【Wireshark 实验】

已于 2023-01-08 23:30:16 修改
阅读量810 收藏 1
点赞数 3
分类专栏： 计算机网络 文章标签： 网络
于 2022-12-27 22:31:21 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_59281909/article/details/128459388
版权

Wireshark 实验

实验目录

前言

本部分按照数据链路层、网络层、传输层以及应用层进行分类，共有 10 个实验。需要使用协议分析软件 Wireshark 进行，请根据简介部分自行下载安装。

提示：以下是本篇文章正文内容，下面案例可供参考

一、数据链路层

1.1 熟悉 Ethernet 帧结构

使用 Wireshark 任意进行抓包，熟悉 Ethernet 帧的结构，如：目的 MAC、源 MAC、类型、字段等。
在这里插入图片描述

名称解释
Destination目的MAC
Source源MAC
Type类型
问题

你会发现 Wireshark 展现给我们的帧中没有校验字段，请了解一下原因。
Wireshark 展现给我们的帧中没有校验字段，帧已经被校验了，校验字段被wireshark去掉了。

1.2 了解子网内/外通信时的 MAC 地址

1.2.1 ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可使用 icmp 关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？（由于旁边没有别的计算机就自己ping自己一下吧）

在这里插入图片描述

我们使用tcp关键字进行过滤，发现自己(192.168.2.5)ping自己会中转到183.2.143.108再转回来。帧的目的 MAC 地址以及返回帧的源 MAC 地址都为f8:ac:65:82:d7:73， 这个地址是要访问计算机的mac物理地址。

1.2.2. 然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？

ping qige.io
在这里插入图片描述

在这里插入图片描述

发出帧的目的mac地址以及返回帧的源mac地址，都为：f8:ac:65:82:d7:73， 这个mac地址是网关的mac物理地址

1.2.3. 再次 ping www.cqjtu.edu.cn （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？

ping www.cqjtu.cn

在这里插入图片描述
抓包
在这里插入图片描述

发出帧的目的mac地址以及返回帧的源mac地址，都为：f8:ac:65:82:d7:73 这个mac地址是网关的mac物理地址

问题

通过以上的实验，你会发现： 1.访问本子网的计算机时，目的 MAC 就是该主机的 2. 访问非本子网的计算机时，目的 MAC 是网关的 请问原因是什么？

因为访问本子网的计算机时，通过Address Rsolution Protocol，能获取到目的 主机的mac地址。但是访问非本子网的计算机时，发送的帧通过ARP没法获取到目的ip的 mac地址。此时需要借助路由器网关来获取目的主机的mac地址。所以此时我发送的帧， 里面目的mac地址只能填网关的mac地址。

1.3 掌握 ARP 解析过程

1.3.1 为防止干扰，先使用 arp -d * 命令清空 arp 缓存

在这里插入图片描述
我们发现权限不够，使用管理员模式再继续使用该命令
查看arp
在这里插入图片描述
管理员模式下清空arp, "arp -d * "
在这里插入图片描述

1.3.2 ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可 arp 过滤），查看 ARP 请求的格式以及请求的内容，注意观察该请求的目的 MAC 地址是什么。再查看一下该请求的回应，注意观察该回应的源 MAC 和目的 MAC 地址是什么。(旁边没有其余电脑，自己ping自己)

在这里插入图片描述

请求的目的 MAC 地址是:00:00:00:00:00:00
回应
在这里插入图片描述
该回应的源 MAC是：f8:ac:65:82:d7:73 目的 MAC 地址是：20:89:8a:64:cf:05

1.3.3再次使用 arp -d * 命令清空 arp 缓存

在这里插入图片描述

1.3.4 然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 arp 过滤）。查看这次 ARP 请求的是什么，注意观察该请求是谁在回应。

** ping qige.io **
在这里插入图片描述
抓包
在这里插入图片描述

该回应的源 MAC是：20:89:8a:64:cf:05（即网关) ，目的 MAC 地址是：f8:ac:65:82:d7:73（即我自己）

问题
  1. ARP 请求都是使用广播方式发送的
  2. 如果访问的是本子网的 IP，那么 ARP 解析将直接得到该 IP 对应的 MAC；如果访问的非本子网的 IP， 那么 ARP 解析将得到网关的 MAC。
    请问为什么？

