分组嗅探器的结构
要深入理解网络协议，需要仔细观察协议实体之间交换的报文序列。为探究协议操作细节，可使协议实体执行某些动作，观察这些动作及其影响。这些任务可以在仿真环境下或在如因特网这样的真实网络环境中完成。观察在正在运行协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer）。顾名思义，一个分组嗅探器俘获（嗅探）计算机发送和接收的报文。一般情况下，分组嗅探器将存储和显示出被俘获报文的各协议头部字段的内容。图1为一个分组嗅探器的结构。
图1右边是计算机上正常运行的协议（在这里是因特网协议）和应用程序（如：web浏览器和ftp客户端）。分组嗅探器（虚线框中的部分）是附加计算机普通软件上的，主要有两部分组成。分组俘获库（packet capture library）接收计算机发送和接收的每一个链路层帧的拷贝。高层协议（如：HTTP、FTP、TCP、UDP、DNS、IP等）交换的报文都被封装在链路层帧中，并沿着物理媒体（如以太网的电缆）传输。图1假设所使用的物理媒体是以太网，上层协议的报文最终封装在以太网帧中。
分组嗅探器的第二个组成部分是分析器。分析器用来显示协议报文所有字段的内容。为此，分析器必须能够理解协议所交换的所有报文的结构。例如：我们要显示图1中HTTP协议所交换的报文的各个字段。分组分析器理解以太网帧格式，能够识别包含在帧中的IP数据报。分组分析器也要理解IP数据报的格式，并能从IP数据报中提取出TCP报文段。然后，它需要理解TCP报文段，并能够从中提取出HTTP消息。最后，它需要理解HTTP消息。
Wireshark （Ethereal）是一种可以运行在Windows, UNIX, Linux等操作系统上的分组分析器。Wireshark （Ethereal）是免费的，可以从http://biz.doczj.com/doc/d63176123.html,得到。
网络协议分析软件 Wireshark 与 Ethereal 的关系Wireshark（原名Ethereal）是目前世界上最受欢迎的协议分析软件，利用它可将捕获到的各种各样协议的网络二进制数据流翻译为人们容易读懂和理解的文字和图表等形式，极大地方便了对网络活动的监测分析和教学实验。它有十分丰富和强大的统计分析功能，可在Windows，Linux 和UNIX等系统上运行。此软件于1998年由美国Gerald Combs首创研发，
原名Ethereal，至今世界各国已有100多位网络专家和软件人员正在共同参与此软件的升级完善和维护。它的名称于2006年5月由原Ethereal改为Wireshark。至今它的更新升级速度大约每2～3个月推出一个新的版本，2007年9月时的版本号为0.99.6。但是升级后软件的主要功能和使用方法保持不变。它是一个开源代码的免费软件，任何人都可自由下载，也可参与共同开发。
Wireshark网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络
安全的教学实验，网络的日常安全监测，网络性能参数测试，网络恶意代码的捕获分析，网络用户的行为监测，黑客活动的追踪等。因此它在世界范围的网络管理专家，信息安全专家，软件和硬件开发人员中，以及美国的一些知名大学的网络原理和信息安全技术的教学、科研和实验工作中得到广泛的应用。
在安装新旧版本软件包和使用中，Ethereal与Wireshark的一些细微区别如下：（1）Ethereal软件安装包中包含的网络数据采集软件是winpcap 3.0的版本，保存捕获数据时只能用英文的文件名，文件名默认后缀为 .cap
（2）Wireshark软件安装包中，目前包含的网络数据采集软件是winpcap 4.0版本，保存捕获数据时可以用中文的文件名，文件名默认后缀为 .pcap。另外，Wireshark可以翻译解释更多的网络通信协议数据，对网络数据流具有更好的统计分析功能，在网络安全教学和日常网络监管工作中使用更方便，而基本使用方法仍然与Ethereal相同。
说明：为了帮助大家轻松掌握Wireshark十分强大的网络原理实验、网络数据分析统计和图表功能，现将Wireshark主操作界面上的菜单译为中英对照，供参考。
Wireshark 主界面的操作菜单
File 打开文件
Open 打开文件
Open Recent 打开近期访问过的文件
Merge…将几个文件合并为一个文件
Close 关闭此文件
Save As…保存为…
File Set 文件属性
Export 文件输出
Print… 打印输出
Quit 关闭
Edit 编辑
Find Packet…搜索数据包
Find Next 搜索下一个
Find Previous 搜索前一个
Mark Packet (toggle) 对数据包做标记（标定）
Find Next Mark 搜索下一个标记的包
Find Previous Mark 搜索前一个标记的包
Mark All Packets 对所有包做标记
Unmark All Packets 去除所有包的标记
Set Time Reference (toggle) 设置参考时间（标定）
Find Next Reference 搜索下一个参考点
Find Previous Reference 搜索前一个参考点
Preferences 参数选择
View 视图
Main Toolbar 主工具栏
Filter Toolbar 过滤器工具栏
Wireless Toolbar 无线工具栏
Statusbar 运行状况工具栏
Packet List 数据包列表
Packet Details 数据包细节
Packet Bytes 数据包字节
Time Display Format 时间显示格式
Name resolution 名字解析（转换：域名/IP地址，厂商名/MAC地址，端口号/端口名） Colorize Packet List 颜色标识的数据包列表
Auto Scroll in Live Capture 现场捕获时实时滚动
Zoom In 放大显示
Zoom Out 缩小显示
Normal Size 正常大小
Resize All Columns 改变所有列大小
Expand Sub trees 扩展开数据包内封装协议的子树结构
Expand All 全部扩展开
Collapse All 全部折叠收缩
Coloring Rules… 对不同类型的数据包用不同颜色标识的规则
Show Packet in New Window 将数据包显示在一个新的窗口
Reload 将数据文件重新加
Go 运行
Back 向后运行
Forward 向前运行
Go to packet…转移到某数据包
Go to Corresponding Packet 转到相应的数据包
Previous Packet 前一个数据包
Next Packet 下一个数据包
First Packet 第一个数据包
Last Packet 最后一个数据包
Capture 捕获网络数据
Interfaces…选择本机的网络接口进行数据捕获
Options… 捕获参数选择
Start 开始捕获网络数据
Stop 停止捕获网络数据
Restart 重新开始捕获
Capture Filt ers…选择捕获过滤器
Analyze 对已捕获的网络数据进行分析
Display Filters…选择显示过滤器
Apply as Filter 将其应用为过滤器
Prepare a Filter 设计一个过滤器
Firewall ACL Rules 防火墙ACL规则
Enabled Protocols…已可以分析的协议列表
Deco de As… 将网络数据按某协议规则解码
User Specified Decodes…用户自定义的解码规则
Follow TCP Stream 跟踪TCP传输控制协议的通信数据段，将分散传输的数据组装还原
Follow SSL stream 跟踪SSL 安全套接层协议的通信数据流
Expert Info 专家分析信息
Expert Info Composite 构造专家分析信息
Statistics对已捕获的网络数据进行统计分析
Summary 已捕获数据文件的总统计概况
Protocol Hierarchy 数据中的协议类型和层次结构
Conversations 会话
