实验4：利用Wireshark进行协议分析
1、实验目的
熟悉并掌握Wireshark的基本操作，了解网络协议实体间进行交互以及报文交换的情况。
2、实验环境
Windows 9x/NT/2000/XP/2003
与因特网连接的计算机网络系统
分组分析器Wireshark：
要深入理解网络协议，需要仔细观察协议实体之间交换的报文序列。为探究协议操作细节，可使协议实体执行某些动作，观察这些动作及其影响。这些任务可以在仿真环境下或在如因特网这样的真实网络环境中完成。观察在正在运行协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer）。顾名思义，一个分组嗅探器俘获（嗅探）计算机发送和接收的报文。一般情况下，分组嗅探器将存储和显示出被俘获报文的各协议头部字段的内容。图4-1 为一个分组嗅探器的结构。
图4-1 右边是计算机上正常运行的协议（在这里是因特网协议）和应用程序（如：w eb 浏览器和ftp 客户端）。分组嗅探器（虚线框中的部分）是附加计算机普通软件上的，主要有两部分组成。分组俘获库（packetcapture library）接收计算机发送和接收
图 4-1 分组嗅探器的结构
的每一个链路层帧的拷贝。高层协议（如：HTTP、FTP、TCP、UDP、DNS、IP 等）交换的报文都被封装在链路层帧中，并沿着物理媒体（如以太网的电缆）传输。图1 假设所使用的物理媒体是以太网，上层协议的报文最终封装在以太网帧中。
分组嗅探器的第二个组成部分是分析器。分析器用来显示协议报文所有字段的内容。
为此，分析器必须能够理解协议所交换的所有报文的结构。例如：我们要显示图4-1 中HTTP 协议所交换的报文的各个字段。分组分析器理解以太网帧格式，能够识别包含在帧中的IP 数据报。分组分析器也要理解IP 数据报的格式，并能从IP 数据报中提取出TCP 报文段。然后，它需要理解TCP 报文段，并能够从中提取出HTTP 消息。
最后，它需要理解HTTP 消息。
Wireshark 是一种可以运行在 Windows, UNIX, Linux 等操作系统上的分组分析器。运行 Wireshark 程序时，其图形用户界面如图 4-2 所示。
图 4-2 Wireshark 初始用户界面
图 4-3 Wireshark 的用户界面
最初，各窗口中并无数据显示。在用户选择接口，点击开始抓包按钮之后，Wireshark 的用户界面会变成如图 4-3所示。
此时 Wireshark 的用户界面主要有 5 部分组成，如图 4-3 所示。
命令菜单（command menus）：命令菜单位于窗口的最顶部，是标准的下拉式菜单。最常用菜单命令有两个：File、Capture。File 菜单允许你保存俘获的分组数据或打开一个已被保存的俘获分组数据文件或退出 Wireshark 程序。Capture 菜单允许你开始俘获分组。
俘获分组列表（listing of captured packets）：按行显示已被俘获的分组内容，其中包
括：Wireshark 赋予的分组序号、俘获时间、分组的源地址和目的地址、协议类型、分组中所包含的协议说明信息。单击某一列的列名，可以使分组按指定列进行排序。在该列表中，所显示的协议类型是发送或接收分组的最高层协议的类型。
分组头部明细（details of selected packet header）：显示俘获分组列表窗口中被选中分组的头部详细信息。包括：与以太网帧有关的信息，与包含在该分组中的 IP 数据报有关的信息。单击以太网帧或 IP 数据报所在行左边的向右或向下的箭头可以展开或最小化相关信息。另外，如果利用 TCP 或 UDP 承载分组，Wireshark 也会显示 TCP 或 UD P 协议头部信息。最后，分组最高层协议的头部字段也会显示在此窗口中。
分组内容窗口（packet content）：以 ASCII 码和十六进制两种格式显示被俘获帧的完整内容。
显示筛选规则（display filter specification）：在该字段中，可以填写协议的名称或其他信息，根据此内容可以对分组列表窗口中的分组进行过滤。
3、实验过程
1)学习Wireshark的使用
启动主机上的 web 浏览器。
启动 Wireshark。你会看到如图 4-2 所示的窗口，只是窗口中没有任何分组列表。
开始分组俘获：选择“capture”下拉菜单中的“Capture Options”命令，会出现如图 4 -3 所示的“Wireshark: Capture Options”窗口，可以设置分组俘获的选项。
在实验中，可以使用窗口中显示的默认值。在“Wireshark:CaptureOptions”窗口（如
图 4-4 Wireshark 的 Capture Option
