1、實(shí)驗(yàn)二協(xié)議包分析一、實(shí)驗(yàn)?zāi)康幕诰W(wǎng)絡(luò)協(xié)議分析工具Wireshark(前身為Ethereal)，通過各種網(wǎng)絡(luò)應(yīng)用的實(shí)際操作，可以學(xué)習(xí)和掌握不同網(wǎng)絡(luò)協(xié)議數(shù)據(jù)包的分析方法，提高TCP/IP協(xié)議的分析能力和應(yīng)用技巧。二、實(shí)驗(yàn)前的準(zhǔn)備兩人一組進(jìn)行實(shí)驗(yàn)；熟悉Ping、Tracert等命令，學(xué)習(xí)FTP、HTTP、SMTP和POP3協(xié)議；安裝Wireshark軟件工具，了解其功能、工作原理和使用方法；安裝任何端口掃描工具；我閱讀了這個(gè)實(shí)驗(yàn)的閱讀資料；三。實(shí)驗(yàn)內(nèi)容、要求和步驟3.1學(xué)習(xí)Wireshark工具的基本操作了解捕獲選項(xiàng)的設(shè)置和使用，例如考慮源主機(jī)和目標(biāo)主機(jī)，以及設(shè)置捕獲過濾器；正確的；捕獲后設(shè)置顯示過

2、濾器。Wireshark(前身是Ethereal)是一款網(wǎng)絡(luò)數(shù)據(jù)包分析軟件。網(wǎng)絡(luò)數(shù)據(jù)包分析軟件的功能是捕獲網(wǎng)絡(luò)數(shù)據(jù)包，并盡可能顯示最詳細(xì)的網(wǎng)絡(luò)數(shù)據(jù)包數(shù)據(jù)。網(wǎng)絡(luò)數(shù)據(jù)包分析軟件的功能可以想象為“電工用電表測(cè)量電流、電壓和電阻”的工作只是將場(chǎng)景移植到網(wǎng)絡(luò)中，用網(wǎng)線代替電線。過去，網(wǎng)絡(luò)數(shù)據(jù)包分析軟件非常昂貴，或者專門用于商業(yè)。以太的出現(xiàn)改變了這一切。在GNUGPL通用許可的保證下，用戶可以免費(fèi)獲得軟件及其源代碼，并有權(quán)修改和定制其源代碼。Ethereal是世界上使用最廣泛的網(wǎng)絡(luò)數(shù)據(jù)包分析軟件之一。軟件簡(jiǎn)介Wireshark的目的：網(wǎng)絡(luò)管理員使用Wireshark檢測(cè)網(wǎng)絡(luò)問題，網(wǎng)絡(luò)安全工程師使用Wire

3、shark檢查信息安全相關(guān)問題，開發(fā)人員使用Wireshark調(diào)試新的通信協(xié)議，普通用戶使用Wireshark學(xué)習(xí)網(wǎng)絡(luò)協(xié)議的相關(guān)知識(shí)。當(dāng)然，有些人會(huì)用它來尋找一些敏感信息.Wireshark不是入侵檢測(cè)軟件。Wireshark不會(huì)針對(duì)網(wǎng)絡(luò)上的異常流量行為生成任何警報(bào)或提示。但是，對(duì)Wireshark捕獲的數(shù)據(jù)包進(jìn)行仔細(xì)分析可以幫助用戶更清楚地了解網(wǎng)絡(luò)行為。Wireshark不會(huì)修改網(wǎng)絡(luò)數(shù)據(jù)包的內(nèi)容，它只會(huì)反映當(dāng)前流通的數(shù)據(jù)包信息。Wireshark本身不會(huì)向網(wǎng)絡(luò)發(fā)送數(shù)據(jù)包。3.2 ping命令的網(wǎng)絡(luò)數(shù)據(jù)包捕獲分析PING命令基于ICMP協(xié)議工作，正常發(fā)送4個(gè)數(shù)據(jù)包，返回4個(gè)數(shù)據(jù)包。以東道主21

