补齐，以达到我们的要求。我的这个网络抓包程序是图形化操作界面，在菜单栏点击抓包按钮后选择网卡和过滤字还有最长字长，点击开始，然后就可以开始抓包了，在主界面中就会显示出一行又一行的数据，这些数据就是抓获到的数据包。 捕获Java程序中的网络包，是需要一些辅助工具，因为核心Java API不能访问底层的网络数据。Jpcap是一种提供在Windows或UNIX系统上进行这种访问的Java API。在程序设计之初就下载

了该包。Jpcap使用一个事件模型来处理包，首先创建一个执行接口jpcap.JpcapHandler的类。 为了捕获包，需要告诉Jpcap你想用哪个网络设备来监听。API 提供了jpcap.Jpcap.getDeviceList()方法以满足这一目的。这个方法返回一列字符串。 选择一个设备之后，通过Jpcap.openDevice()方法打开它。openDevice()方法需要四个参数：即将打开的设备名，从设备上一次读取的最大字节数，说明是否将设备设为混杂模式的Boolean值，和以后调用processPacket()方法要使用到的超时值。如果调用processPacket()，那么Jpcap将一直捕获包，直到超过openDevice中规定的时限或达到了规定的最大包数。loopPacket()则将一直捕获包，直到达到最大包数，如果没有最大数限制，它将永远运行下去。 关键程序说明： 抓包程序package netcap; import java.io.File; import java.util.Vector; import javax.swing.JFileChooser; import javax.swing.JOptionPane; import jpcap.JpcapCaptor; import jpcap.PacketReceiver; import jpcap.JpcapWriter;

IP协议分析实验报告

计算机网络 实 验 报 告 实验名称： IP协议分析 实验分组号： 实验人：郑微微 班级： 12计算机科学系本四B班学号： 实验指导教师：阮锦新 实验场地：网络实验室706 实验时间： 2014年11月 17号 成绩：

一、实验目的 1、掌握IP协议分析的方法 2、掌握TCP/IP体系结构 3、加深网络层协议的理解 4、学会使用网络分析工具 二、实验要求 1、实验前下载安装Ethereal/Wireshark/Sniffer中的一款网络分析工具软件 2、了解网络分析工具软件的常见功能与常见操作 3、每位学生必须独立完成所有实验环节 三、实验环境 1、操作系统：Windows XP/Windows 7/Windows 2008 2、已安装网络分析工具软件 3、PC机能访问互联网 四、实验内容及原理 1、实验内容 (1)IP头的结构 (2)IP报文分析 2、实验原理 网络之间互连的协议（Internet Protocol,IP）就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。 IP报文由报头和数据两部分组成，如图1所示：

图1 IP报文格式 五、需求分析 IP协议是TCP/IP体系中两个主要的协议之一，而IP地址位于IP数据报的首部，在网络层及以上使用的是IP地址，因此在数据链路层是看不见数据报的IP地址，另外首部的前一部分是固定长度，共20字节。在TCP/IP的标准中，各种数据格式常以32位为单位来描述，通过分析IP数据报的格式就能够知道IP协议都具有哪些功能。 六、实验步骤 1、打开网络分析工具软件 2、抓取浏览器数据包 (1)启动网络分析工具软件，设置抓包过滤条件。 (2)启动浏览器，在地址栏输入要访问的IP地址。 (3)关闭浏览器，停止抓包。 (4)存储所捕获的数据包。 (5)分析数据包。 七、实验分析 1.启动网络分析工具软件，设置抓包过滤条件为“==”

抓包实验

：利用Wireshark软件进行数据包抓取 1.3.2 抓取一次完整的网络通信过程的数据包实验 一，实验目的： 通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。 二，实验环境： 操作系统为Windows 7,抓包工具为Wireshark. 三，实验原理： ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。 四，验步骤： 1.确定目标地址：选择https://www.wendangku.net/doc/2416392826.html,作为目标地址。 2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1

图 1-1 3.启动抓包：点击【start】开始抓包，在命令提示符下键入ping https://www.wendangku.net/doc/2416392826.html,, 如图 1-2

图 1-2 停止抓包后，截取的数据如图 1-3 图 1-3 4，分析数据包：选取一个数据包进行分析，如图1- 4

图1-4 每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。DLC协议的目的和源地址是MAC地址，IP协议的目的和源地址是IP地址，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下： （1）诊断报文（类型：8，代码0；类型：0代码：0）； (2）目的不可达报文（类型：3，代码0-15）； （3）重定向报文（类型：5，代码：0--4）； （4）超时报文（类型：11，代码：0--1）； （5）信息报文（类型：12--18）。