Endpoints 定义统计分析的结束点
IO Graphs 输入/输出数据流量图
Conversation List 会话列表
Endpoint List 统计分析结束点的列表
Service Response Time 从客户端发出请求至收到服务器响应的时间间隔
ANSI 按照美国国家标准协会的ANSI协议分析 Fax T38 Analysis... 按照T38传真规范进行分析
GSM 全球移动通信系统GSM的数据
H.225 H.225协议的数据
MTP3 MTP3协议的数据
RTP 实时传输协议RTP的数据
SCTP 数据流控制传输协议SCTP的数据
SIP... 会话初始化协议SIP的数据
VoIP Calls 互联网IP电话的数据
WAP-WSP 无线应用协议WAP和WSP的数据
BOOTP-DHCP 引导协议和动态主机配置协议的数据
Destinations…通信目的端
Flow Graph… 网络通信流向图
HTTP 超文本传输协议的数据
IP addre ss… 互联网IP地址
ISUP Messages… ISUP协议的报文
Multicast Streams 多播数据流
ONC-RPC Programs
Packet Length 数据包的长度
Port Type…传输层通信端口类型
TCP Stream Graph 传输控制协议TCP数据流波形图
Help 帮助
Contents Wireshark 使用手册
Supported Protocols Wireshark支持的协议清单
Manual Pages 使用手册（HTML网页）
Wireshark Online Wireshark 在线
About Wireshark 关于Wireshark
Wireshark可以将从网络捕获到的二进制数据按照不同的协议包结构规范，翻译解释为人们可以读懂的英文信息，并显示在主界面的中部窗格中。为了帮助大家在网络安全与管理的数据分析中，迅速理解Wireshark显示的捕获数据帧内的英文信息，特做如下中文的翻译解释。Wireshark显示的下面这些数据信息的顺序与各数据包内各字段的顺序相同，其他帧的内容展开与此类似。
帧号时间源地址目的地址高层协议包内信息概况
No. Time Source Destination Protocol Info
1 0.000000 202.203.44.225 202.203.208.3
2 TCP 2764 > http [SYN] Seq=0 Len=0 MSS=1460 源端口>目的端口[请求建立TCP链接]
以下为物理层的数据帧概况
Frame 1 (62 bytes on wire, 62 bytes captured) 1号帧，线路62字节，实际捕获62字节
Arrival Time: Jan 21, 2008 15:17:33.910261000 捕获日期和时间
[Time delta from previous packet:0.00000 seconds]此包与前一包的时间间隔
[Time since reference or first frame: 0.00 seconds]此包与第1帧的间隔时间
Frame Number: 1 帧序号Packet Length: 62 bytes 帧长度
Capture Length: 62 bytes 捕获长度[Frame is marked: False] 此帧是否做了标记：否
[Protocols in frame: eth:ip:tcp] 帧内封装的协议层次结构[Coloring Rule Name: HTTP] 用不同颜色染色标记的协议名称：HTTP [Coloring Rule String: http || tcp.port == 80] 染色显示规则的字符串：
以下为数据链路层以太网帧头部信息Ethernet II, Src: AcerTech_5b:d4:61 (00:00:e2:5b:d4:61), Dst: Jetcell_e5:1d:0a
(00:d0:2b:e5:1d:0a)
以太网协议版本II，源地址：厂名_序号（网卡地址），目的：厂名_序号（网卡地址）
Destination: Jetcell_e5:1d:0a (00:d0:2b:e5:1d:0a) 目的：厂名_序号（网卡地址） Source: AcerTech_5b:d4:61 (00:00:e2:5b:d4:61) 源：厂名_序号（网卡地址）Type: IP (0x0800) 帧内封装的上层协议类型为IP（十六进制码0800）看教材70页图3.2
以下为互联网层IP包头部信息
Internet Protocol, Src: 202.203.44.225 (202.203.44.225), Dst: 202.203.208.32
(202.203.208.32) 互联网协议，源IP地址，目的IP地址
Version: 4 互联网协议IPv4
Header length: 20 bytes IP包头部长度Differentiated Services Field:0x00(DSCP 0x00:Default;ECN:0x00)差分服务字段
Total Length:
48 IP包的总长度
Identification:0x8360 (33632) 标志字段Flags: 标记字段（在路由传输时，是否允许将此IP包分段）
Fragment offset: 0 分段偏移量（将一个IP包分段后传输时，本段的标识）
Time to live:
128 生存期TTL
Protocol: TCP (0x06) 此包内封装的上层协议为TCP
Header checksum: 0xe4ce [correct] 头部数据的校验和Source: 202.203.44.225 (202.203.44.225) 源IP地址Destination: 202.203.208.32 (202.203.208.32) 目的IP地址
以下为传输层TCP数据段头部信息
Transmission Control Protocol, Src Port: 2764 (2764), Dst Port: http (80), Seq: 0, Len:
传输控制协议TCP的内容
Source port: 2764 (2764）源端口名称（端口号）
Destination port: http (80) 目的端口名http（端口号80）Sequence number: 0 (relative sequence number) 序列号（相对序列号）
Header length: 28
bytes 头部长度Flags: 0x02 (SYN) TCP标记字段（本字段是SYN，是请求建立TCP连接）
Window size: 65535 流量控制的窗口大小
Checksum: 0xf73b [correct] TCP数据段的校验和
Options: (8
bytes)
可选项
Wireshark简明使用教程
wireshark是一款抓包软件，比较易用，在平常可以利用它抓包，分析协议或者监控网络，是一个比较好的工具。
这里先说Wireshark的启动界面和抓包界面
启动界面：
抓包界面的启动是
按file下的按钮
之后会出现
这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包
这个就是抓包的界面了（也是主界面）
Wireshark主窗口由如下部分组成：
1.菜单——用于开始操作。
2.主工具栏——提供快速访问菜单中经常用到的项目的功能。
3.Fiter toolbar/过滤工具栏——提供处理当前显示过滤得方法。
4.Packet List面板——显示打开文件的每个包的摘要。点击面板中的单独条目，包
的其他情况将会显示在另外两个面板中。
5.Packet detail面板——显示您在Packet list面板中选择的包的更多详情。
6.Packet bytes面板——显示您在Packet list面板选择的包的数据，以及在Packet
details面板高亮显示的字段。
7.状态栏——显示当前程序状态以及捕捉数据的更多详情。
1.菜单栏
主菜单包括以下几个项目:
File ——包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出Wireshark项.