图 4-4 所示）的最上面有一个“Interface List”下拉菜单，其中显示计算机所具有的网络接口（即网卡）。当计算机具有多个活动网卡时，需要选择其中一个用来发送或
接收分组的网络接口（如某个有线接口）。随后，单击“Start”开始进行分组俘获，所有由选定网卡发送和接收的分组都将被俘获。
开始分组俘获后，会出现如图 4-5 所示的窗口。该窗口统计显示各类已俘获数据包。在该窗口的工具栏中有一个“stop”按钮，可以停止分组的俘获。但此时你最好
不要停止俘获分组。
在运行分组俘获的同时，在浏览器地址栏中输入某网页的 URL，如： http://www. https://www.doczj.com/doc/8813502133.html, 。为显示该网页，浏览器需要连接https://www.doczj.com/doc/8813502133.html, 的服务器，并与之交换 HTTP 消息，以下载该网页。包含这些 HTTP 报文的以太网帧将被 Wireshark 俘获。
当完整的页面下载完成后，单击 Wireshark 菜单栏中的 stop 按钮，停止分组俘获。Wireshark 主窗口显示已俘获的你的计算机与其他网络实体交换的所有协议报文，其中一部分就是与 https://www.doczj.com/doc/8813502133.html,服务器交换的 HTTP 报文。此时主窗口与图 4-3 相似。 在显示筛选规则中输入“http”，单击“回车”，分组列表窗口将只显示 HTTP 协议报文。 选择分组列表窗口中的第一条 http 报文。它应该是你的计算机发向 https://www.doczj.com/doc/8813502133.html,. cn 服务器的 HTTP GET 报文。当你选择该报文后，以太网帧、IP 数据报、TCP 报文段、以及 HTTP 报文首部信息都将显示在分组首部子窗口中。单击分组首部详细信息子
窗口中向右和向下箭头，可以最小化帧、以太网、IP、TCP 信息显示量，可以最大
化 HTTP 协议相关信息的显示量。
图 4-5 Wireshark 的抓包界面
2)利用Wireshark分析HTTP协议
（1）HTTP GET/response交互
?启动 Web browser，然后启动 Wireshark 分组嗅探器。在窗口的显示过滤说明处输入“http”，分组列表子窗口中将只显示所俘获到的HTTP 报文。
?开始 Wireshark 分组俘获。
?在打开的浏览器窗口中输入以下地址：https://www.doczj.com/doc/8813502133.html,/news
?停止分组俘获。
根据俘获窗口内容，思考以下问题：
?你的浏览器运行的是HTTP1.0，还是HTTP1.1？你所访问的服务
器所运行HTTP协议的版本号是多少？
?你的浏览器向服务器指出它能接收何种语言版本的对象？
?你的计算机的IP地址是多少？服务器https://www.doczj.com/doc/8813502133.html,/news
的IP地址是多少？
?从服务器向你的浏览器返回的状态代码是多少？
（2）HTTP条件GET/response交互
?启动浏览器，清空浏览器的缓存（在浏览器中，选择“工具”菜单
中的“Internet选项”命令，在出现的对话框中，选择“删除文件”）。
?启动Wireshark分组俘获器。开始Wireshark分组俘获。
?在浏览器的地址栏中输入以下URL:https://www.doczj.com/doc/8813502133.html,/news,在
你的浏览器中重新输入相同的URL或单击浏览器中的“刷新”按
钮。
?停止Wireshark分组俘获，在显示过滤筛选说明处输入“http”,分组
列表子窗口中将只显示所俘获到的HTTP报文。
根据俘获窗口内容，思考以下问题：
?分析你的浏览器向服务器发出的第一个HTTP GET请求的内容，
在该请求报文中，是否有一行是：IF-MODIFIED-SINCE？
?分析服务器响应报文的内容，服务器是否明确返回了文件的内
容？如何获知？
?分析你的浏览器向服务器发出的较晚的“HTTP GET”请求，在该请
求报文中是否有一行是：IF-MODIFIED-SINCE？如果有，在该首
部行后面跟着的信息是什么？
?服务器对较晚的HTTP GET请求的响应中的HTTP状态代码是多
少？服务器是否明确返回了文件的内容？请解释。
3)利用Wireshark分析TCP协议
注：访问以下网址需要设置代理服务器。如无法访问可与实验 TA联系，下载tcp-Wireshark-trace文件，利用该文件进行TCP协议分析。
（1）俘获大量的由本地主机到远程服务器的TCP分组
A.启动浏览器，打开https://www.doczj.com/doc/8813502133.html,/Wireshark-labs/alice.txt网页，得到A