因为访问本子网的计算机时，通过Address Rsolution Protocol，能获取到目的 主机的mac地址。但是访问非本子网的计算机时，发送的帧通过ARP没法获取到目的ip的 mac地址。此时需要借助路由器网关来获取目的主机的mac地址。所以此时我发送的帧， 里面目的mac地址只能填网关的mac地址。

二、网络层

2.1 熟悉 IP 包结构

使用 Wireshark 任意进行抓包（可用 ip 过滤），熟悉 IP 包的结构，如：版本、头部长度、总长度、TTL、协议类型等字段。
在这里插入图片描述

从这里可以看出：版本version=4，头部长度为20，总长度为95，TTL为128，协议类型为HTTP

问题

为提高效率，我们应该让 IP 的头部尽可能的精简。但在如此珍贵的 IP 头部你会发现既有头部长度字段，也有总长度字段。请问为什么？

因为 数据报中有数据。如果只有首部长度，就不知道数据在哪里结束，如果只有总长度，就不知道数据在哪里开始。

2.2 IP 包的分段与重组

根据规定，一个 IP 包最大可以有 64K 字节。但由于 Ethernet 帧的限制，当 IP 包的数据超过 1500 字节时就会被发送方的数据链路层分段，然后在接收方的网络层重组。
缺省的，ping 命令只会向对方发送 32 个字节的数据。我们可以使用 ping 202.202.240.16 -l 2000 命令指定要发送的数据长度。此时使用 Wireshark 抓包（用 ip.addr == 202.202.240.16 进行过滤），了解 IP 包如何进行分段，如：分段标志、偏移量以及每个包的大小等
ip.addr == 202.202.240.16
在这里插入图片描述

**ping 202.202.240.16 -l 2000 **
在这里插入图片描述
抓包

在这里插入图片描述

分段标志为0x20,偏移量为0，该图片所展示的包大小为1500B

问题

分段与重组是一个耗费资源的操作，特别是当分段由传送路径上的节点即路由器来完成的时候，所以 IPv6 已经不允许分段了。那么 IPv6 中，如果路由器遇到了一个大数据包该怎么办？

转发到支持该数据传输的路由上或者丢弃。

2.3 考察 TTL 事件

在 IP 包头中有一个 TTL 字段用来限定该包可以在 Internet上传输多少跳（hops），一般该值设置为 64、128等。

在验证性实验部分我们使用了 tracert 命令进行路由追踪。其原理是主动设置 IP 包的 TTL 值，从 1 开始逐渐增加，直至到达最终目的主机。

请使用 tracert www.baidu.com 命令进行追踪，此时使用 Wireshark 抓包（用 icmp 过滤），分析每个发送包的 TTL 是如何进行改变的，从而理解路由追踪原理。
** tracert www.baidu.com **
在这里插入图片描述

抓包过程
在这里插入图片描述
在这里插入图片描述

每经过一跳TTL都会-1，tracert的原理：通过向目标发送不同 IP 生存时间 (TTL) 值的“Internet 控制消息协议 (ICMP)”回应数据包，Tracert 诊断程序确定到目标所采取的路由。

问题

在 IPv4 中，TTL 虽然定义为生命期即 Time To Live，但现实中我们都以跳数/节点数进行设置。如果你收到一个包，其 TTL 的值为 50，那么可以推断这个包从源点到你之间有多少跳？

因为源点的TTL是最接近所接收的TTL的2的n次方，所以源点的TTL为64，那么从源点到我之间就有64-50=14跳

三、传输层

3.1 传输层

3.1.1用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段。

在这里插入图片描述

源端口:59871 目的端口:443 序列号:1 确认号:1
各标记位如下
在这里插入图片描述

3.1.2用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等。

在这里插入图片描述

源端口号:65179 目的端口号:8000 长度:313

问题

由上大家可以看到 UDP 的头部比 TCP 简单得多，但两者都有源和目的端口号。请问源和目的端口号用来干什么？

找到对方主机对应的交互进程

3.2 分析 TCP 建立和释放连接

3.2.1打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用 tcp 过滤后再使用加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间使得能够捕获释放连接的包。