IPV6抓包协议分析

IPV6协议抓包分析 一、实践名称： 在校园网配置使用IPv6，抓包分析IPv6协议 二、实践内容和目的 内容：网络抓包分析IPv6协议。 目的：对IPv6协议的更深层次的认识，熟悉IPv6数据报文的格式。 三、实践器材： PC机一台，网络抓包软件Wireshark 。 四、实验数据及分析结果： 1．IPv6数据报格式： 2. 网络抓包截获的数据：

3. 所截获的IPv6 的主要数据报为:? Internet Protocol Version 6?0110 .... = Version: 6?. (0000) 0000 .... .... .... .... .... = Traffic class: 0x00000000?.... .... .... 0000 0000 0000 0000 0000 = Flowlabel: 0x00000000 Payload length: 93 Next header: UDP (0x11)?Hop limit: 1?Source: fe80::c070:df5a:407a:902e (fe80::c070:df5a:407a:902e) Destination: ff02::1:2 (ff02::1:2) 4. 分析报文： 根据蓝色将报文分成三个部分：

第一部分： 33 33 00 01 00 02，目的组播地址转化的mac地址， 以33 33 00表示组播等效mac；00 26 c7 e7 80 28， 源地址的mac地址；86 dd，代表报文类型为IPv6 (0x86dd)； 第二部分： 60，代表包过滤器"ip.version == 6"； 00 00 00，Traffic class（通信类别）: 0x00000000； 00 5d，Payload length（载荷长度，即报文的最后一部分，或者说是报文携带的信息）: 32； 11，Next header（下一个封装头）: ICMPv6 (17)； 01，Hop limit（最多可经历的节点跳数）: 1； fe 80 00 00 00 00 00 00 c0 70 df 5a 40 7a 90 2e，源ipv6地址； ff 02 00 00 00 00 00 00 00 00 00 00 00 01 00 02，目的ipv6地址； 第三部分（报文携带的信息）： 02，表示类型为Neighbor Solicitation (2)； 22，表示Code: 38； 02 23是Checksum（校验和）: 0x6faa [correct]； 00 5d 36 3a，Reserved（保留位）: 00000000； fe 80 00 00 00 00 00 00 76 d4 35 ff fe 03 56 b0，是组播地址中要通信的那个目的地址； 01 01 00 23 5a d5 7e e3，表示

网络协议分析最终版

中南林业科技大学 实验报告 课程名称：网络协议与分析 姓名：项学静学号：20104422 专业班级：2010级计算机科学与技术 系（院）：计算机与信息工程学院 实验时间：2013年下学期 实验地点：电子信息楼602机房

实验一点到点协议PPP 一、实验目的 1．理解PPP协议的工作原理及作用。 2．练习PPP，CHAP的配置。 3．验证PPP,CHAP的工作原理。 二、实验环境 1．安装windows操作系统的PC计算机。 2．Boson NetSim模拟仿真软件。 三、实验步骤 1、绘制实验拓扑图 利用Boson Network Designer绘制实验网络拓扑图如图1-1。 本实验选择两台4500型号的路由器。同时，采用Serial串行方式连接两台路由器，并选择点到点类型。其中DCE端可以任意选择，对于DCE端路由器的接口(Serial 0/0)需要配置时钟信号（这里用R1的Serial 0/0作为DCE端）。 2、配置路由器基本参数

绘制完实验拓扑图后，可将其保存并装入Boson NetSim中开始试验配置。配置时点击Boson NetSim程序工具栏按钮eRouters,选择R1 并按下面的过程进行路由器1的基本参数配置： Router>enable Router#conf t Router(config)#host R1 R1(config)#enable secret c1 R1(config)#line vty 0 4 R1(config-line)#password c2 R1(config-line)#interface serial 0/0 R1(config-if)#ip address 192.168.0.1 255.255.255.0 R1(config-if)#clock rate 64000 R1(config-if)#no shutdown R1(config-if)#end R1#copy running-config startup-config 点击工具栏按钮eRouters，选择R2并按下面过程进行路由器的基本参数配置：Router>enable Router#conf t Router(config)#host R2

网络协议分析实验报告样本

网络协议分析实验报告样本 网络协议分析实验报告本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 实验报告99实验名称网络协议分析姓名学号班级313计本班实验目的掌握常用的抓包软件，了解EtherV 2、ARP、P IP协议的结构。 实验内容 11、分析2EtherV2协议 22、分析P ARP协议 33、分析P IP协议实验步骤 11、在S DOS状态下，运行ipconfig，记录本机的IP地址和硬件地址，网关的IP地址。 如下图11所示::本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 图图 12、分析数据链路层协议（ （1）、在:PC1的“运行”对话框中输入命令“Ping192.168.191.1,单击“Enter”按钮；图如下图2所示:图图2（ （2）、在本机上运行wireshark截获报文，为了只截获和实验内容有关的报文，将Ethereal的的Captrue Filter设置为“No