LICE'S ADVENTURES IN WONDERLAND文本，将该文件保存到你的主机上。
B.打开https://www.doczj.com/doc/8813502133.html,/Wireshark-labs/TCP-Wireshark-file1.html，如图4-6
所示，窗口如下图所示。在Browse按钮旁的文本框中输入保存在你的主机上的文件ALICE'S ADVENTURES INWONDERLAND的全名（含路径），此时不要按“U pload alice.txt file”按钮。
图4-6 Wireshark-labs网页截图
C. 启动Wireshark，开始分组俘获。
D. 在浏览器中，单击“Upload alice.txt file”按钮，将文件上传到gaia.cs.uma
https://www.doczj.com/doc/8813502133.html,服务器，一旦文件上传完毕，一个简短的贺词信息将显示在你的浏览器窗口中。
E. 停止俘获。
（2）浏览追踪信息
在显示筛选规则中输入“tcp”,可以看到在本地主机和服务器之间传输的一系列tcp和http报文，你应该能看到包含SYN报文的三次握手。也可以看到有主机向服务器发送的一个HTTP POST报文和一系列的“http continuation”
报文。
根据操作思考以下问题：
向https://www.doczj.com/doc/8813502133.html,服务器传送文件的客户端主机的IP地址和TCP端口号是多少？
https://www.doczj.com/doc/8813502133.html,服务器的IP地址是多少？对这一连接，它用来发送和接收TCP报文的端口号是多少？
（3）TCP 基础
根据操作思考以下问题：
客户服务器之间用于初始化TCP连接的TCP SYN报文段的序号（sequen ce number）是多少？在该报文段中，是用什么来标示该报文段是SYN报文段的？
服务器向客户端发送的SYNACK报文段序号是多少？该报文段中，Ack nowledgement字段的值是多少？https://www.doczj.com/doc/8813502133.html,服务器是如何决定此值的？
在该报文段中，是用什么来标示该报文段是SYNACK报文段的？
你能从捕获的数据包中分析出tcp三次握手过程吗？
包含HTTP POST命令的TCP报文段的序号是多少？
如果将包含HTTP POST命令的TCP报文段看作是TCP连接上的第一个
报文段，那么该TCP连接上的第六个报文段的序号是多少？是何时发送的？
该报文段所对应的ACK是何时接收的？
前六个TCP报文段的长度各是多少？
在整个跟踪过程中，接收端公示的最小的可用缓存空间是多少？限制发送端的传输以后，接收端的缓存是否仍然不够用？
在跟踪文件中是否有重传的报文段？进行判断的依据是什么？
TCP连接的throughput(bytes transferred per unit time)是多少？请写出你的计算过程。
4)利用Wireshark分析IP协议
通过分析执行traceroute程序发送和接收到的IP数据包，我们将研究IP数
据包的各个字段，并详细研究IP分片。
（1）通过执行 traceroute 执行捕获数据包
为了产生一系列IP数据报，我们利用traceroute程序发送具有不同大小的
数据包给目的主机X。回顾之前ICMP实验中使用的traceroute程序，源主
机发送的第一个数据包的TTL设位1，第二个为2，第三个为3，等等。每当
路由器收到一个包，都会将其TTL值减1。这样，当第n个数据包到达了
第n个路由器时，第n个路由器发现该数据包的TTL已经过期了。根据IP协
议的规则，路由器将该数据包丢弃并将一个ICMP警告消息送回源主机。
在Windows自带的tracert命令不允许用户改变由tracert命令发送的ICM
P echo请求消息（ping消息）的大小。一个更优秀的traceroute程序是ping
plotter，下载并安装pingplotter。ICMP echo请求消息的大小可以通过下面方法在pingplotter中进行设置。Edit->Options->Packet，然后填写Packet Si ze(in bytes，default=56)域。实验步骤：
A. 启动Wireshark并开始数据包捕获
B. 启动pingplotter并“Address to Trace Window”域中输入目的地址。
在“#of times to Trace”域中输入“3”，这样就不过采集过多的数据。Edit->O ptions->Packet，将Packet Size(in bytes,default=56)域设为56，这样将发送一系列大小为56字节的包。然后按下“Trace”按钮。得到的pingplotter窗口如图4-7所示。
