通过Wireshark捕捉访问网页的全过程

通过Wireshark捕捉访问网页的全过程

整个过程可以概括为以下几个部分：

1）域名解析成IP地址

2）与目的主机进行TCP连接（三次握手）

3）发送与收取数据（浏览器与目的主机开始HTTP访问过程）

4）与目的主机断开TCP连接（四次挥手）

1. 打开Wireshark并开始捕捉

2. 访问网页

• 打开一个无痕浏览器，并访问网站www.4399.com

• 访问完成后，停止抓包

3. DNS解析域名过程

DNS域名解析时用的是UDP协议。整个域名解析的过程如下：

1）浏览器向本机DNS模块发出DNS请求，DNS模块生成相关的DNS报文；
2）DNS模块将生成的DNS报文传递给传输层的UDP协议单元；
3）UDP协议单元将该数据封装成UDP数据报，传递给网络层的IP协议单元；
4）IP协议单元将该数据封装成IP数据包，其目的IP地址为DNS服务器的IP地址；
5）封装好的IP数据包将传递给数据链路层的协议单元进行发送；
6）发送时在ARP缓存中查询相关数据，如果没有，就发送ARP广播（包含待查询的IP地址，收到广播的主机检查自己的IP，符合条件的主机将含有自己MAC地址的ARP包发送给ARP广播的主机）请求，等待ARP回应；
7）得到ARP回应后，将IP地址与路由的下一跳MAC地址对应的信息写入ARP缓存表；
8）写入缓存后，以路由下一跳的地址填充目的MAC地址，以数据帧形式转发；
9）转发可能进行多次；
10）DNS请求到达DNS服务器的数据链路层协议单元；
11）DNS服务器的数据链路层协议单元解析数据帧，将内部的IP数据包传递给网络层IP协议单元；
12）DNS服务器的IP协议单元解析IP数据包，将内部的UDP数据报传递给传输层UDP协议单元；
13）DNS服务器的UDP协议单元解析收到的UDP数据报，将内部的DNS报文传递给DNS服务单元；
14）DNS服务单元将域名解析成对应IP地址，产生DNS回应报文；
15）DNS回应报文->UDP->IP->MAC->我的主机；
16）我的主机收到数据帧，将数据帧->IP->UDP->浏览器；
17）将域名解析结果以域名和IP地址对应的形式写入DNS缓存表。

在显示过滤器中输入DNS，搜索www.4399.com相关的报文

IPv4 DNS请求报文：

分析：

第一个是Transaction ID为标识字段,2字节,用于辨别DNS应答报文是哪个请求报文的响应.

第二个是Flags标志字段,2字节,每一位的含义不同,具体可以参考上面那个图,也可以看下面这个图:

QR: 查询/响应,1为响应,0为查询

Opcode: 查询或响应类型,这里0表示标准,1表示反向,2表示服务器状态请求

AA: 授权回答,在响应报文中有效,待会儿再看

TC: 截断,1表示超过512字节并已被截断,0表示没有发生截断

RD: 是否希望得到递归回答

RA: 响应报文中为1表示得到递归响应

zero: 全0保留字段

rcode: 返回码,在响应报文中,各取值的含义:

0 - 无差错

1 - 格式错误

2 - 域名服务器出现错误

3 - 域参照问题

4 - 查询类型不支持

5 - 被禁止

6 ~ 15 保留

紧接着标志位的是

<