4、1為例，主要實(shí)驗(yàn)步驟是：(1)設(shè)置“捕捉過濾器”:在捕捉過濾器中填寫主機(jī)1；(2)開始抓取袋子；(3)在DOS下執(zhí)行PING命令；(4)停止抓取包裝。(5)設(shè)置“顯示過濾器”: IP。Addr=1(6)選擇一個(gè)數(shù)據(jù)包，重點(diǎn)分析其協(xié)議部分，尤其是協(xié)議頭內(nèi)容，點(diǎn)擊所有編號(hào)的內(nèi)容。(7)拍攝重要內(nèi)容的截屏，分析協(xié)議字段中的內(nèi)容，并將其寫入WORD文檔。源ip地址：41目的ip地址：12；TTL值為64，可以判斷目的主機(jī)操作系統(tǒng)是windows。分析：源ip地址：41目

5、的ip地址：12IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為64，可以判斷目的主機(jī)操作系統(tǒng)是windows版本：4總長(zhǎng)度：60片段偏移集：0個(gè)一片偏移協(xié)議：ICMP協(xié)議報(bào)頭校驗(yàn)和：來自41 12IMCP:類型：8代碼：0校驗(yàn)和0x4d0f標(biāo)識(shí)符0x04003.3 TRACERT命令數(shù)據(jù)捕獲觀察路徑跳過過程。選擇學(xué)校內(nèi)外的兩個(gè)目標(biāo)主持人。例如，(1)在校園里：特雷特(2)校外：特雷特Tracert的工作原理Tracert診斷通過向目標(biāo)發(fā)送具有不同生存時(shí)間(TTL)值的互聯(lián)網(wǎng)控制

6、消息協(xié)議(ICMP)響應(yīng)數(shù)據(jù)包來確定到達(dá)目標(biāo)的路由。在轉(zhuǎn)發(fā)數(shù)據(jù)包之前，路徑上的每臺(tái)路由器都需要將數(shù)據(jù)包的TTL至少減少1。當(dāng)數(shù)據(jù)包的TTL降低到0時(shí)，路由器應(yīng)將消息“ICMP超時(shí)”發(fā)送回源系統(tǒng)。Tracert首先發(fā)送一個(gè)TTL為1的響應(yīng)數(shù)據(jù)包，并在隨后的每個(gè)發(fā)送過程中將TTL遞增1，直到目標(biāo)響應(yīng)或TTL達(dá)到最大值，從而確定路由。通過檢查中間路由器發(fā)回的ICMP超時(shí)消息來確定路由。有些路由器會(huì)在沒有詢問的情況下丟棄TTL過期數(shù)據(jù)包，這在Tracert實(shí)用程序中是看不到的。(1)在校園里：分析：源ip地址：41目的ip地址：12IP協(xié)議版本：4標(biāo)題長(zhǎng)

7、度：20字節(jié)TTL值為64，可以判斷目的主機(jī)操作系統(tǒng)是windows版本：4總長(zhǎng)度：92片段偏移集：0個(gè)一片偏移協(xié)議：ICMP協(xié)議報(bào)頭校驗(yàn)和：來自41 12IMCP:類型：8代碼：0校驗(yàn)和0xff97標(biāo)識(shí)符0x0400序列號(hào)103(2)校外：分析：源ip地址：41目的ip地址：0IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為64，可以判斷目的主機(jī)操作系統(tǒng)是windows版本：4總長(zhǎng)度：317片段偏移集：0個(gè)一片偏移協(xié)議：HTTP協(xié)議標(biāo)頭校驗(yàn)和：0*0000袁12端口掃描數(shù)據(jù)的捕