图 4-7 pingplotter 窗口
A. Edit->Options->Packet，然后将Packet Size(in bytes,default=56)域改
为2000，这样将发送一系列大小为2000字节的包。然后按下“Resume”
按钮。
B. 最后，将Packet Size(in bytes,default=56)域改为3500，发送一系列大小
为3500字节的包。然后按下“Resume”按钮。
C. 停止Wireshark的分组捕获。
（2）对捕获的数据包进行分析
A.在你的捕获窗口中，应该能看到由你的主机发出的一系列ICMP Echo Request包和中间路由器返回的一系列ICMP TTL-exceeded消息。选择第一个你的主机发出的
图4-8 Wrieshark窗口
ICMP Echo Request消息，在packet details窗口展开数据包的Internet Protocol部分，如图4-8所示。
思考下列问题：
你主机的IP地址是什么？
在IP数据包头中，上层协议（upper layer）字段的值是什么？
IP头有多少字节？该IP数据包的净载为多少字节？并解释你是怎样确定
该IP数据包的净载大小的？
该IP数据包分片了吗？解释你是如何确定该P数据包是否进行了分片
B.单击Source列按钮，这样将对捕获的数据包按源IP地址排序。选择第一个你的主机发出的ICMP Echo Request消息，在packet details窗口展开数据包的Internet Protocol 部分。在“listing of captured packets”窗口，你会看到许多后续的ICMP消息（或许还有你主机上运行的其他协议的数据包）
思考下列问题：
你主机发出的一系列ICMP消息中IP数据报中哪些字段总是发生改变？
哪些字段必须保持常量？哪些字段必须改变？为什么？
描述你看到的IP数据包Identification字段值的形式。
C. 找到由最近的路由器（第一跳）返回给你主机的ICMP
Time-to-live exceeded消息。
思考下列问题：
Identification字段和TTL字段的值是什么？
最近的路由器（第一跳）返回给你主机的ICMP Time-to-liveexceeded 消息中这些值是否保持不变？为什么？
D.单击Time列按钮，这样将对捕获的数据包按时间排序。找到在将包大小改为2000字节后你的主机发送的第一个ICMP Echo Request消息。
思考下列问题：
该消息是否被分解成不止一个IP数据报？
观察第一个IP分片，IP头部的哪些信息表明数据包被进行了分片？IP头部的哪些信息表明数据包是第一个而不是最后一个分片？该分片的长度是多少
C.找到在将包大小改为3500字节后你的主机发送的第一个ICMP
Echo Request消息。
思考下列问题：
原始数据包被分成了多少片？
这些分片中IP数据报头部哪些字段发生了变化？
4、实验过程
1)学习Wireshark的使用
2)利用Wireshark分析HTTP协议
1.HTTP GET/response 交互：
IP为172.17.150.171，服务器IP为219.217.227.106
TCP头部：
HTTP报文：HTTP1.1，zh-CN表明接受中文
而服务器的报文中，源IP与目的IP与客户端恰好相反：
服务器的协议版本为HTTP1.1,，返回状态代码为200 OK
2.HTTP 条件GET/response 交互
第一个HTTP-GET请求的内容中，并没有IF-MODIFIED-SINCE
第一次回复报文，服务器返回文件内容：
第二次发请求时，出现了IF-MODIFIED-SINCE
第二次回复报文时，服务器告知浏览器可在缓存中查找文件：
3)利用Wireshark分析TCP协议
三次握手，可知，客户端主机的IP地址为128.119.245.12，TCP端口号为60；服务器的IP 地址是172.17.150.171，?用来发送和接受TCP报文的TCP端口号为1514：
Seq=0，通过设置TCP头部的flags字段的SYN标志位来标示：
SYN ACK报文段序号是0，Acknowledgment字段的值是1（服务器收到客户端发来的SYN 报文，此报文消耗1个序列号，因此服务器回复下?一个期望得到的序列号为1）。通过标
记TCP头的flags字段的SYN标志位来标示的：
三次握手过程：
含POST 的TCP报文段的序号：
接受端公示的最小可用缓存空间大小为：由于窗口大小一直增加，所以缓存够用。
TCP链接的throughput为：
可知头部为54B，共106个包，故106*54B=5724B