Broadcastand noMulticast”；如下图3所示:本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 图图3 （33）停止截获报文::将结果保存为MAC--学号，并对截获的报文进行分析:11）列出截获的报文中的协议类型，观察这些协议之间的关系。 答::a a、UDP:用户数据包协议，它和P TCP一样位于传输层，和P IP协议配合使用，。 在传输数据时省去包头，但它不能提供数据包的重传，所以适合传输较短的文件。 b b、WSP:是无线局域网领域推出的新协议，用来方便安全地建立无线连接。 c c、ARP:地址解析协议，实现通过P IP地址得知其物理地址。 在P TCP/IP网络环境下，每个主机都分配了一个232位的P IP 地址，这种互联网地址是在网际范围标本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 识主机的一种逻辑地址。 为了让报文在物理网路上传送，必须知道对方目的主机的物理地址。 这样就存在把P IP地址变换成物理地址的地址转换问题。

计算机网络抓包实验报告

实验报告二

学号1040407105 实验项目 名称 利用Wireshark 进行抓包分析 上面的截图是抓取到的包，下面分别针对其中的一个TCP，UDP和ICMP进行分析 1.TCP TCP：Transmission Control Protocol 传输控制协议TCP是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793 说明（specified）。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能。 在因特网协议族（Internet protocol suite）中，TCP层是位于IP层之上，应用层之下的中间层。不同主机的应用层之间经常需要可靠的、像管道一样的连接，但是IP层不提供这样的流机制，而是提供不可靠的包交换。 应用层向TCP层发送用于网间传输的、用8位字节表示的数据流，然后TCP把数据流分割成适当长度的报文段（通常受该计算机连接的网络的数据链路层的最大传送单元(MTU)的限制）。之后TCP把结果包传给IP层，由它来通过网络将包传送给接收端实体的TCP层。TCP为了保证不发生丢包，就给每个字节一个序号，同时序号也保证了传送到接收端实体的包的按序接收。然后接收端实体对已成功收到的字节发回一个相应的确认(ACK)；如果发送端实体在合理的往返时延(RTT)内未收到确认，那么对应的数据（假设丢失了）将会被重传。TCP用一个校验和函数来检验数据是否有错误；在发送和接收时都要计算校验和。

学号1040407105 实验项目 名称 利用Wireshark 进行抓包分析 首先，TCP建立连接之后，通信双方都同时可以进行数据的传输，其次，他是全双工的；在保证可靠性上，采用超时重传和捎带确认机制。 在流量控制上，采用滑动窗口协议，协议中规定，对于窗口内未经确认的分组需要重传。 在拥塞控制上，采用慢启动算法。 对于上面的抓包，选取其中的一个TCP进行分析 Source:119.147.91.131 Destination:180.118.215.175 Length:56 Info:http>500001[FIN,ACK] Seq=41,Ack=2877,win=66528 Len=0 1.1抓到的数据链路层中的帧 Frame 211:56bytes 即所抓到的帧的序号为211，大小是56字节 1.2 IP层中的IP数据报 Header Length:20bytes 即首部长度为20个字节；

计算机网络实验利用wireshark分析ARP协议—实验六实验报告

信 息 网 络 技 术 实 验 报 告 实验名称利用wireshark分析ARP协议

实验编号 姓名 学号 成绩 常见网络协议分析实验一、实验室名称： 电子政务可视化再现实验室 二、实验项目名称： 利用wireshark分析ARP协议 三、实验原理：

Wireshark:Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试获取网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。 当一台主机把以太网数据帧发送到位于同一局域网上的另一台主机时，是根据48bit 的以太网地址来确定目的接口的.设备驱动程序从不检查IP数据报中的目的IP地址。地址解析为这两种不同的地址形式提供映射：32bit的IP地址和数据链路层使用的任何类型的地址。 ARP根据IP地址获取物理地址的一个TCP/IP协议。ARP为IP地址到对应的硬件地址之间提供动态映射。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存。 四、实验目的： 目的是通过实验加深对数据包的认识，网络信息传输过程的理解，加深对协议的理解，并了解协议的结构与区别。 利用wireshark捕获发生在ping过程中的ARP报文，加强对ARP协议的理解，掌握ARP报文格式，掌握ARP请求报文和应答报文的区别。 五、实验内容： 利用wireshark分析ARP协议 六、实验器材（设备、元器件） 运行Windows的计算机，带有并正确安装网卡；wireshark软件；具备路由器、交换机等网络设备的网络连接。 七、实验步骤： 1、查看本机WLAN接口IP，得到。 2、利用arp –a命令在本地的ARP 缓存中查看IP-MAC对应表。