Edit ——包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。）
View ——控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点
GO ——包含到指定包的功能。
Analyze ——包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP流等功能。
Statistics ——包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。
Help ——包含一些辅助用户的参考内容。如访问一些基本的帮助文件，支持的协议列表，用户手册。在线访问一些网站，“关于”
2.工具栏（略）
3.过滤工具栏
会弹出对话框
这个和在工具栏上输入协议来查找包的结果是一样的，只是它方便点
在工具栏上输
点击在此区域输入或修改显示的过滤字符，在输入过程中会进行语法检查。如果您输入的格式不正确，或者未输入完成，则背景显示为红色。直到您输入合法的表达式，背景会变为绿色。你可以点击下拉列表选择您先前键入的过滤字符。列表会一直保留，即使您重新启动程序。
注意：
1.做完修改之后，记得点击右边的Apply(应用)按钮，或者回车，以使过滤生
效。
2.输入框的内容同时也是当前过滤器的内容（当前过滤器的内容会反映在输入
框）
4.封包列表
封包列表中显示所有已经捕获的封包。在这里您可以看到发送或接收方的
MAC/IP地址，TCP/UDP端口号，协议或者封包的内容。如果捕获的是一个OSI
layer 2的封包，您在Source（来源）和Destination（目的地）列中看到的将是MAC地址，当然，此时Port（端口）列将会为空。
如果捕获的是一个OSI layer 3或者更高层的封包，您在Source（来源）和
Destination（目的地）列中看到的将是IP地址。Port（端口）列仅会在这个
封包属于第4或者更高层时才会显示。
您可以在这里添加/删除列或者改变各列的颜色：
Edit menu -> Preferences
5.封包详细信息
这里显示的是在封包列表中被选中项目的详细信息。
信息按照不同的OSI layer进行了分组，您可以展开每个项目查看。
ps：wireshark会用不难，难的是会看懂这些包
（如果对这些包头信息不了解的可以自己去查查资料）
6. 16进制数据
“解析器”在Wireshark中也被叫做“16进制数据查看面板”。这里显示的内容与“封包详细信息”中相同，只是改为以16进制的格式表述。
在这里我们还要学会在大量的信息中过滤和分析我们需要的信息
过滤：
过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。
-捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在
开始捕捉前设置。
-显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结
果后随意修改。
两种过滤器的目的是不同的。
1.捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
2.显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。
1.捕捉过滤器
捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。
设置捕捉过滤器的步骤是：
- 选择 capture -> options。
- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。
- 点击开始（Start）进行捕捉。
语法：
例子：tcp dst10.1.1.180and
tcp dst 10.2.2.2 3128
Protocol（协议）:
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction（方向）:
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字。
例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。
Host(s):
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用"host"关键字。
例如，"src 10.1.1.1"与"src host 10.1.1.1"相同。
Logical Operations（逻辑运算）:
可能的值：not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至
右进行。
例如，
"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。
例子：
tcp dst port 3128
显示目的TCP端口为3128的封包。
ip src host 10.1.1.1
显示来源IP地址为10.1.1.1的封包。
host 10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。
src portrange 2000-2500
显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
not imcp
显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
src host 10.7.2.12 and not dst net 10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange
200-10000 and dst net 10.0.0.0/8
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。
注意事项：
当使用关键字作为值时，需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。
"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。
可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时，"no broadcast"就会非常有用。
2. 显示过滤器
通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。
它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需要重新捕捉一次。
语法：
例子：ftp passive ip==10.2.3.4xor icmp.type Protocol（协议）:
您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后，您可以看到它们。
比如：IP，TCP，DNS，SSH
String1, String2 (可选项):
协议的子类。
点击相关父类旁的"》"号，然后选择其子类。
Comparison operators （比较运算符）: 可以使用6种比较运算符：
Logical expression_rs（逻辑运算符）:
被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。
让我们举个例子：
"tcp.dstport 80 xor tcp.dstport 1025"
只有当目的TCP端口为80或者来源于端口1025（但又不能同时满足这两点）时，这样的封包才会被显示。
例子：
snmp || dns || icmp显示SNMP或DNS或ICMP封包。
ip.addr == 10.1.1.1
显示来源或目的IP地址为10.1.1.1的封包。
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6以外任意
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意
tcp.port == 25显示来源或目的TCP端口号为25的封包。
tcp.dstport == 25显示目的TCP端口号为25的封包。
tcp.flags显示包含TCP标志的封包。
tcp.flags.syn == 0x02显示包含TCP SYN标志的封包。
如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。
分析：
"Follow TCP Stream"
如果你处理TCP协议，想要查看Tcp流中的应用层数据，"Following TCP streams"功能将会很有用。如果你项查看telnet流中的密码，或者你想尝试弄明白一个数据流。或者你仅仅只需要一个显示过滤来显示某个TCP流的包。这些都可以通过Wireshark 的"Following TCP streams"功能来实现。
在包列表中选择一个你感兴趣的TCP包，然后选择Wireshark工具栏菜单的"Following TCP Streams"选项(或者使用包列表鼠标右键的上下文菜单)。然后，Wireshark就会创建合适的显示过滤器，并弹出一个对话框显示TCP流的所有数据。