由上图可知，总传送数据为：152935B+5724B=158659B 初始时间与结束时间间隔约为1.673847s
故：158659B/1.673847s=94787B/s≈94.8KBps
4)利用Wireshark分析IP协议
主机的IP地址为：172.17.150.171
上层协议的字段值为：01
TCP/IP网络协议分析实验 一、实验目的 1. 通过实验，学习和掌握TCP/IP协议分析的方法及其相关工具的使用； 2. 熟练掌握 TCP/IP体系结构； 3. 学会使用网络分析工具； 4. 网络层、传输层和应用层有关协议分析。 二、实验类型 分析类实验 三、实验课时 2学时 四、准备知识 1.Windows 2003 server 操作系统 2.TCP/IP 协议 3.Sniffer工具软件 五、实验步骤 1.要求掌握网络抓包软件Wireshark。内容包括： ●捕获网络流量进行详细分析 ●利用专家分析系统诊断问题 ●实时监控网络活动 ●收集网络利用率和错误等 2.协议分析（一）：IP协议，内容包括： ●IP头的结构 ●IP数据报的数据结构分析 3.协议分析（二）：TCP/UDP协议，内容包括： ●TCP协议的工作原理 ●TCP/UDP数据结构分析
六、实验结果 1.IP协议分析： （1）工作原理：IP协议数据报有首部和数据两部分组成，首部的前一部分是固定长度，共20字节，是IP数据报必须具有的。首部分为，版本、首部长度、服务类型、总长度、标识、标志、片偏移、生存时间、协议、首部检验和、源地址、目的地址、可选字段和数据部分 （2）IPV4数据结构分析：
2.TCP协议分析： （1）工作原理：TCP连接是通过三次握手的三条报文来建立的。第一条报文是没有数据的TCP报文段，并将首部SYN位设置为1。因此，第一条报文常被称为SYN分组，这个报文段里的序号可以设置成任何值，表示后续报文设定的起始编号。连接时不能自动从1开始计数，选择一个随机数开始计数可避免将以前连接的分组错误地解释为当前连接的分组。
1.你的浏览器运行的是HTTP1.0，还是HTTP1.1？你所访问的服务器所运行的HTTP版本号是多少？ 答：HTTP 1.1 version 4 2. 你的浏览器向服务器指出它能接收何种语言版本的对象？ 答：Accept language: zh-CN\r\n 3. 你的计算机的IP地址是多少？服务器https://www.doczj.com/doc/8813502133.html,/DatumDownload.aspx 的IP地址是多少？ 答：我的IP是：10.127.117.2 服务器：222.197.183.99 4. 从服务器向你的浏览器返回的状态代码是多少？ 答：200 OK
5. 你从服务器上所获取的HTML文件的最后修改时间是多少？ 答：如图 6.返回到你的浏览器的内容以供多少字节？ 答：24370 在浏览器地址栏中如下网址： https://www.doczj.com/doc/8813502133.html,/wireshark-labs/HTTP-wireshark-file2.html 8.分析你的浏览器向服务器发出的第一个HTTP GET请求的内容，在该请求报文中，是否有一行是：IF-MODIFIED-SINCE？ 答：没有
9.分析服务器响应报文的内容，服务器是否明确返回了文件的内容？如何获知？ 答：有 HTTP/1.1 200 OK（text/html） 10.分析你的浏览器向服务器发出的第二个“HTTP GET”请求，在该请求报文中是否有一行是：IF-MODIFIED-SINCE？如果有，在该首部行后面跟着的信息是什么？ 答：仍然没有。如图。 11.服务器对第二个HTTP GET请求的响应中的HTTP状态代码是多少？服务器是否明确返回了文件的内容？请解释。 答：状态码和相应状态信息的值为304 NOT Modified,他表示缓存器可以使用该对象。第二次没有返回文件的内容，因为他只是作为对该条件GET的响应，WEB服务器只发送一个响应报文,不包含请求的对象。 12. 你的浏览器一共发出了多少个HTTP GET请求？ 答：1个 13. 传输这一个HTTP响应需要多少个TCP报文段？ 答：4个。
第一次实验：利用Wireshark软件进行数据包抓取 1.3.2 抓取一次完整的网络通信过程的数据包实验 一，实验目的： 通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。 二，实验环境： 操作系统为Windows 7,抓包工具为Wireshark. 三，实验原理： ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。 四，验步骤： 1.确定目标地址：选择https://www.doczj.com/doc/8813502133.html,作为目标地址。 2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1
