《計(jì)算機(jī)網(wǎng)絡(luò)設(shè)計(jì)與安全技術(shù)》第3章

網(wǎng)絡(luò)協(xié)議抓包分析1學(xué)習(xí)內(nèi)容：（1）數(shù)據(jù)包捕獲基礎(chǔ)；（2）數(shù)據(jù)包捕獲實(shí)驗(yàn)項(xiàng)目描述；（3）Wireshark工具應(yīng)用實(shí)例。學(xué)習(xí)目標(biāo)：（1）通過網(wǎng)絡(luò)抓包的層次分析，深入理解網(wǎng)絡(luò)協(xié)議的報(bào)文格式和傳輸要求；（2）掌握Wireshark工具的具體使用方法，并在網(wǎng)絡(luò)探測、端口掃描、FTP服務(wù)等應(yīng)用中靈活應(yīng)用。23.1數(shù)據(jù)包捕獲基礎(chǔ)

首先介紹數(shù)據(jù)包的嗅探原理，然后利用協(xié)議分析工具Wireshark，進(jìn)行數(shù)據(jù)包捕獲和過濾設(shè)置分析。33.1.1

數(shù)據(jù)包嗅探器原理4網(wǎng)卡具有以下幾種工作模式：（1）廣播模式（BroadCastModel）：它的目的MAC地址為0xFFFFFFFFFFFF，是廣播幀。工作在廣播模式的網(wǎng)卡接收廣播幀。（2）多播模式（Multi

CastModel）：多播傳送地址作為目的物理地址的幀可以被組內(nèi)的其他主機(jī)同時接收，而組外主機(jī)接收不到。但是，如果將網(wǎng)卡設(shè)置為多播傳送模式，它可以接收所有的多播傳送幀，而不論它是不是組內(nèi)成員。（3）直接模式（DirectModel）：工作在直接模式下的網(wǎng)卡只接收目的地址是自己

MAC地址的幀。（4）混雜模式（PromiscuousModel）：工作在混雜模式下的網(wǎng)卡接收所有流過網(wǎng)卡的幀，協(xié)議包捕獲程序就是在這種模式下運(yùn)行的。53.1.2Wireshark工具介紹Wireshark是一種可以運(yùn)行在Windows、UNIX和Linux等操作系統(tǒng)上的數(shù)據(jù)包嗅探器，屬于開源免費(fèi)軟件，依賴PCAP庫。6Wireshark捕獲篩選器設(shè)置Wireshark顯示篩選器7顯示過濾示例規(guī)則：ip.src_host==283.2

數(shù)據(jù)包捕獲實(shí)驗(yàn)項(xiàng)目描述實(shí)驗(yàn)內(nèi)容說明：案例包括需求描述、設(shè)計(jì)要點(diǎn)出發(fā)，開展網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)和實(shí)驗(yàn)室布局設(shè)計(jì)，最后給出工程概算和采購設(shè)備與材料的調(diào)研，培養(yǎng)網(wǎng)絡(luò)工程設(shè)計(jì)能力。（1）兩人一組，分組實(shí)驗(yàn)；（2）熟悉Ping、Tracert等命令，學(xué)習(xí)FTP、HTTP、SMTP和POP3協(xié)議；（3）在官網(wǎng)上下載和安裝Wireshark的最新版本，并了解其功能和使用方法；（4）下載并安裝任一種端口掃描工具；

（5）安裝FTP客戶端工具，便于抓取FTP客戶的登錄、下載和退出過程。93.3

Wireshark工具應(yīng)用實(shí)例3.3.1

Ping命令的數(shù)據(jù)包捕獲分析103.3.2Tracert命令數(shù)據(jù)捕獲校園網(wǎng)的路由跟蹤數(shù)據(jù)分析11廣域網(wǎng)的路由跟蹤數(shù)據(jù)分析123.3.3

端口掃描數(shù)據(jù)捕獲與分析445端口關(guān)閉前后的掃描和抓包情況13對Zenmap的端口掃描操作進(jìn)行抓包分析143.3.4

FTP協(xié)議包的捕獲與分析使用FileZilla軟件登錄FTP服務(wù)器示例15登錄FTP服務(wù)器的數(shù)據(jù)包信息16下載一個900字節(jié)大小的文件17下載900B

文件的數(shù)據(jù)包FTP協(xié)議信息18大于1MB的文件下載數(shù)據(jù)捕獲19FTP退出過程的數(shù)據(jù)捕獲觀察圖中的數(shù)據(jù)包發(fā)現(xiàn)，從客戶端23確認(rèn)退出請求，到雙方的交互完成結(jié)束，經(jīng)歷了4個數(shù)據(jù)包，符合TCP協(xié)議斷開連接過程是“4次揮手”。數(shù)據(jù)包分析：第1個數(shù)據(jù)包：是客戶端對服務(wù)器關(guān)閉連接的響應(yīng)；第2個數(shù)據(jù)包：是客戶端完成與服務(wù)器之間的信息傳輸；第3個數(shù)據(jù)包：是FTP服務(wù)器到客戶端的數(shù)據(jù)發(fā)送已完成；第4個數(shù)據(jù)包：是客戶端對第3個數(shù)據(jù)包的響應(yīng)。20還可能產(chǎn)生其他交互情況：對該圖中的6個數(shù)據(jù)包進(jìn)行以下分析：第1個數(shù)據(jù)包：是客戶端完成數(shù)據(jù)傳輸任務(wù)，向服務(wù)器的數(shù)據(jù)連接發(fā)出說明；第2個數(shù)據(jù)包：服務(wù)器07到客戶端的數(shù)據(jù)傳輸任務(wù)完成；第3個數(shù)據(jù)包：服務(wù)器在數(shù)據(jù)連接上對第1個包的響應(yīng)；第4個數(shù)據(jù)包：客戶端在控制連接上對第2個包的響應(yīng)；第5個數(shù)據(jù)包：客戶端在控制連接上向服務(wù)器表明所有任務(wù)完成；

第6個數(shù)據(jù)包：服務(wù)器在控制連接上對客戶端的響應(yīng)。至此，雙方的所有連接斷開。213.3.5

HTTP協(xié)議包的捕獲與分析WEB網(wǎng)頁訪問的數(shù)據(jù)捕獲情況22WEB網(wǎng)頁訪問的HTTP協(xié)議分析23WEB網(wǎng)頁訪問的TCP協(xié)議分析24WEB網(wǎng)頁訪問的IP協(xié)議分析本章小結(jié)

本章從網(wǎng)絡(luò)數(shù)據(jù)包捕獲原理出發(fā)，通過著名的網(wǎng)絡(luò)抓包工具Wireshark，來闡述協(xié)議抓包的具體要求和解析過程，增強(qiáng)網(wǎng)絡(luò)安全防范意識。

重點(diǎn)闡述了一個綜合性的網(wǎng)絡(luò)抓包案例，包括網(wǎng)絡(luò)層的ICMP協(xié)議和IP協(xié)議、傳輸層的TCP協(xié)議、應(yīng)用層的FTP協(xié)議和HTTP協(xié)議。采用PING命令，可以捕獲ICMP協(xié)議的4個發(fā)送包和4個接收包