"Follow TCP Stream"对话框
流的内容出现的顺序同他们在网络中出现的顺序一致。从A到B的通信标记为红色，从B到A的通信标记为蓝色。当然，如果你喜欢的话你可以从"Edit/Preferences"菜单项的"Colores"修改颜色。
非打印字符将会被显示为圆点。XXX - What about line wrapping (maximum line length) and CRNL conversions?
在捕捉过程中，TCP流不能实时更新。想得到最近的内容需要重新打开对话框。
你可以在此对话框执行如下操作：
Save As 以当前选择格式保存流数据。
Print 以当前选择格式打印流数据。
Direction选择流的显示方向("Entire conversation", "data from A to B
only" or "data from B to A only").
Filter out this stream应用一个显示过滤，在显示中排除当前选择的TCP
流。
Close关闭当前对话框。移除对当前显示过滤的影响。
你可以用以下格式浏览流数据。
AsCII。在此视图下你可以以ASCII凡是查看数据。当然最适合基于ASCII的
协议用，例如HTTP.
EBCDIC。For the big-iron freaks out there.（不知道这句是什么意思，
EBCDIC 是IBM公司的字符二进制编码标准。）
HEX Dump. 允许你查看所有数据，可能会占用大量屏幕空间。适合显示二进制
协议。
C Arrays.允许你将流数据导入你自己的C语言程序。
RAW。允许你载入原始数据到其他应用程序做进一步分析。显示类似与ASCII
设置。但“save As”将会保存为二进制文件
Windows下对本地网络通信进行抓包
Windows下传统的抓包工具如Wireshark/Ethereal不能对本地程序之间的网络通信抓包，
这是因为如果你准备抓取一台机器到自己的报文，则这个报文将不会经过实际的网络适配器，即使报文是发往这台机器上的某个网络适配器地址，这也意味着当你抓包的时候是看不到报文的。
一些商业抓包工具使用Winsock LSP (Layered Service Provider)技术实现了本地程序之间的网络通信抓包。如果即想要对本地通信进行抓包又要使用Wireshark/Ethereal就要费一番周折了。
http://biz.doczj.com/doc/d63176123.html,/CaptureSetup/Loopback详细介绍了如何操作。实际操作其实很简单，共分5步：
1 按照这个http://biz.doczj.com/doc/d63176123.html,/kb/839013网址中介绍安装loopback网卡驱动。
2 用ipconfig/all命令获得新安装的loopback网卡的MAC地址，比如为55-55-55-55-55-55
3 给新网卡设置IP地址，比如设置为192.168.0.100，子网掩码设置为255.255.255.0
4 添加ARP绑定，比如arp –s 192.168.0.100 55-55-55-55-55-55
5 添加路由，比如route add 192.168.0.100 mask 255.255.255.255 192.168.0.100
然后在ping 192.168.0.100的同时抓包，抓包的时候选择新安装的loopback网卡。就这么简单！
WireShark分析TCP协议 韩承昊3172700 摘要： 利用wireshark分析TCP协议的报文，和其基本行为，包括三 次握手，中间信息的交互，和最后的断开连接。其中通过中间信息的交互，可以看出TCP的累积式确认。 一：基本TCP报文分析 我们来看一个简单的TCP报文，现在蓝字选中的是源端口号，
我们可以看到在这个报文中是14065，下面对应的是相应的二进制代码，我们可以看到的确是16bit。紧随其后的16bit就是目的端口号。 下面是序号，Sequence number: 1169。接下来的32bit是确认号，Acknowledgement number: 19353。再后面是首部长度，Header length: 20 bytes，和未用的3bit数据。 0= Urgent:Not set，1=Acknowledgement: set，0= Push:Not set，0= Reset:Not set，0= Syn:Not set，0= Fin:Not set，这些表示的是一些标识位，是URG紧急标识，ACK确认标识，PSH推送标识，RST、SYN、FIN用于建立和结束连接。window size value：65535 表示接收窗口。 二：三次握手分析 三次握手的第一步，客户机端会向服务器端发送一个特殊的TCP报文段，这个报文段的SYN被置为1，并会发送一个起始序号seq。
我们看到SYN为1，且Sequence number=0，这样，面对这样的请求报文段，服务器听该返回一个SYN=1，返回自己的初始seq，并且要求主机发送下一个报文段的序号，ack=1。下面是服务端实际返回的报文。 正如我们所期待的那样，服务器返回了自己的seq=0，并且要求主机端发送下一个报文段，并且SYN=1。这样主机端就应该返回seq=1，ack=1，要求服务端发送下一个报文，并且SYN=0，结束建立连接阶段，结束三次握手。
常用无线通信协议 目前使用较广泛的近距无线通信技术有蓝牙(Bluetooth),无线局域网802.11(Wi-Fi)和红外线数据传输(IrDA).此外，还有一些具有发展潜力的近距无线技术标准，分别是ZigBee,超宽频,短距通信,WiMedia,GPS,DECT,无线1394和专用无线系统等。 蓝牙(Bluetooth)技术 蓝牙是一种支持设备短距离通信的无线电技术。它是一种无线数据与语音通信的开放性全球规范，它以低成本的短距离无线连接为基础，可为固定的或移动的终端设备提供廉价的接入服务。蓝牙技术的实质内容是为固定设备或移动设备之间的通信环境建立通用的近距无线接口，将通信技术与计算机技术进一步结合起来，使各种设备在没有电线或电缆相互连接的情况下，能在近距离范围内实现相互通信或操作。其传输频段为全球公众通用的2.4GHzISM频段，提供1Mbps的传输速率和10m 的传输距离。 优势：⑴全性高。蓝牙设备在通信时，工作的频率是不停地同步变化的，也就是跳频通信。双方的信息很难被抓获，防止被破解或恶意插入欺骗信息。⑵于使用。蓝牙技术是一项即时技术，不要求固定的基础设施，且易于安装和设置。 不足：⑴通信速度不高。蓝牙设备的通信速度较慢，有很多的应用需求不能得到满足。⑵传输距离短。蓝牙规范最初为近距离通信而设计，所以他的通信距离比较短，一般不超过10m。 Wi-Fi(无线高保真)技术 无线宽带是Wi-Fi的俗称。所谓Wi-Fi就是IEEE 802.11b的别称，它是一种短程无线传输技术，能够在数百英尺范围内支持互联网接入的无线电信号。Wi-Fi速率最高可达11Mb/s，电波的覆盖范围可达200m左右。 优势：⑴覆盖广。其无线电波的覆盖范围广，穿透力强。可以方便地为整栋大楼提供无线的宽带互联网的接入。⑵速度高。Wi-Fi技术的传输速度非常快，通信速度可达300Mb/s，能满足用户接入互联网，浏览和下载各类信息的要求。 不足：安全性不好。由于Wi-Fi设备在通信中没有使用跳频等技术，虽然使用了加密协议，但还是存在被破解的隐患。 IrDA(红外线数据协会)技术 IrDA是一种利用红外线进行点对点通信的技术，是第一个实现无线个人局域网(PAN)的技术。 IrDA 的主要优点是无需申请频率的使用权，因而红外通信成本低廉。并且还具有移动通信所需的体积小、功耗低、连接方便、简单易用的特点。此外，红外线发射角度较小，传输上安全性高。IrDA的不足在于它是一种视距传输，两个相互通信的设备之间必须对准，中间不能被其它物体阻隔，因而该技术只能用于 2 台（非多台）设备之间的连接。 优势：⑴无需申请频率的使用权，因此红外线通信成本低廉。⑵移动通信所需的体积小、功耗低、连接方便、简单易用。⑶外线发射角度较小，传输上安全性高。 不足：IrDA是一种视距传输，两个相互通信的设备之间必须对准，中间不能被其它物体阻隔，因而只用于两台设备之间连接。ZigBee(紫蜂)技术 ZigBee使用2.4 GHz 波段，采用跳频技术。它的基本速率是250kb/s，当降低到28kb/s 时，传输范围可扩大到134m，并获得更高的可靠性。另外，它可与254个节点联网。 优势：⑴功耗低。在低耗电待机模式下，两节普通5号干电池可使用6个月以上。⑵成本低。因ZigBee数据传输速率低，协议简单，所以成本很低。⑶网络容量大。每个ZigBee网络最多可支持255个设备。⑷作频段灵活。使用的频段分别为2.4GHz、868MHz(欧)及915MHz(美)，均为免执照频段。 不足：⑴数据传输速率低。只有10kb/s~250kb/s，专注于低传输应用。⑵有效范围小。有效覆盖范围为10~75m之间，具体依据实际发射功率的大小和各种不同的应用模式而定，基本上能够覆盖普通的家庭或办公室环境。 UWB(超宽带)技术 UWB（Ultra Wideband）是一种无线载波通信技术，利用纳秒级的非正弦波窄脉冲传输数据，因此其所占的频谱范围很宽。UWB 有可能在10 m 范围内，支持高达110 Mb/s的数据传输率，不需要压缩数据，可以快速、简单、经济地完成视频数据处理。 特点：⑴系统复杂度低，发射信号功率谱密度低，对信道衰落不敏感，载货能力低。⑵定位精度高，相容性好，速度高。⑶成本低，功耗低，可穿透障碍物。近距离无线传输 NFC(近距离无线传输)技术 NFC采用了双向的识别和连接。在20cm 距离内工作于13.56MHz 频率范围。NFC现已发展成无线连接技术。它能快速自动地建立无线网络，为蜂窝设备、蓝牙设备、Wi-Fi 设备提供一个“虚拟连接”，使电子设备可以在短距离范围进行通讯。 特点：NFC的短距离交互大大简化了整个认证识别过程，使电子设备间互相访问更直接、更安全和更清楚，不用再听到各种电子杂音。NFC 通过在单一设备上组合所有的身份识别应用和服务，帮助解决记忆多个密码的麻烦，同时也保证了数据的安全保护。此外NFC 还可以将其它类型无线通讯(如Wi-Fi 和蓝牙)“加速”，实现更快和更远距离的数据传输。