(完整word版)网络协议抓包分析

中国矿业大学《网络协议》 姓名：李程 班级：网络工程2009-2 学号：08093672

实验一：抓数据链路层的帧 一、实验目的 分析MAC层帧结构 二、准备工作 本实验需要2组试验主机，在第一组上安装锐捷协议分析教学系统，使用其中的协议数据发生器对数据帧进行编辑发送，在第二组上安装锐捷协议分析教学系统，使用其中的网络协议分析仪对数据帧进行捕获分析。 三、实验内容及步骤 步骤一：运行ipconfig命令

步骤二：编辑LLC信息帧并发送 步骤三：编辑LLC监控帧和无编号帧，并发送和捕获：步骤四：保存捕获的数据帧 步骤五：捕获数据帧并分析 使用iptool进行数据报的捕获： 报文如下图： 根据所抓的数据帧进行分析： （1）MAC header 目的物理地址：00:D0:F8:BC:E7:06 源物理地址：00:16:EC:B2:BC:68 Type是0x800：意思是封装了ip数据报 （2）ip数据报

由以上信息可以得出： ①版本：占4位，所以此ip是ipv4 ②首部长度：占4 位，可表示的最大十进制数值是15。此ip数据报没有选项，故它的最大十进制为5。 ③服务：占8 位，用来获得更好的服务。这里是0x00 ④总长度：总长度指首都及数据之和的长度，单位为字节。因为总长度字段为16位，所以数据报的最大长度为216-1=65 535字节。 此数据报的总长度为40字节，数据上表示为0x0028。 ⑤标识(Identification)：占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号， 因为IP是无连接的服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU 而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。 在这个数据报中标识为18358，对应报文16位为47b6 ⑥标志(Flag)：占3 位，但目前只有2位有意义。标志字段中的最低位记为MF (More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。标志字段中间的一位记为DF(Don't Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。这个报文的标志是010，故表示为不分片！对应报文16位为0x40。 ⑦片偏移：因为不分片，故此数据报为0。对应报文16位为0x00。 ⑧生存时间：占8位，生存时间字段常用的英文缩写是TTL (Time To Live)，其表明数据报在网络中的寿命。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1 秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。经分析，这个数据报的的TTL为64跳！对应报文16位为0x40。 ⑨协议：占8 位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。这个ip数据报显示使用得是TCP协议对

计算机网络实验利用wireshark分析ARP协议—实验六实验报告分析

信息网络技术实验报告

实验名称利用wireshark分析ARP协议 实验编号 6.1 姓名 学号 成绩 2.6常见网络协议分析实验 一、实验室名称： 电子政务可视化再现实验室 二、实验项目名称： 利用wireshark分析ARP协议

三、实验原理： Wireshark:Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试获取网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。 当一台主机把以太网数据帧发送到位于同一局域网上的另一台主机时，是根据48bit 的以太网地址来确定目的接口的.设备驱动程序从不检查IP数据报中的目的IP地址。地址解析为这两种不同的地址形式提供映射：32bit的IP地址和数据链路层使用的任何类型的地址。 ARP根据IP地址获取物理地址的一个TCP/IP协议。ARP为IP地址到对应的硬件地址之间提供动态映射。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存。 四、实验目的： 目的是通过实验加深对数据包的认识，网络信息传输过程的理解，加深对协议的理解，并了解协议的结构与区别。 利用wireshark捕获发生在ping过程中的ARP报文，加强对ARP协议的理解，掌握ARP报文格式，掌握ARP请求报文和应答报文的区别。 五、实验内容： 利用wireshark分析ARP协议 六、实验器材（设备、元器件） 运行Windows的计算机，带有并正确安装网卡；wireshark软件；具备路由器、交换机等网络设备的网络连接。 七、实验步骤： 1、查看本机WLAN接口IP，得到192.168.1.112。 2、利用arp –a命令在本地的ARP 缓存中查看IP-MAC对应表。

实验1：网络数据包的捕获与协议分析

实验报告 （ 2014 / 2015 学年第二学期） 题目：网络数据包的捕获与协议分析 专业 学生姓名 班级学号 指导教师胡素君 指导单位计算机系统与网络教学中心 日期2015.5.10