8、獲和分析(1)每個(gè)組自己下載并安裝一個(gè)端口掃描工具，如NMAP、超標(biāo)量、掃描端口、SSPORT和TCPVIEW。(2)掃描彼此的主機(jī)以獲得開放端口號(hào)。捕獲所有相關(guān)信息和協(xié)議內(nèi)容。顯示過濾器示例：tcp.port=139Pt(3)關(guān)閉打開的端口，再次掃描，并觀察捕獲效果。更換主機(jī)后，3.4 FTP協(xié)議數(shù)據(jù)包捕獲和分析登錄學(xué)校的文件傳輸協(xié)議服務(wù)器：，專注于捕獲三個(gè)關(guān)鍵過程：(1)登錄1)FTP服務(wù)器獲取用戶和PWD的內(nèi)容，分析FTP、TCP和IP協(xié)議的報(bào)頭信息。FTP服務(wù)器的端口號(hào)為21，用于控制連接。分析：知識(shí)產(chǎn)權(quán)：源ip地址：222.

9、31.141.241目的ip地址：IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為127，版本：4總長(zhǎng)度：65時(shí)變：0301b協(xié)議：傳輸控制協(xié)議報(bào)頭校驗(yàn)和：源41目的傳輸控制協(xié)議：源端口：ftp(21)目的端口：6335序列號(hào)：305下一個(gè)相關(guān)序列號(hào)：320相關(guān)確認(rèn)號(hào)：29標(biāo)題長(zhǎng)度：20字節(jié)(2)文件下載過程需要下載三個(gè)不同大小的文件(小于1MB、1MB10MB和大于10MB)，并觀察FTP、TCP和IP協(xié)議中的數(shù)據(jù)分片過程。分析：知識(shí)產(chǎn)權(quán)：源ip地址：41目的ip地址：IP協(xié)議版本：

10、4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為127，版本：4總長(zhǎng)度：65時(shí)變：01df8協(xié)議：傳輸控制協(xié)議報(bào)頭校驗(yàn)和：源41目的傳輸控制協(xié)議：源端口：ftp(21)目的端口：6438序列號(hào)：552下一個(gè)相關(guān)序列號(hào)：557相關(guān)確認(rèn)號(hào)：228標(biāo)題長(zhǎng)度：20字節(jié)分析：知識(shí)產(chǎn)權(quán)：源ip地址：41目的ip地址：IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為127，版本：4總長(zhǎng)度：65時(shí)變：01df8協(xié)議：傳輸控制協(xié)議報(bào)頭校驗(yàn)和：源41目的傳輸控制協(xié)議：源端口：ftp數(shù)據(jù)(20)目的端

11、口：6436序列號(hào)：1461下一個(gè)相關(guān)序列號(hào)：2921確認(rèn)號(hào)：1標(biāo)題長(zhǎng)度：20字節(jié)(3)3)FTP服務(wù)的退出流程分析了FTP、TCP和IP協(xié)議的不同內(nèi)容。分析：知識(shí)產(chǎn)權(quán)：源ip地址：目的ip地址：41IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為127版本：4總長(zhǎng)度：53時(shí)間變化：04d09協(xié)議：傳輸控制協(xié)議(6)報(bào)頭校驗(yàn)和：源地址：目的地址：41傳輸控制協(xié)議：源端口：ftp(21)目的港：6438序列號(hào)：594下一個(gè)相關(guān)序列號(hào)：607相關(guān)確認(rèn)號(hào)：234標(biāo)題長(zhǎng)度：20字節(jié)窗戶尺寸：653023.5 htt