【实用技巧】wireshark过滤抓包与过滤查看在分析网络数据和判断网络故障问题中，都离不开网络协议分析软件（或叫网络嗅探器、抓包软件等等）这个“利器”，通过网络协议分析软件我们可以捕获网络中正常传输哪些数据包，通过分析这些数据包，我们就可以准确地判断网络故障环节出在哪。网络协议分析软件众多，比如ethereal（wireshark的前身),wireshark,omnipeek,sniffer,科来网络分析仪（被誉为国产版sniffer，符合我们的使用习惯）等等，本人水平有限，都是初步玩玩而已，先谈谈个人对这几款软件使用感受，wireshark（ethereal）在对数据包的解码上，可以说是相当的专业，能够深入到协议的细节上，用它们来对数据包深入分析相当不错，更重要的是它们还是免费得，但是用wireshark（ethereal）来分析大量数据包并在大量数据包中快速判断问题所在，比较费时间，不能直观的反应出来，而且操作较为复杂。像omnipeek,sniffer,科来网络分析仪这些软件是专业级网络分析软件，不仅仅能解码（不过有些解码还是没有wireshark专业），还能直观形象的反应出数据情况，这些软件会对数据包进行统计，并生成各种各样的报表日志，便于我们查看和分析，能直观的看到问题所在，但这类软件是收费，如果想感受这类专业级的软件，我推荐玩科来网络分析仪技术交流版，免费注册激活，但是只能对50个点进行分析。废话不多说，下面介绍几个wireshark使用小技巧，说的不好，还请各位多指点批评。 目前wireshark最新版本是1.7的，先简单对比下wireshark的1.6和1.7版本。 下面是wireshark的1.6版本的界面图：
实验一： 一、实验目的 学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线 四、实验步骤（操作方法及思考题） 1.用Wireshark观察ARP协议以及ping命令的工作过程：（20分） （1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；（2）用“arp”命令清空本机的缓存； （3）运行Wireshark，开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）; （4）执行命令：“ping 缺省路由器的IP地址”； 写出（1），（2）中所执行的完整命令（包含命令行参数），（3）中需要设置的Wireshark的Capture Filter过滤规则，以及解释用Wireshark所观察到的执行（4）时网络上出现的现象。 -------------------------------------------------------------------------------- （1）ipconfig/all （2）arp –d （3）( arp or icmp ) and ether host 18-03-73-BC-70-51, ping 192.168.32.254 后的截包信息图片：
首先，通过ARP找到所ping机器的ip地址，本机器发送一个广播包，在子网中查询192.168.32.254的MAC地址，然后一个节点发送了响应该查询的ARP分组，告知及其所查询的MAC地址。接下来，本机器发送3个请求的ICMP报文，目的地段回复了三个响应请求的应答ICMP报文。在最后对请求主机对应的MAC地址进行核查。 2.用Wireshark观察tracert命令的工作过程：（20分） （1）运行Wireshark, 开始捕获tracert命令中用到的消息； （2）执行“tracert -d http://biz.doczj.com/doc/d63176123.html,” 根据Wireshark所观察到的现象思考并解释tracert的工作原理。 ----------------------------------------------------------- 实验室路由跟踪显示有6个路由器
常用网络通信协议简介 常用网络通信协议 物理层: DTE(Data Terminal Equipment):数据终端设备 DCE(Data Communications Equipment):数据电路端接设备 #窄宽接入: PSTN ( Public Switched Telephone Network )公共交换电话网络 ISDN(Integrated Services Digital Network)ISDN综合业务数字网 ISDN有6种信道: A信道 4khz模拟信道 B信道 64kbps用于语音数据、调整数据、数字传真 C信道 8kbps/16kbps的数字信道，用于传输低速数据 D信道 16kbps数字信道，用于传输用户接入信令 E信道 64kbps数字信道，用于传输内部信令 H信道 384kbps高速数据传输数字信道，用于图像、视频会议、快速传真等. B代表承载， D代表Delta. ISDN有3种标准化接入速率: 基本速率接口(BRI)由2个B信道，每个带宽64kbps和一个带宽16kbps的D信道组成。三个信道设计成2B+D。 主速率接口(PRI) - 由很多的B信道和一个带宽64Kbps的D信道组成，B信道的数量取决于不同的国家: 北美和日本: 23B+1D, 总位速率1.544 Mbit/s (T1) 欧洲，澳大利亚:30B+2D,总位速率2.048 Mbit/s (E1) FR(Frame Relay)帧中继
X.25 X.25网络是第一个面向连接的网络,也是第一个公共数据网络. #宽带接入: ADSL:(Asymmetric Digital Subscriber Line)非对称数字用户环路 HFC(Hybrid Fiber,Coaxial)光纤和同轴电缆相结合的混合网络 PLC:电力线通信技术 #传输网: SDH:(Synchronous Digital Hierarchy)同步数字体系 DWDM:密集型光波复用(DWDM:Dense Wavelength Division Multiplexing)是能组合一组光波长用一根光纤进行传送。这是一项用来在现有的光纤骨干网上提高带宽的激光技术。更确切地说，该技术是在一根指定的光纤中，多路复用单个光纤载波的紧密光谱间距，以便利用可以达到的传输性能(例如，达到最小程度的色散或者衰减)。 #无线/卫星: LMDS:(Local Multipoint Distribution Services)作区域多点传输服务。这是一种微波的宽带业务，工作在28GHz附近频段，在较近的距离双向传输话音、数据和图像等信息。 GPRS:(General Packet Radio Service)通用分组无线服务技术。 3G:(3rd-generation，3G)第三代移动通信技术 DBS:(Direct Broadcasting Satellite Service)直播卫星业务 VAST: 协议:RS-232、RS-449、X.21、V.35、ISDN、FDDI、IEEE802.3、IEEE802.4、IEEE802.5等。 RS-232:是个人计算机上的通讯接口之一，由电子工业协会(Electronic Industries
实验4：利用W i r e s h a r k进行协议分析 1、实验目的 熟悉并掌握Wireshark的基本操作，了解网络协议实体间进行交互以及报文交换的情况。 2、实验环境 ?Windows 9x/NT/2000/XP/2003 ?与因特网连接的计算机网络系统 ?分组分析器Wireshark： 要深入理解网络协议，需要仔细观察协议实体之间交换的报文序列。为探究协议操作细节，可使协议实体执行某些动作，观察这些动作及其影响。这些任务可以在仿真环境下或在如因特网这样的真实网络环境中完成。观察在正在运行协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer）。顾名思义，一个分组嗅探器俘获（嗅探）计算机发送和接收的报文。一般情况下，分组嗅探器将存储和显示出被俘获报文的各协议头部字段的内容。图4-1 为一个分组嗅探器的结构。 图4-1 右边是计算机上正常运行的协议（在这里是因特网协议）和应用程序（如：w eb 浏览器和ftp 客户端）。分组嗅探器（虚线框中的部分）是附加计算机普通软件上的，主要有两部分组成。分组俘获库（packetcapture library）接收计算机发送和接收 图4-1 分组嗅探器的结构 的每一个链路层帧的拷贝。高层协议（如：HTTP、FTP、TCP、UDP、DNS、IP 等）交换的报文都被封装在链路层帧中，并沿着物理媒体（如以太网的电缆）传输。图1 假设所使用的物理媒体是以太网，上层协议的报文最终封装在以太网帧中。 分组嗅探器的第二个组成部分是分析器。分析器用来显示协议报文所有字段的内容。 为此，分析器必须能够理解协议所交换的所有报文的结构。例如：我们要显示图4-1 中HTTP 协议所交换的报文的各个字段。分组分析器理解以太网帧格式，能够识别包含在帧中的IP 数据报。分组分析器也要理解IP 数据报的格式，并能从IP 数据报中提取出TCP 报文段。然后，它需要理解TCP 报文段，并能够从中提取出HTTP 消息。 最后，它需要理解HTTP 消息。
