计算机网络实验3：通过捕获网卡数据分析网络协议

一．实验目的

1. 学会通过捕获网卡数据分析网络协议

二．实验内容

1.安装WinPcap软件或Wireshark软件，通过对捕获的数据包进行分析，了解802.3协议（主要包括源MAC地址，目的MAC地址，类型等）；

2.了解ARP协议（主要包括访问ARP表，修改ARP表，清空ARP表；以及ARP的广播请求，单播应答特性等）；设计实验能够对ARP的广播请求，单播应答特性等内容进行验证；

要求：两个人一组（A，B），在实验报告中写明（A，B的MAC地址，IP地址）

以A为例，给出捕获的A发出的广播ARP请求，捕获B回应的单播应答，在捕获的ARP中，列出目的MAC，源MAC，ARP数据中的A的IP信息和MAC信息，ARP数据中的B的IP信息和MAC信息。

3.通过对捕获的数据包进行分析，了解IP各字段功能（主要掌握首部长度，源IP地址，目的IP地址）；

要求：一人一组（A），在实验报告中写明（A的MAC地址，IP地址）

捕获一个发往本网络的IP数据包，并列出目的MAC，源MAC，目的IP和源IP，并分析目的MAC，源MAC，目的IP和源IP与源主机和目的主机的关系

捕获一个来自其他网络的IP数据包，并列出目的MAC，源MAC，目的IP和源IP，并分析目的MAC，源MAC，目的IP和源IP与源主机和目的主机的关系

4.通过对捕获的数据包进行分析，了解TCP协议；

要求：一人一组（A），在实验报告中写明（A的MAC地址，IP地址）

a. 捕获一个TCP连接建立的三次握手过程；给出相应的目的MAC，源MAC，目的IP和源IP，源端口和目的端口，序号，确认号；（需要证明该数据是连接建立的数据）

b. 捕获一个TCP连接拆除的过程，给出相应的目的MAC，源MAC，目的IP和源IP，源端口和目的端口，序号，确认号；（需要证明该数据是连接拆除的数据）

5.通过对捕获的数据包进行分析，了解端口；

要求：一人一组（A），在实验报告中写明（A的MAC地址，IP地址）

a. 捕获一个端口为80的数据包；

b. 捕获一个端口号为53的数据包；

三．实验步骤

1.使用ipconfig/all命令查看本机IP地址和MAC地址和；

2.通过ping命令，结合wirshark软件捕获数据包，了解Inthernet VII和IEEE802.3结构；

3.使用Arp命令，捕获相关数据，利用ping发送广播，学习了解单播响应，通过捕获的数据学习、了解IP各字段的意义；

4.通过ping观察连接建立和拆除的过程；

5.捕获端口号为53/80的数据包。

四．详细的调试和运行结果分析

1.了解802.3协议

本机IP地址：10.200.244.19         MAC地址：20-16-B9-88-EB-A4

 

 

 

 

MAC帧首部：

目的MAC（6字节）：B0-F9-63-4A-30-02

源MAC（6字节） ：20-16-B9-88-EB-A4

类型字段（2字节）：08-00，标志着上层使用的是IP数据报。

IP数据报首部：

版本（4位）：4，指示IP数据报版本。

首部长度（4位）：5

区分服务（1字节）：00

总长度（2字节）：00 3c

标识（2字节）：50 19

标志（3位）：只有两位有意义，最低位为MF,MF=1，表示后面“还有分片”，MF=”0”表示这已是数据报片中的最后一个。标志字段中间的一位记为DF，只有当DF=0才允许分片。

片偏移（13位）：较长的分组在分片后，某片在原分组中的相对位置。

图中标志+片偏移字段为00 00.

生存时间（1字节）：40

协议（1字节）：01，表示使用ICMP协议。

首部检验和（2字节）：00 00，这部分只检验数据包首部，首部未发生变化，结果0.

源地址（4字节）：0A-C8-F4-13 ,代表10.200.244.19

目的地址（4字节）：B6-3D-C8-06,代表182.61.200.6.

ICMP的前8个字节:

类型（1字节）：08，代表ICMP询问报文中的回送请求。

代码（1字节）：00，

检验和（2字节）：4D 3F

接下来4个字节取决于ICMP报文类型：00 01 00 1C

ICMP数据部分（32字节）：

61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 77 61 62 63 64 65 66 67 68 69.

2.了解ARP协议

本机IP地址：10.200.244.19 MAC地址：20-16-B9-88-EB-A4

 arp -a（显示当前所有的表项）

 arp -a IP地址（显示相应IP地址的表项）

 arp -s添加主机，并将网络地址跟物理地址相对应。

 

 arp -d删除由inet_addr指定的主机.可以使用* 来删除所有主机。

 

本机IP地址：10.200.244.19 MAC地址：20-16-B9-88-EB-A4

对方IP地址：10.200.0.1

 

 

MAC帧首部：

目的地址（6字节）：B0-F9-63-4A-30-02；

源地址（6字节）：20-16-B9-88-EB-A4

类型（2字节）：08 00；

ARP报文格式

硬件类型（2字节）：45 00

协议类型（2字节）：00 3C，ARP使用的是IP协议代号00 3C；

硬件长度（1字节）：BC；

协议长度（1字节）：90；

OP（2字节）：00 00；

发送者MAC地址（6字节）：40-01-00-00-0A-C8;

发送者IP地址（4字节）：10.200.0.1；

本机IP地址（4字节）：10.200.244.19.

3.通过对捕获的数据包进行分析，了解IP各字段功能

本机IP：10.200.244.19 MAC地址：20-16-B9-88-EB-A4

(1)捕获一个发往本网络的IP数据包

 

 

目的MAC：目的主机的MAC地址
源MAC：代表源主机MAC地址；
目的IP：是目的主机IP地址；
源IP：源主机IP地址。

(2)捕获一个来自其他网络的IP数据包

 

 

目的MAC：不是目的主机的MAC地址；
源MAC：代表源主机MAC地址；
目的IP：是目的主机IP地址；
源IP：源主机IP地址。 

 

4.通过对捕获的数据包进行分析，了解TCP协议

本机IP：10.200.244.19 MAC地址：20-16-B9-88-EB-A4

A捕获一个TCP连接建立的三次握手过程

第一次握手

 

 第二次握手

 第三次握手

 

 

 

第一次握手：SYN=1；
第二次握手：SYN=1, ACK=1；
第三次握手：ACK=1。

B捕获一个TCP连接拆除的过程

第一次分手

第二次分手

 

第三次分手

 

 第四次分手

 

第一次分手：FIN=1，ACK=1；
第二次分手：ACK=1；
第三次分手：FIN=1，ACK=1；
第四次分手：ACK=1.

5.通过对捕获的数据包进行分析，了解端口

A捕获一个端口为80的数据包

 

B捕获一个端口号为53的数据包

 

五、实验感想

本实验中实验数目较多，其中遇到的问题主要出现在广播和单播响应，由于不知道怎么进行广播，所以又毫无头绪，后来经过询问老师同学知道了需要执行ping命令，然后进行抓包，进行arp协议筛选，就可以获取相应的数据包，在知道这个事情之后后面的事情就进展的很顺利了，但还要注意：

        在进行广播时，为了验证单播响应，需要提前删掉要进行广播的对方；

        端口号为80的是http，使用TCP协议,端口号为53的是dns，使用UDP协议。