实验一：网络数据包的捕获与协议分析 一、实验目的 1、掌握网络协议分析工具Wireshark的使用方法，并用它来分析一些协议； 2、截获数据包并对它们观察和分析，了解协议的运行机制。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线、局域网 四、实验步骤 1.用Wireshark观察ARP协议以及ping命令的工作过程： （1）打开windows命令行，键入“ipconfig -all”命令获得本机的MAC地址和缺省路由器的IP地址；结果如下： （2）用“arp -d”命令清空本机的缓存；结果如下 （3）开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包。（4）执行命令：ping https://www.wendangku.net/doc/2416392826.html,,观察执行后的结果并记录。

此时，Wireshark所观察到的现象是:(截图表示) 2.设计一个用Wireshark捕获HTTP实现的完整过程，并对捕获的结果进行分析和统计。（截 图加分析） 3.设计一个用Wireshark捕获ICMP实现的完整过程，并对捕获的结果进行分析和统计。要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析该ICMP 报文。（截图加分析） 4. 设计一个用Wireshark捕获IP数据包的过程，并对捕获的结果进行分析和统计（截图加分析） 要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析在该数据包中的内容：版本首部长度、服务类型、总长度、标识、片偏移、寿命、协议、源Ip地址、目的地址 五、实验总结

实验四Ethereal抓包软件高级

浙江大学城市学院实验报告 课程名称计算机网络应用 实验项目名称实验四Ethereal抓包软件高级 实验成绩指导老师（签名）日期2014-05-13 一. 实验目的和要求 1. 进一步学习掌握Ethereal过滤规则的设置 2. 使用Ethereal捕获Ethernet帧，并对高层协议数据包进行分析 二. 实验内容、原理及实验结果与分析 1. 在Ethereal中创建并设置以下过滤规则 1.1捕获局域网上的所有UDP数据包 【过滤规则】 udp 1.2捕获本地主机收到和发出的所有FTP数据包 【过滤规则】 host 10.66.19.27 and tcp port 21 1.3捕获本地主机和某一主机之间的远程桌面控制数据包（TCP端口3389） 【过滤规则】 host 10.66.19.27 and tcp port 3389 1.4捕获本地主机和之间的通信

【过滤规则】 host 10.66.19.27 and 2. 捕获并解析TCP/IP协议的高层协议数据包 2.1捕获解析本机发出或接收的UDP数据包，并对照UDP报头格式进行解 释（如发送QQ信息构造UDP数据包） 【实验结果与分析】 host 10.66.19.27and udp UDP数据包 长度6字节6字节2字节 字段Source port Destination port Length 值1042 35208 36 2.2捕获解析本地主机发出及收到的FTP数据包，并对照TCP报头格式进 行解释，同时分析FTP发出的命令和响应（如构造FTP数据包）【实验结果与分析】 host 10.66.19.27 and

TCP-IP协议抓包分析实验报告

TCP协议分析实验 学号： 姓名： 院系： 专业：

一．实验目的 学会使用Sniffer抓取ftp的数据报，截获ftp账号及密码，并分析TCP 头的结构、分析TCP的三次“握手”和四次“挥手”的过程，熟悉TCP 协议工作方式。 二．实验（软硬件以及网络）环境 利用VMware虚拟机建立网络环境，并用Serv-U FTP Server在计算机上建立FTP服务器,用虚拟机进行登录。 三．实验工具 sniffer嗅探器，VMware虚拟机，Serv-U FTP Server。 四．实验基本配置 Micrsoft Windows XP操作系统 五．实验步骤 1.建立网络环境。 用Serv-U FTP Server在计算机上建立一台FTP服务器，设置IP地址 为：，并在其上安装sniffer嗅探器。再并将虚拟机作为一台FTP客户 端，设置IP地址为：。设置完成后使用ping命令看是否连通。 2.登录FTP 运行sniffer嗅探器，并在虚拟机的“运行”中输入，点确定后出现 如下图的登录窗口： 在登录窗口中输入：用户名（hello），密码（123456）【在Serv-U FTP Server中已设定】，就登录FTP服务器了。再输入“bye”退出FTP 3.使用sniffer嗅探器抓包 再sniffer软件界面点击“stop and display”，选择“Decode”选 项，完成FTP命令操作过程数据包的捕获。 六．实验结果及分析 1.在sniffer嗅探器软件上点击Objects可看到下图：

再点击“DECODE(反解码)”按钮进行数据包再分析，我们一个一个的分析数据包，会得到登录用户名（hello）和密码（123456）。如下图： 2. TCP协议分析 三次握手： 发报文头——接受报文头回复——再发报文（握手）开始正式通信。