常用通信协议汇总 一、有线连接 1.1RS-232 优点：RS-232是为点对点（即只用一对收、发设备）通讯而设计的，其驱动器负载为3kΩ~7kΩ。所以RS-232适合本地设备之间的通信。 缺点：（1）接口的信号电平值较高，易损坏接口电路的芯片，又因为与TTL 电平不兼容故需使用电平转换电路方能与TTL电路连接。 （2）传输速率较低，在异步传输时，最高速率为20Kbps。 （3）接口使用一根信号线和一根信号返回线而构成共地的传输形式，而发送电平与接收 电平的差仅为2V至3V左右，所以其共模抑制能力差，再加上双绞线上的分布电容，其传送距离最大为约15米。 1.2RS-485 RS485有两线制和四线制两种接线，四线制只能实现点对点的通信方式，现很少采用，现在多采用的是两线制接线方式，这种接线方式为总线式拓朴结构，传输距离一般在1~2km以下为最佳，如果超过距离加"中继"可以保证信号不丢失，而且结点数有限制，结点越多调试起来稍复杂，是目前使用最多的一种抄表方式，后期维护比较简单。常见用于串行方式，经济实用。 1.3CAN 最高速度可达1Mbps，在传输速率50Kbps时，传输距离可以达到1公里。在10Kbps速率时，传输距离可以达到5公里。一般常用在汽车总线上，可靠性高。 1.4TCP/IP 它可以用在各种各样的信道和底层协议（例如T1和X.25、以太网以及RS-232串行接口）之上。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。 1.5ADSL 基于TCP/IP 或UDP协议，将抄表数据发送到固定ip，利用电信/网通现有的布线方式，速度快，性能比较可以，缺点是不适合在野外，设备费用投入较大，对仪表通讯要求高。 1.6FSK 可靠通信速率为1200波特，可以连接树状总线；对线路性能要求低，通信距离远，一般可达30公里，线路绝缘电阻大于30欧姆，串联电阻高达数百欧姆都可以工作，适合用于大型矿井监控系统。主要缺点是：系统造价略高，通信线路要求使用屏蔽电缆；抗干扰性能一般，误码率略高于基带。 1.7光纤方式 传输速率高，可达百兆以上；通信可靠无干扰；抗雷击性能好，缺点：系统造价高；光纤断线后熔接受井下防爆环境制约，不宜直达分站，一般只用于通信干线。 1.8电力载波 1.9利用现有电力线，通过载波方式将模拟或数字信号进行高速传输的技术。由于使用坚固可靠的电力线作 为载波信号的传输媒介，因此具有信息传输稳定可靠，路由合理、可同时复用远动信号等特点，不需要线路投资的有线通信方式，但是开发费用高，调试难度大，易受用电环境影响，通讯状况用户的用电质量关系紧密。 二、无线连接 2.1Bluetooth 蓝牙是一种支持设备短距离通信的无线电技术。它是一种无线数据与语音通信的开放性全球规范，它以低
实验五使用Wireshark分析TCP协议、实验目的 分析TCP协议 二、实验环境 与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。 三、实验步骤 1、捕获一个从你电脑到远程服务器的TCP数据 打开FTP客户端，连接ftp://202.120.222.71,用” TCP为过滤条件，捕获建 立连接和断开连接的数据。 图5.1捕获的TCP数据 （1）连接建立： TCP连接通过称为三次握手的三条报文来建立的。观察以上数据，其中分组10到12显示的就是三次握手。第一条报文没有数据的TCP报文段（分组10）, 并将首部SYN位
设置为1。因此，第一条报文常被称为SYN分组。这个报文段 里的序号可以设置成任何值，表示后续报文设定的起始编号。连接不能自动从1 开始计数，选择一个随机数开始计数可避免将以前连接的分组错误地解释为当前连接的分组。观察分组10，Wireshark显示的序号是0。选择分组首部的序号字段，原始框中显示“9b 8e d1 f5 ”ireshark显示的是逻辑序号，真正的初始序号不是0。如图5.2所示： 图5.2逻辑序号与实际初始序号（分组10） SYN分组通常是从客户端发送到服务器。这个报文段请求建立连接。一旦成功建立了连接，服务器进程必须已经在监听SYN分组所指示的IP地址和端口号。如果没有建立连接，SYN分组将不会应答。如果第一个分组丢失，客户端通常会发送若干SYN分组，否则客户端将会停止并报告一个错误给应用程序。 如果服务器进程正在监听并接收到来的连接请求，它将以一个报文段进行相应，这个报文段的SYN位和ACK位都置为1。通常称这个报文段为SYNACK 分组。SYNACK分组在确认收到SYN分组的同时发出一个初始的数据流序号给
常见网络端口和网络协议 常见端口号： HTTP——80 FTP——21 TELNETt——23 SMTP ——25 DNS——53 TFTP——69 SNMP——161 RIP——520 查看端口状况： Netstat –n 应用层、表示层、会话层（telnet、ftp、snmp、smtp、rpc） 传输层、网络层（IP、TCP、OSPF、RIP、ARP、RARP、BOOTP、ICMP） 端口号的范围： 0~255 公共应用 255~1023 商业公司 1024~65535 没有限制 或： 1-1023 众所周知端口 >=1024 随机端口 下面介绍的这些端口都是服务器默认的端口,所以认识这些服务器端口对我们学习，和故障排错时很有帮助的。 下面列出了这些服务所对应的端口。 ftp-data20/tcp#FTP, data ftp21/tcp#FTP. control telnet23/tcp smtp25/tcp mail#Simple Mail Transfer Protocol pop3110/tcp#Post Office Protocol - Version 3 domain53/udp#Domain Name Server tftp69/udp#Trivial File Transfer http80/tcp www www-http#World Wide Web https443/tcp ms-sql-s1433/tcp#Microsoft-SQL-Server ms-sql-m1434/udp#Microsoft-SQL-Monitor 终端服务3389/tcp [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]下的PortNumber键值
实验四、使用Wireshark网络分析器分析数据包 一、实验目的 1、掌握Wireshark工具的安装和使用方法 2、理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构 3、掌握ICMP协议的类型和代码 二、实验内容 1、安装Wireshark 2、捕捉数据包 3、分析捕捉的数据包 三、实验工具 1、计算机n台(建议学生自带笔记本) 2、无线路由器n台 四、相关预备知识 1、熟悉win7操作系统 2、Sniff Pro软件的安装与使用(见Sniff Pro使用文档)
五、实验步骤 1、安装Wireshark Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。 Wireshark的主要应用如下： （1）网络管理员用来解决网络问题 （2）网络安全工程师用来检测安全隐患 （3）开发人员用来测试协议执行情况 （4）用来学习网络协议 （5）除了上面提到的，Wireshark还可以用在其它许多场合。 Wireshark的主要特性 （1）支持UNIX和Windows平台 （2）在接口实时捕捉包 （3）能详细显示包的详细协议信息 （4）可以打开/保存捕捉的包 （5）可以导入导出其他捕捉程序支持的包数据格式
（6）可以通过多种方式过滤包 （7）多种方式查找包 （8）通过过滤以多种色彩显示包 （9）创建多种统计分析 五、实验内容 1．了解数据包分析软件Wireshark的基本情况； 2．安装数据包分析软件Wireshark； 3．配置分析软件Wireshark； 4．对本机网卡抓数据包； 5．分析各种数据包。 六、实验方法及步骤 1．Wireshark的安装及界面 （1）Wireshark的安装 （2）Wireshark的界面 启动Wireshark之后，主界面如图：
实验五使用Wireshark分析TCP协议 一、实验目的 分析TCP协议 二、实验环境 与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。 三、实验步骤 1、捕获一个从你电脑到远程服务器的TCP数据 打开FTP客户端，连接ftp://202.120.222.71，用”TCP”为过滤条件，捕获建立连接和断开连接的数据。 图5.1 捕获的TCP数据 （1）连接建立： TCP连接通过称为三次握手的三条报文来建立的。观察以上数据，其中分组
