實驗3 數(shù)據(jù)包抓取與分析

實驗3數(shù)據(jù)包抓取與分析實驗目的學習安裝、使用協(xié)議分析軟件，掌握基本的數(shù)據(jù)報捕獲、過濾和協(xié)議的分析技巧，能對抓取數(shù)據(jù)包進行分析。實驗內(nèi)容協(xié)議分析軟件的安裝和使用、學會抓取數(shù)據(jù)包的方法并對對抓取數(shù)據(jù)包進行分析實驗環(huán)境和要求使用Windows操作系統(tǒng)；Internet連接抓包軟件Wireshark。wireshark是捕獲機器上的某一塊網(wǎng)卡的網(wǎng)絡(luò)包，當你的機器上有多塊網(wǎng)卡的時候，你需要選擇一個網(wǎng)卡。點擊Caputre->Interfaces..出現(xiàn)下面對話框，選擇正確的網(wǎng)卡。然后點擊"Start"按鈕,開始抓包先來看看“主窗口界面”，大多數(shù)打開捕捉包以后的界面WireShark主要分為這幾個界面1.DisplayFilter(顯示過濾器)，

用于過濾2.PacketListPane(封包列表)，顯示捕獲到的封包，有源地址和目標地址，端口號。顏色不同，代表3.PacketDetailsPane(封包詳細信息),顯示封包中的字段4.DissectorPane(16進制數(shù)據(jù))5.Miscellanous(地址欄，雜項Wireshark顯示過濾過濾器會幫助我們在大量的數(shù)據(jù)中迅速找到我們需要的信息。過濾器有兩種，一種是顯示過濾器，就是主界面上那個，用來在捕獲的記錄中找到所需要的記錄一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。在Capture->CaptureFilters中設(shè)置保存過濾在Filter欄上，填好Filter的表達式后，點擊Save按鈕，取個名字。比如"Filter102",Filter欄上就多了個"Filter102"的按鈕。過濾表達式的規(guī)則表達式規(guī)則

1.協(xié)議過濾比如TCP，只顯示TCP協(xié)議。2.IP過濾比如ip.src==02顯示源地址為02，ip.dst==02,目標地址為023.端口過濾tcp.port==80,

端口為80的tcp.srcport==80,

只顯示TCP協(xié)議的愿端口為80的。4.Http模式過濾http.request.method=="GET",

只顯示HTTPGET方法的。5.邏輯運算符為AND/OR封包詳細信息(PacketDetailsPane)這個面板是我們最重要的，用來查看協(xié)議中的每一個字段。Frame:

物理層的數(shù)據(jù)幀概況Ethernet

II:

數(shù)據(jù)鏈路層以太網(wǎng)幀頭部信息InternetProtocolVersion4:

互聯(lián)網(wǎng)層IP包頭部信息TransmissionControlProtocol:

傳輸層T的數(shù)據(jù)段頭部信息，此處是TCPHypertextTransferProtocol:

應用層的信息，此處是HTTP協(xié)議

TCP包的具體內(nèi)容從下圖可以看到wireshark捕獲到的TCP包中的每個字段。實例分析TCP三次握手過程一個TCP三次握手的實例在wireshark中輸入http過濾，然后選中GET/tankxiaoHTTP/1.1的那條記錄，右鍵然后點擊"FollowTCPStream",這樣做的目的是為了得到與瀏覽器打開網(wǎng)站相關(guān)的數(shù)據(jù)包，將得到如下圖圖中可以看到wireshark截獲到了三次握手的三個數(shù)據(jù)包。第四個包才是HTTP的，這說明HTTP的確是使用TCP建立連接的第一次握手數(shù)據(jù)包客戶端發(fā)送一個TCP，標志位為SYN，序列號為0，代表客戶端請求建立連接。如下圖第二次握手的數(shù)據(jù)包服務(wù)器發(fā)回確認包,標志位為SYN,ACK.將確認序號(AcknowledgementNumber)設(shè)置為客戶的ISN加1以.即0+1=1,如下圖第三次握手的數(shù)據(jù)包客戶端再次發(fā)送確認包(ACK)SYN標志位為0,ACK標志位為1.并且把服務(wù)器發(fā)來ACK的序號字段+1,放在確定字段中發(fā)送給對方.并且在數(shù)據(jù)段放寫ISN的