在这里插入图片描述

3.2.2 请在你捕获的包中找到三次握手建立连接的包，并说明为何它们是用于建立连接的，有什么特征。

第一次握手，SYN为1，ACK为0
在这里插入图片描述
第二次握手，SYN为1，ACK为1
在这里插入图片描述
第三次握手，SYN为0，ACK为1
在这里插入图片描述

3.2.3 请在你捕获的包中找到四次挥手释放连接的包，并说明为何它们是用于释放连接的，有什么特征。

第一次挥手，FIN为1，ACK为1
在这里插入图片描述

第二次挥手，ACK为1
在这里插入图片描述
第三次挥手，FIN为1，ACK为1
在这里插入图片描述
第四次挥手 ACK为1
在这里插入图片描述

问题一

去掉 Follow TCP Stream，即不跟踪一个 TCP 流，你可能会看到访问 qige.io 时我们建立的连接有多个。请思考为什么会有多个连接？作用是什么？

因为这个连接属于短连接，这为了实现多个用户进行访问，对业务频率不高的场合，不让其长期占用通道。

问题二

我们上面提到了释放连接需要四次挥手，有时你可能会抓到只有三次挥手。原因是什么？

服务器向客户端发送断开连接和回复同意断开连接合成一次挥手。

四、应用层

4.1 了解 DNS 解析

4.1.1先使用 ipconfig /flushdns 命令清除缓存，再使用 nslookup qige.io 命令进行解析，同时用 Wireshark 任意抓包（可用 dns 过滤）

ipconfig /flushdns
在这里插入图片描述
nslookup qige.io
在这里插入图片描述
我们惊奇地发现找不到这个网站，于是采用了重启大法，再试一看成功了！
在这里插入图片描述

4.1.2你应该可以看到当前计算机使用 UDP，向默认的 DNS 服务器的 53 号端口发出了查询请求，而 DNS 服务器的 53 号端口返回了结果

向53号端口发出请求
在这里插入图片描述
53号端口返回结果
在这里插入图片描述

4.1.3 可了解一下 DNS 查询和应答的相关字段的含义

DNS查询和应答报文的格式如下：
在这里插入图片描述
16位标识字段用于标记一对DNS查询和应答，以此区分一个DNS应答是哪个DNS查询的回应，16位标志字段用于协商具体的通信方式和反馈通信状态。DNS报文头部的16位标志字段的细节如图
在这里插入图片描述

查询问题的格式：
在这里插入图片描述
应答字段，授权字段和额外信息字段都使用资源记录格式（Resource Record，RR）
在这里插入图片描述

问题

你可能会发现对同一个站点，我们发出的 DNS 解析请求不止一个，思考一下是什么原因？

将负载均衡的工作交给DNS，省去了网站管理维护负载均衡服务器的麻烦。
对于部署在服务器上的应用来说不需要进行任何的代码修改即可实现不同机器上的应用访问。

4.2 了解 HTTP 的请求和应答

4.2.1 打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获

在这里插入图片描述

4.2.2 请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义

可以发现为GET
在这里插入图片描述
请求头
在这里插入图片描述
部分请求头字段的具体含义

名称含义
Accept浏览器可接受的MIME类型。 Accept-Charset：浏览器可接受的字符集
Accept-Encoding浏览器能够进行解码的数据编码方式
Accept-Language授权信息，通常出现在对服务器发送的WWW-Authenticate头的应答中
Connection表示是否需要持久连接。如果Servlet看到这里的值为“Keep-Alive”，或者看到请求使用的是HTTP1.1（HTTP 1.1默认进行持久连接），它就可以利用持久连接的优点，当页面包含多个元素时（例如Applet，图片），显著地减少下载所需要的时间
Content-Length表示请求消息正文的长度。 Cookie：设置cookie,这是最重要的请求头信息之一
From请求发送者的email地址，由一些特殊的Web客户程序使用，浏览器不会用到它。 Host：初始URL中的主机和端口