10到12显示的就是三次握手。第一条报文没有数据的TCP报文段（分组10），并将首部SYN位设置为1。因此，第一条报文常被称为SYN分组。这个报文段里的序号可以设置成任何值，表示后续报文设定的起始编号。连接不能自动从1开始计数，选择一个随机数开始计数可避免将以前连接的分组错误地解释为当前连接的分组。观察分组10，Wireshark显示的序号是0。选择分组首部的序号字段，原始框中显示“9b 8e d1 f5”。Wireshark显示的是逻辑序号，真正的初始序号不是0。如图5.2所示： 图5.2 逻辑序号与实际初始序号(分组10) SYN分组通常是从客户端发送到服务器。这个报文段请求建立连接。一旦成功建立了连接，服务器进程必须已经在监听SYN分组所指示的IP地址和端口号。如果没有建立连接，SYN分组将不会应答。如果第一个分组丢失，客户端通常会发送若干SYN分组，否则客户端将会停止并报告一个错误给应用程序。 如果服务器进程正在监听并接收到来的连接请求，它将以一个报文段进行相应，这个报文段的SYN位和ACK位都置为1。通常称这个报文段为SYNACK 分组。SYNACK分组在确认收到SYN分组的同时发出一个初始的数据流序号给
实验3 Wireshark抓包分析TCP和UDP协议 一、实验目的 1、通过利用Wireshark抓包分析TCP和UDP报文,理解TCP和UDP报文的封装格式. 2、理解TCP和UDP的区别。 二、实验环境 与因特网连接的计算机网络系统；主机操作系统为windows；使用Wireshark、IE等软件。 三、实验原理 1、wireshark是非常流行的网络封包分析软件，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。 2、TCP则提供面向连接的服务。在传送数据之前必须先建立连接，数据传送结束后要释放连接。TCP的首部格式为：
3.UDP则提供面向非连接的服务。UDP的首部格式为： 四、实验步骤 1．如图所示这是TCP的包，下面蓝色的是TCP中所包含的数据。
由截图可以看出来TCP报文中包含的各个数据，TCP报文段（TCP报文通常称为段或TCP报文段），与UDP数据报一样也是封装在IP中进行传输的，只是IP 报文的数据区为TCP报文段。 这是TCP的源端口号
目的端口号10106 序列号是167
确认端口号50547 头长度20字节 窗口长度64578
校验合0x876e 五、实验内容 1．找出使用TCP和UDP协议的应用。 2．利用wireshark抓获TCP数据包。 3．分析TCP数据包首部各字段的具体内容，画出TCP段结构，填写其中内容。4．利用wireshark抓获UDP数据包。 5．分析UDP数据包首部各字段的具体内容，画出UDP段结构，填写其中内容。6．找出TCP建立连接的一组数据包，指出其中的序号和确认号变化。 7．找出TCP关闭连接的一组数据包，指出其中的标志字段数值。
RS-232-C RS-232-C是OSI基本参考模型物理层部分的规格，它决定了连接器形状等物理特性、以0和1表示的电气特性及表示信号意义的逻辑特性。 RS-232-C是EIA发表的，是RS-232-B的修改版。本来是为连接模拟通信线路中的调制解调器等DCE及电传打印机等DTE拉接口而标准化的。现在很多个人计算机也用RS-232-C作为输入输出接口，用RS-232-C作为接口的个人计算机也很普及。 RS-232-C的如下特点：采用直通方式，双向通信，基本频带，电流环方式，串行传输方式，DCE-DTE间使用的信号形态，交接方式，全双工通信。RS-232-C在ITU建议的V.24和V.28规定的25引脚连接器在功能上具有互换性。 RS-232-C所使用的连接器为25引脚插入式连接器，一般称为25引脚D-SUB。DTE端的电缆顶端接公插头，DCE端接母插座。 RS-232-C所用电缆的形状并不固定，但大多使用带屏蔽的24芯电缆。电缆的最大长度为15m。使用RS-232-C在200K位/秒以下的任何速率都能进行数据传输。 RS-449 RS-449是1977年由EIA发表的标准，它规定了DTE和DCE之间的机械特性和电气特性。RS-449是想取代RS-232-C而开发的标准，但是几乎所有的数据通信设备厂家仍然采用原来的标准，所以RS-232-C仍然是最受欢迎的接口而被广泛采用。 RS-449的连接器使用ISO规格的37引脚及9引脚的连接器，2次通道（返回字通道）电路以外的所有相互连接的电路都使用37引脚的连接器，而2次通道电路则采用9引脚连接器。 RS-449的电特性，对平衡电路来说由RS-422-A规定，大体与V.11具有相同规格，而RS-423-A大体与V.10具有相同规格。
网络协议分析工具Wireshark的使用 课程名称：计算机通信网实验 学院（系）：计信学院 专业：电子信息工程 班级：电信一班 学号：0962610114 学生姓名：花青
一、实验目的 学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线 四、实验步骤（操作方法） 1.用Wireshark观察ARP协议以及ping命令的工作过程： （1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；（2）用“arp”命令清空本机的缓存； （3）运行Wireshark，开始捕获所有属于ARP协议或TCP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）; （4）执行命令：“ping 缺省路由器的IP地址”； 2.用Wireshark观察tracert命令的工作过程： （1）运行Wireshark, 开始捕获tracert命令中用到的消息； （2）执行“tracert -d http://biz.doczj.com/doc/d63176123.html,” 根据Wireshark所观察到的现象思考并解释tracert的工作原理。 3.用Wireshark观察TCP连接的建立过程和终止过程： （1）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的Telnet协议中的包（提示：Telnet使用的传输层协议是TCP，它使用TCP端口号23）；（2）在Windows命令行窗口中执行命令“telnet http://biz.doczj.com/doc/d63176123.html,”，登录后再退出。
第五章网络通信协议 5．1 引言、 网络基础结构：物理层和数据链路层协议构成网络硬件支撑环境 网络传输协议在此基础上提供面向连接或无连接的数据传输服务，支持各种网络应用。 TCP/IP是OSI/RF的简化， 基于硬件层次是上的四个概念性层次构成： 应用层、传送层、网络层、（IP层）、和网络接口层（数据链路层） 功能： 1）链路层（网络接口层） TCP/IP的最低层 负责接收IP数据报并送至选定的网络 数据链路层通过网络接口方式与下层进行通信，网络接口一般包括操作系统的设备驱动程序以及计算机中相应的网络接口卡，通过网络接口处理与电缆接口的物理硬件细节。 2）网络层 IP层或Internet层 IP层处理机器之间的通信，接收来自传输层的请求，将带有目的地址的分组分发出去。具体过程： 将分组封装到数据中 切入数据报头 使用路由算法以决定是直接将数据报送到目的主机还是传给路由器 把数据报送至相应的网络接口来传送 IP层还要处理接口收到的数据报，检验其正确性，并决定是本地接收还是路由至相应的目的站 IP（网络网际协议）、ICMP（国际控制报文协议）、IGMP（国际组管理协议）构成了TCP/IP协议簇中的网络层 3）传输层 提供应用层之间的通信（端到端的通信）
管理信息流，提供可靠的传输服务，以确保数据无差错地按顺序到达 传输层软件将要传送的数据流划分成分组，并连同目的地传至下一层 TCP/IP协议簇中有两类非常不同的传输层协议：TCP，UDP TCP协议提供了两主机之间的可靠数据流 将应用层传递给它的数据分割为适于网络的数据块 接收分组数据包的确认 为发送的分组设置超时间隔以保证对方收到该分组等 UDP只为应用层提供了相当简单的服务 负责向对方发送称为数据报的分组，但不保证这些数据报可以到达对方 因此必须在应用层设置一些可靠机制以保证数据的正确接收 4）应用层 在最高层，用户通过调用应用程序来访问TCP/IP互相网络提供的多种服务 应用程序负责接收和发送数据流 每个应用程序选择所需的传送服务类型，可以是独立的报文序列或是连续的字节流应用程序将数据按要求的格式传送给传输层 在TCP/IP许多应用程序中都提供了一些公共的应用服务 Telnet, FTP, SMTP（简单的邮件传输协议，邮件服务），SNMP（简单的网络管理协议）管理TCP/IP协议的因特网协会 因特网结构委员会 因特网工程任务组因特网研究任务组
