第1关：抓取Ethernet包

任务描述

本关任务：在 Wireshark 下抓取 Ethernet 包。

相关知识

为了完成本关任务，你需要掌握：

1. Ethernet 帧结构；
2. 学会抓取一组以太帧结构。

以太帧类型

以太帧有很多种类型。不同类型的帧具有不同的格式和 MTU 值。但在同种物理媒体上都可同时存在。

1. 以太网第二版或者称之为 Ethernet II 帧，DIX 帧，是最常见的帧类型。并通常直接被 IP 协议使用；
2. Novell 的非标准 IEEE 802.3 帧变种；
3. IEEE 802.2 逻辑链路控制（LLC) 帧；
4. 子网接入协议（SNAP）帧。

Ethernet帧格式

以太网中大多数的数据帧使用的是 Ethernet II 格式：

Ethernet II 类型以太网帧的最小长度为 64 字节（6＋6＋2＋46＋4），最大长度为 1518 字节（6＋6＋2＋1500＋4）。其中： （1）前 12 字节分别标识出发送数据帧的源节点 MAC 地址和接收数据帧的目标节点 MAC 地址； （2）接下来的 2 个字节标识出以太网帧所携带的上层数据类型，如 16 进制数0x0800代表 IP 协议数据，16 进制数0x86dd代表 IPv6 协议数据，16 进制数0x809B代表 AppleTalk 协议数据，16 进制数0x8138代表 Novell 类型协议数据等； （3）在不定长的数据字段（Data）：其长度是 46 至 1500 字节； （4）4 个字节的帧校验序列（Frame. Check Sequence，FCS），采用 32 位 CRC 循环冗余校验对从“目标 MAC 地址”字段到“数据”字段的数据进行校验。

IEEE 802.3 帧格式：

各字段说明如下： （1）D-MAC && S-Mac：分别表示标识目标地址和源地址。它们均为 6 个字节长。如果传输出去的目标地址第一位是 0，则表示这是一个普通地址；如果是 1， 则表示这是一个组地址。 （2）Length / Type ：通常这个字段用于指定报文头后所接的数据类型。通常使用的值包括：IPv4（0x0800）, IPv6(0x86DD), ARP(0x0806）。 而值0x8100代表一个 Q-tagged 帧（802.1q）。通常一个基础的以太网帧长为 1518 字节，但是更多的新标准把这个值扩展为 2000 字节。 （3）MAC Client Data: 数据主体，由 LLC、SNAP 及 Data 构成。最小长度为 48 字节(加上帧头 12 字节，CRC4 字节刚好 64 字节), 当数据主体小于 48 字节时，会添加 pad 字段。选取最小长度是出于冲突检测的考虑(CSMA/CD）。而数据字段最大长度为 1502 字节。

IEEE 802.2 LLC的头构成： （a）DSAP 目的服务访问字段，1 字节长，指明帧的目的上层协议类型； （b） ASAP 源服务访问字段，1 字节长，指明帧的源上层协议类型； （c） control 控制 1 字节或者 2 字节，长度要看被封装的 LLC 数据类型，是 LLC 数据报（类型1）1 字节，LLC 对话的一部分（类型2）2 字节。

类型1 表明是无连接的，不可靠的 LLC 数据报，控制字段用0x03指明；类型 2 表明是面向连接可靠的 LLC 会话。 （4）FCS（Frame Check Sequence）：也叫 CRC（Cyclic Redundancy Check），CRC 是差错检测码，用来确定接收到的帧比特是否正确。

IEEE 802.3 SNAP

虽然 IEEE 802.3 是标准，但没有被业界采用。以太网 II 已成事实标准。于是 IEEE 802.3 扩展产生 IEEE 802.3 SNAP 来兼容以太网网头部协议，在 IEEE 802.2 LLC 头部后插入了 SNAP 头部。 SNAP 头部字段构成： （1）组织代码 3 字节长，指明维护接下来 2 字节意义的组织，对 IP 和 ARP，该字段被设置为0x00-00-00。 （2）以太网类型 如果组织代码为0x00-00-00，接下来 2 字节就是以太网类型 IP （0x0800）ARP（0x0806）。 因为增加了 LLC 头部的 3 字节和 SNAP 头部的 5 字节所以有效载荷比以太网 II 少 8 个字节。

捕获以太帧

确保浏览器的缓存为空(清除浏览器缓存：请选择工具—>清除最近历史记录)，然后启动 Wireshark 数据包嗅探器。 打开 URL http://gaia.cs.umass.edu，停止 Wireshark 数据包捕获，找到您向gaia.cs.umass.edu的 HTTP GET 消息的数据包编号以及gaia.cs.umass.edu相应您的 HTTP回应。抓包结果截图如下：

帧类型

本实验是关于以太网和 ARP，不需要高层协议，所以我们更改 Wireshark 的“捕获数据包列表”窗口，以便它仅显示有关 IP 以下协议的信息。请选择 Analyze-> Enabled Protocols（分析-启用的协议）。 然后取消选中 IP 框并选择确定。结果的截图如下：

使用git将本地文件推送到远程仓库永久保存

评测通关后，需要推送文件到远程仓库，请在评测通关后，执行以下操作：

• 在桌面空白处点击鼠标右键，点击“在此打开终端”，通过代码cd /data/workspace/myshixun/，进入到实训代码仓库；

• 执行 git 命令：

  1. git pull --unshallow origin master
  2. git add .
  3. git commit -m "Fisrt commit"
  4. git push origin master

  "Fisrt commit"相当于备注，可以是其它内容。这里需要输入 educoder 的用户名和密码，用户名输入 educoder 平台的登录用户名、手机号或者邮箱，密码输入 educoder 平台的登录密码，按照提示输入即可。

注意：密码输入过程中 Shell 窗口并不会显示输入的字符，正常输入后回车即可，注意不能使用退格键。

操作要求

双击打开桌面上的工作区文件夹workspace，再打开实训文件夹myshixun，并打开其中的文件message-1.txt，将查询的信息保存到文件message-1.txt。具体要求如下： （1）打开 Wireshark，加载实训文件夹中的ethernet-ethereal-trace-1文件，进行分析； （2）根据包含 HTTP GET 消息的以太网帧进行分析：以太网帧中 48 位目的地址是什么？填写到文件中； （3）打开左上角的terminal emulator窗口，通过ping gaia.cs.umass.edu命令查看gaia.cs.umass.edu的IP地址，在终端命令中输入查看arp命令：arp 查看是否有gaia.cs.umass.edu的MAC地址，如果有，将其MAC地址填写到文件中，如果没有，填写“否”到文件中； （4）Ethernet II 两字节的帧类型字段的十六进制值，填写到文件中； （5）保存文件并使用 git 将文件 message-1.txt 推送到远程仓库，此步骤不影响评测。

测试说明

平台会对你操作的结果进行测试，如果所有操作都正确，将顺利通过本关。

message-1.txt