4.2.3 请在你捕获的包中找到 HTTP 应答包，查看应答的代码是什么，如：200, 304, 404 等。并仔细了解应答的头部有哪些字段及其意义

在这里插入图片描述
我们可以发现其中存在200 OK ，也有304 Not Modified

常见的应答头如下

名称含义
200 OK一切正常，对GET和POST请求的应答文档跟在后面
201 Created服务器已经创建了文档，Location头给出了它的URL
301 Moved Permanently客户请求的文档在其他地方，新的URL在Location头中给出，浏览器应该自动地访问新的URL
403 Forbidden资源不可用。服务器理解客户的请求，但拒绝处理它。通常由于服务器上文件或目录的权限设置导致。
304 Not Modified在客户端向服务端发送http请求时，若返回状态码为304 Not Modified 则表明此次请求为条件请求
404 Not Found无法找到指定位置的资源。这也是一个常用的应答
500 Internal Server Error服务器遇到了意料不到的情况，不能完成客户的请求
建议

HTTP 请求和应答的头部字段值得大家认真的学习，因为基于 Web 的编程中我们将会大量使用。如：将用户认证的令牌信息放到头部，或者把 cookie 放到头部等。

问题

刷新一次 qige.io 网站的页面同时进行抓包，你会发现不少的 304 代码的应答，这是所请求的对象没有更改的意思，让浏览器使用本地缓存的内容即可。那么服务器为什么会回答 304 应答而不是常见的 200 应答？