网络通信协议与技术标准分类图（三）【1】 说明：如何观看本文中的清晰的插图？可将鼠标光标放在浏览器显示的插图上，点击右键，选择“图片另存为”一个图片文件放在桌面上。然后鼠标左键双击此图片文件，可自动启用多种显示工具显示出该插图的清晰图像，以便进行数据分析判读。 一、应当正确地看待各种网络通信协议 从上世纪60年代以来，在计算机网络体系的研究发展过程中，很多企业曾经开发了各自知识产权的网络操作系统和网络协议（参看本网站文章《网络通信协议与技术标准简介》）。随着网络安全威胁的日益突出，这些网络协议不能适应新形势的需求，逐渐被淘汰了。今天我们在计算机网络中使用的主流协议，是长期的技术竞争与淘汰的结果，但它们也不是完美的，也存在很多问题，并不断地修正。将来还会有更新的协议来取代我们当前使用的这些协议。各种不同网络协议的出现与消亡是一个优胜劣汰的发展过程，此过程在过去、现在和将来都永远不会停止。 因此应当客观理智地看待我们计算机中Windows提供的各种网络协议和网络服务组件，在计算机网络的使用和管理中要尽量采用新的安全性能好的协议，卸载那些不需要的、存在安全隐患或已经被淘汰的协议。当前校园网和企事业单位的网络中出现的大量安全问题，一个重要的原因是网络管理员和用户没有删除掉计算机中的一些有安全漏洞的网络软件而造成的。网络计算机中安装的协议要尽可能简洁，够用即可，这样就可净化网络数据流，保障计算机网络系统安全高效地稳定运行。在本站的文章《如何保护你自己的网络计算机》中就建议普通网络用户：在计算机的“本地连接属性常规”中，只安装“Internet 协议（TCP/IP）”即可。 二、互联网与早期的局域网操作系统的发展目标是不同的 当前在互联网Internet和内联网Intranet中使用的协议是TCP/IP协议，它的服务目标是：在网络用户之间提供跨网段的、主机对主机的、基于客户机/服务器结构的数据报传输服务（见教材第4章）。因此，万维网的安全重点可以通过加强服务器端的安全防护来保证。 而局域网操作系统的服务目标是：在单位部门内部计算机群之间提供文件共享、打印机共享等信息传输服务，提供网络目录服务，采用对等网络的结构，以此提高单位部门和工作组内部的业务工作效率（见教材第3章82页）。这些网络操作系统的研发和应用必须有一个最基本的安全条件：即在同一局域网内的工作站之间是互相信任的，是不需要互相防备的。如果网络中某台计算机出现了恶意的欺诈行为或安全问题，那么同一局域网内的其他计算机就会面临很大的安全风险。这些网络操作系统在安全防范方面的漏洞属于先天不足，是很难根治的。 由于上述原因，很多曾经盛行一时的网络操作系统对于近年来泛滥的蠕虫、木马、黑客等恶意网络活动缺乏有效的防护能力（本站对此已有另文介绍）。不幸的是广泛使用的Windows操作系统给计算机提供了一些有安全漏洞的、普通用户并不需要的网络协议和模块，这就形成了局域网内部的安全隐患。 近年来局域网操作系统的发展趋势是：直接利用在广域网上成功研发的WWW万维网模式。这种基于Web 的客户机/服务器工作模式，以及TCP/IP协议族，正在成为局域网的主流网络运行模式。而早期那些企业自主知识产权的网络操作系统正在退出历史舞台，但是很多残留的协议和组件模块至今还保留在在我们的
利用Wireshark进行TCP协议分析 TCP报文首部，如下图所示： 1. 源端口号：数据发起者的端口号，16bit 2. 目的端口号：数据接收者的端口号，16bit 3. 序号：32bit的序列号，由发送方使用 4. 确认序号：32bit的确认号，是接收数据方期望收到发送方的下一个报文段的序号，因此确认序号应当是上次已成功收到数据字节序号加1。 5. 首部长度：首部中32bit字的数目，可表示15*32bit=60字节的首部。一般首部长度为20字节。 6. 保留：6bit, 均为0 7. 紧急URG：当URG=1时，表示报文段中有紧急数据，应尽快传送。 8. 确认比特ACK：ACK = 1时代表这是一个确认的TCP包，取值0则不是确认包。 9. 推送比特PSH：当发送端PSH=1时，接收端尽快的交付给应用进程。 10. 复位比特（RST）：当RST=1时，表明TCP连接中出现严重差错，必须释放连接，再重新建立连接。 11. 同步比特SYN：在建立连接是用来同步序号。SYN=1，ACK=0表示一个连接请求报文
段。SYN=1，ACK=1表示同意建立连接。 12. 终止比特FIN：FIN=1时，表明此报文段的发送端的数据已经发送完毕，并要求释放传输连接。 13. 窗口：用来控制对方发送的数据量，通知发放已确定的发送窗口上限。 14. 检验和：该字段检验的范围包括首部和数据这两部分。由发端计算和存储，并由收端进行验证。 15. 紧急指针：紧急指针在URG=1时才有效，它指出本报文段中的紧急数据的字节数。 16.选项：长度可变，最长可达40字节 TCP的三次握手和四次挥手： 第一次握手数据包 客户端发送一个TCP，标志位为SYN，序列号为0，代表客户端请求建立连接。如下图
常用几种通讯协议 Modbus Modbus技术已成为一种工业标准。它是由Modicon公司制定并开发的。其通讯主要采用RS232，RS485等其他通讯媒介。它为用户提供了一种开放、灵活和标准的通讯技术，降低了开发和维护成本。 Modbus通讯协议由主设备先建立消息格式，格式包括设备地址、功能代码、数据地址和出错校验。从设备必需用Modbus协议建立答复消息，其格式包含确认的功能代码，返回数据和出错校验。如果接收到的数据出错，或者从设备不能执行所要求的命令，从设备将返回出错信息。 Modbus通讯协议拥有自己的消息结构。不管采用何种网络进行通讯，该消息结构均可以被系统采用和识别。利用此通信协议，既可以询问网络上的其他设备，也能答复其他设备的询问，又可以检测并报告出错信息。 在Modbus网络上通讯期间，通讯协议能识别出设备地址，消息，命令，以及包含在消息中的数据和其他信息，如果协议要求从设备予以答复，那么从设备将组建一个消息，并利用Modbus发送出去。 BACnet BACnet是楼宇自动控制系统的数据通讯协议,它由一系列与软件及硬件相关的通讯协议组成,规定了计算机控制器之间所有对话方式。协议包括:(1)所选通讯介质使用的电子信号特性,如何识别计算机网址,判断计算机何时使用网络及如何使用。(2)误码检验,数据压缩和编码以及各计算机专门的信息格式。显然,由于有多种方法可以解决上述问题,但两种不同的通讯模式选择同一种协议的可能性极少,因此,就需要一种标准。即由ISO(国际标准化协会〉于80年代着手解决,制定了《开放式系统互联(OSI〉基本参考模式(Open System Interconnection/Basic Reference Model简称OSI/RM)IS0- 7498》。 OSI/RM是ISO/OSI标准中最重要的一个,它为其它0SI标准的相容性提供了共同的参考,为研究、设计、实现和改造信息处理系统提供了功能上和概念上的框架。它是一个具有总体性的指导性标准,也是理解其它0SI标准的基础和前提。 0SI/RM按分层原则分为七层,即物理层、数据链路层、网络层、运输层、会话层、表示层、应用层。 BACnet既然是一种开放性的计算机网络,就必须参考OSIAM。但BACnet没有从网络的最低层重新定义自己的层次,而是选用已成熟的局域网技术,简化0SI/RM,形成包容许多局 域网的简单而实用的四级体系结构。 四级结构包括物理层、数据链路层、网络层和应用层。
基于Wireshark的网络数据包内容解析 摘要本课程设计是利用抓包软件Wireshark，对网络服务器与客户端进行网络数据收发过程中产生的包进行抓取，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的。设计过程中对各种包进行抓取分析，各种包之间比较，了解每种包的传输过程与结构，通过本次课程设计，能很好的运用Wireshark对数据包分析和Wireshark各种运用，达到课程设计的目的。 关键词IP协议；TCP协议；UDP协议；ARP协议；Wireshark；计算机网络； 1 引言 本课程设计主要是设计一个基于Wireshark的网络数据包内容解析，抓取数据包，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的 1.1 课程设计目的 Wireshark是一个网络封包分析软件。可以对网络中各种网络数据包进行抓取，并尽可能显示出最为详细的网络封包资料，计算机网络课程设计是在学习了计算机网络相关理论后，进行综合训练课程，其目的是： 1.了解并会初步使用Wireshark，能在所用电脑上进行抓包； 2.了解IP数据包格式，能应用该软件分析数据包格式。 1.2 课程设计要求 （1）按要求编写课程设计报告书，能正确阐述设计结果。 （2）通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。 （3）学会文献检索的基本方法和综合运用文献的能力。
（4）在老师的指导下，要求每个学生独立完成课程设计的全部内容。 1.3 课程设计背景 一、Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。 网络封包分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Wireshark是目前全世界最广泛的网络封包分析软件之一。 二、网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。网络嗅探是网络监控系统的实现基础。 网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。嗅探器也是很多程序人员在编写网络程序时抓包测试的工具，因为我们知道网络程序都是以数据包的形式在网络中进行传输的，因此难免有协议头定义不对的。 网络嗅探的基础是数据捕获，网络嗅探系统是并接在网络中来实现对于数据的捕获的，这种方式和入侵检测系统相同，因此被称为网络嗅探。网络嗅探是网络监控系统的实现基础，首先就来详细地介绍一下网络嗅探技术，接下来就其在网络监控系统的运用进行阐述。 2 网络协议基础知识 2.1 IP协议 （1） IP协议介绍