12、p協(xié)議數(shù)據(jù)包的捕獲和分析訪問谷歌知識(shí)產(chǎn)權(quán)：源ip地址41目的ip地址28IP協(xié)議版本：4標(biāo)題長(zhǎng)度：20字節(jié)TTL值為64，可以判斷目的主機(jī)操作系統(tǒng)是windows版本：4總長(zhǎng)度：41協(xié)議：傳輸控制協(xié)議(6)報(bào)頭校驗(yàn)和：源地址：41目的地址：28傳輸控制協(xié)議：源端口：6156目的端口：http(80)序列號(hào)：297確認(rèn)號(hào)：568標(biāo)題長(zhǎng)度：20字節(jié)窗戶尺寸：63673電子郵件協(xié)議數(shù)據(jù)包的捕獲和分析登錄學(xué)校內(nèi)外的郵件系統(tǒng)，獲取您的登錄信息，并重點(diǎn)分析SMTP和POP3協(xié)議。請(qǐng)注意，端口號(hào)分別是25和110。四.思

13、考問題(1)在FTP服務(wù)中，為什么FTP數(shù)據(jù)的長(zhǎng)度是1460字節(jié)？答：最大傳輸單位是1460字節(jié)，這是TCP層中該段的長(zhǎng)度限制。(2)如何捕獲FTP服務(wù)的結(jié)束數(shù)據(jù)包？答：您可以在過濾框中輸入ftp，直接顯示ftp數(shù)據(jù)包，然后查看信息中的信息，選擇接受數(shù)據(jù)包。(3)在端口掃描中，相應(yīng)的協(xié)議是TCP和UDP。我應(yīng)該如何找到與端口對(duì)應(yīng)的服務(wù)類型？答：使用netstat-a-n命令查看(4)當(dāng)沒有指定IP地址時(shí)，為什么一些相鄰主機(jī)不能捕獲它？答：網(wǎng)絡(luò)協(xié)議是一種在網(wǎng)絡(luò)上從一臺(tái)計(jì)算機(jī)向另一臺(tái)計(jì)算機(jī)傳輸信息的方法或協(xié)議。網(wǎng)絡(luò)上的每臺(tái)計(jì)算機(jī)(主機(jī))都至少有一個(gè)IP地址，以區(qū)別于網(wǎng)絡(luò)上的其他計(jì)算機(jī)。當(dāng)您發(fā)送或接

14、收信息(例如，電子郵件或網(wǎng)頁)時(shí)，信息被分成幾個(gè)小塊，稱為信息包。每個(gè)數(shù)據(jù)包都包含發(fā)送方和接收方的網(wǎng)絡(luò)地址。網(wǎng)關(guān)計(jì)算機(jī)讀取目的地地址，數(shù)據(jù)包繼續(xù)發(fā)送到下一個(gè)相鄰的網(wǎng)關(guān)，像往常一樣讀取目的地地址，然后繼續(xù)通過網(wǎng)絡(luò)，直到網(wǎng)關(guān)確認(rèn)數(shù)據(jù)包屬于離它最近或在其范圍內(nèi)的計(jì)算機(jī)。最后，它直接進(jìn)入計(jì)算機(jī)的指定地址。因?yàn)橄⒈环殖稍S多包，如果需要，每個(gè)包可以通過網(wǎng)絡(luò)的不同路徑發(fā)送。數(shù)據(jù)包到達(dá)的順序可能與發(fā)送時(shí)不同。網(wǎng)絡(luò)協(xié)議只是簡(jiǎn)單地傳遞它們。另一種協(xié)議，傳輸控制協(xié)議，可以按照正確的順序?qū)⑺鼈兘M合起來。IP是一種無連接協(xié)議，這意味著通信端點(diǎn)之間沒有連續(xù)的線路連接。每個(gè)數(shù)據(jù)包都是作為網(wǎng)絡(luò)上經(jīng)過處理的獨(dú)立單元進(jìn)行傳輸?shù)?，這些單元彼此之間沒有關(guān)聯(lián)。(數(shù)據(jù)包可以放在正確的位置，因?yàn)門CP是一個(gè)面向連接的協(xié)議，它知道信息中數(shù)據(jù)包的順序。)在開放系統(tǒng)互連(OSI)通信模式中，IP位于第3層？網(wǎng)絡(luò)層。今天最廣泛使用的IP版本是IPv