因为浏览器会先在本地检查一次，是否有更改，再在请求头中标注相应的信息，发给服务器。服务器再返回相应的应答代码。

爱吃萝卜的大白熊
关注
  • 3
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Wireshark实验
06-02
熟悉并掌握 Wireshark 的基本使用；了解网络协议实体间进行交互以及报文交换的情况；学会使用 Wireshark 分析 IP、ICMP 以及 TCP 协议。
wireshark的使用
m0_55185160的博客
08-12 3500
1.Wireshark是什么？ Wireshark(前称Ethereal)是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。 2.Wireshark基本使用方法 Wireshark的基本使用分为数据包筛选、数据包搜索、数据包还原、数据提取四个部分。 3.数据包筛选 Wireshark的数据包筛选功能是wireshark的核心功能,比如需要筛选出特定...
wireshark过滤包规则
qq_40298645的博客
06-21 5433
1. Wireshark过滤语句中常用的操作符关键字有： contains和matches关键字“contains”过滤包含指定字符串的数据包。例如：http.request.uri contains “/dll/test.htm?” //过滤http请求的uri中含有/dll/test.htm?字段的请求信息udp contains 81:60:03 //过滤包含81:60:03的udp数据包http.request.uri matches “V4=..1″ //matches 匹配过滤条件中给定的正则表
超级实用wireshark的使用技巧！/超级实用wireshark的使用技巧！_零开始渗透自学路线
最新发布
2401_84915584的博客
05-14 261
更多的设置可以在编辑->首选项窗口中完成。这个窗口的设置精度可以达到一些协议的细节。比如在此窗口单击-->TCP就可以看到多个TCP相关选项，将鼠标停在每一项上都会有详细介绍。
Wireshark
weixin_54347738的博客
09-10 3104
①ip.src==源IP地址ip.dst==目的IP地址②选中一个源/目的IP是筛选条件的数据包，找到下的Source字段。右击字段，再选择作为过滤器应用–-> 最后点击选中，就可筛选出该源/目的IP的所有包了。
流量分析-Wireshark -操作手册（不能说最全，只能说更全）
路baby的博客
03-22 1万+
流量分析-Wireshark -操作手册（不能说最全，只能说更全） 基于各种比赛做的总解 基于协议过滤⼿法👍 常用筛选命令方法 常⽤快捷键👍 数据包筛选 顶峰相见
WireShark如何抓包，各种协议（HTTP、ARP、ICMP）的过滤或分析，用WireShark实现TCP三次握手和四次挥手
宝藏女孩的成长日记
03-09 1万+
wireshark是非常流行的网络封包分析软件，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。常用来检测网络问题、攻击溯源、或者分析底层通信机制。
wireshark实验练习
06-13
使用wireshark过滤器，过滤分析并快速找出用户账号和密码。
Wireshark实验讲义.doc
06-05
Wireshark 实验讲义 Wireshark 是一款功能强大的网络数据包（分组）分析软件，能够在 Windows、Linux 及 MAC 平台上提取并分析网络分组，并尽可能详细地显示出网络分组信息。Wireshark 使用 WinPCAP 作为接口，直接...
WireShark实验1
08-08
WireShark 实验报告 本实验报告通过 WireShark 分析了五种不同的网络协议：IP 协议、ICMP 协议、ARP 协议、DHCP 协议和 DNS 协议。实验中，我们使用 WireShark 软件来捕获和分析网络数据包，以更好地理解这些协议的...
WireShark实验报告1
08-08
WireShark 实验报告 1 本实验报告主要介绍了使用 WireShark 分析 IP 协议、ICMP 协议、ARP 协议、DHCP 协议、DNS 协议和 TCP 协议。实验主要分为三个部分：IP Option 和 ICMP 协议、ICMP 协议和 ARP 协议。 IP ...
如何使用Wireshark进行 关键字搜索过滤/搜索报文关键字/字符串查找
热门推荐
ROOM-201
07-01 6万+
之前查找怎么搜索，网络上好多写的不是很清楚，摸索半天终于找到了在哪点出关键字搜索。记录一下。 默认的wireshark过滤界面如图所示： 之后点这个小放大镜图标，就会弹出新的一栏搜索菜单，如图所示： 然后配置搜索条件，即可进行字符串搜索，找出含有该字符串的报文。 ...
wireshark抓包的使用，超级详细，收藏这一篇就够了
Javachichi的博客
12-29 1万+
抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&&且、||或、!ip.addr==192.168.23.1 显示主机地址为192.168.23.1的数据包。ip.dstr==192.168.23.1 显示目标地址为192.168.23.1的数据包。=(不等于)、>(大于)、=(大于等于)、
wireshake 总结
wnjok的专栏
11-07 378
  wireshark过滤基本命令  一、IP过滤： ip.addr==192.168.22.143 ip.src==192.168.22.143 ip.dst==192.168.22.124   二、端口过滤： tcp.port==514 or udp.port == 514 tcp.port >= 1 and tcp.port <= 80   三、协议过滤： ...
wireshark中进行关键字搜索-关键字，基于协议的关键字，关键字支持正则表达式
刘贝斯老师的博客
03-25 1万+
语法： frame contains “字符串” 配置举例 1、在整个pcap文件中，搜索linux关键字–frame contains “linux” 2、搜索linux关键字的时候，基于DNS协议 要基于协议来搜索关键字，我们首先要知道该字段在协议的哪个位置。 如下图，DNS的queries下的name字段，放的dns解析后的域名， 查到了过滤语句： dns.qry. name 基于协议...
Wireshark使用技巧
Fly_鹏程万里
04-16 4883
前言Wireshark是一款图形界面的网络嗅探器，支持多种平台，是网络流量分析的利器。它的创始人是Gerald Combs，前身是Ethereal，作为开源项目经过众多开发者的完善它已经成为使用量最大的安全工具之一。最近刚把《Wireshark网络分析就是这么简单》看完，写的很有意思，把一些心得和技巧分享一下，部分内容也也源自个人总结。本文所使用的Wireshark是2.4.0版，可以到官网下载：...
wireshark数据包内容查找功能详解
ryanzzzzz的博客
10-21 4226
选择Unicode字符集的编码方式，其中【窄】指的UTF-8编码方式，也就是一个字符编码占1-4个字节（所以兼容ASCII编码），【宽】指的UTF-16编码方式，一个字符占2或4个字节。如下图，【分组列表】区域查找指的是在最上方的数据包列表区域查找；【分组详情】区域查找指的是在中间的数据包具体内容区域查找；【分组字节流】区域查找则是最下方的字节流区域查找。【十六进制值】如果选择这个规则，则查找的区域只能是分组字节流，匹配包含有目标hex字节的分组数据流。（1）选择查找目标区域（也就是在哪里去匹配特征值）
如何使用Wireshark进行 关键字过滤、报文过滤、报文关键字过滤 以及查找
fan7983377的博客
09-27 3万+
推荐 Wireshark使用教程（界面说明、捕获过滤器表达式、显示过滤器表达式） Wireshark常用过滤使用方法 过滤 打开主页面能看到很多报文，但是从这么多报文中筛选我们需要的某个类型的报文，就需要用到表达式功能，比如下面，只让列表显示Pairing相关的内容： 首先点击“表达式…” 然后输入首先在下面搜索的范围，比如我们这里要从airoha里面获取相关的内容，这里就输入“airo...
wireshark常用筛选命令
victorwjw的博客
01-12 4099
wireshark常用筛选命令

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值