图 1-1 3.启动抓包：点击【start】开始抓包，在命令提示符下键入ping https://www.doczj.com/doc/8813502133.html,, 如图 1-2
图 1-2 停止抓包后，截取的数据如图 1-3 图 1-3 4，分析数据包：选取一个数据包进行分析，如图1- 4
图1-4 每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。DLC协议的目的和源地址是MAC地址，IP协议的目的和源地址是IP地址，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下： （1）诊断报文（类型：8，代码0；类型：0代码：0）； (2）目的不可达报文（类型：3，代码0-15）； （3）重定向报文（类型：5，代码：0--4）； （4）超时报文（类型：11，代码：0--1）； （5）信息报文（类型：12--18）。
实 验 报 告 课程名称 计算机网络 实验名称 网络协议分析 系别 专业班级 指导教师 学号 姓名 实验日期 实验成绩 一、实验目的 掌握常用的抓包软件，了解ARP 、ICMP 、IP 、TCP 、UDP 协议的结构。 二、实验环境 1．虚拟机（VMWare 或Microsoft Virtual PC ）、Windows 2003 Server 。 2．实验室局域网，WindowsXP 三、实验学时 2学时，必做实验。 四、实验内容 注意：若是实验环境1，则配置客户机A 的IP 地址:192.168.11.X/24,X 为学生座号；另一台客户机B 的IP 地址:192.168.11.（X+100）。在客户机A 上安装EtherPeek （或者sniffer pro ）协议分析软件。若是实验环境2则根据当前主机A 的地址，找一台当前在线主机B 完成。 1、从客户机A ping 客户机B ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析ARP 协议； 2、从客户机A ping 客户机B ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析icmp 协议和ip 协议； 3、客户机A 上访问 https://www.doczj.com/doc/8813502133.html, ，利用EtherPeek （或者sniffer pro ）协议分析软件抓包，分析TCP 和UDP 协议； 五、实验步骤和截图（并填表） 1、分析arp 协议，填写下表 客户机B 客户机A
2、分析icmp协议和ip协议，分别填写下表 表一：ICMP报文分析
3、分析TCP和UDP 协议，分别填写下表
一、实验目的 1、熟悉并掌握Wireshark的基本使用； 2、了解网络协议实体间进行交互以及报文交换的情况。 二、实验环境 与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。 三、预备知识 要深入理解网络协议，需要观察它们的工作过程并使用它们，即观察两个协议实体之间交换的报文序列，探究协议操作的细节，使协议实体执行某些动作，观察这些动作及其影响。这种观察可以在仿真环境下或在因特网这样的真实网络环境中完成。 观察正在运行的协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer），又称分组捕获器。顾名思义，分组嗅探器捕获（嗅探）你的计算机发送和接收的报文。 图显示了一个分组嗅探器的结构。 图分组嗅探器的结构 图右边是计算机上正常运行的协议和应用程序（如：Web浏览器和FTP客户端）。分组嗅探器（虚线框中的部分）主要有两部分组成：第一是分组捕获器，其功能是捕获计算机发送和接收的每一个链路层帧的拷贝；第二个组成部分是分组分析器，其作用是分析并显示协议报文所有字段的内容（它能识别目前使用的各种网络协议）。 Wireshark是一种可以运行在Windows, UNIX, Linux等操作系统上的分组
嗅探器，是一个开源免费软件，可以从下载。 运行Wireshark 程序时，其图形用户界面如图所示。最初，各窗口中并无数据显示。Wireshark 的界面主要有五个组成部分： 命令和菜单 协议筛选框 捕获分组 列表 选定分组 首部明细 分组内容 左：十六进制 右：ASCII码 图 Wireshark 主界面 命令菜单（command menus）：命令菜单位于窗口的最顶部，是标准的下拉式菜单。 协议筛选框（display filter specification）：在该处填写某种协议的名称，Wireshark据此对分组列表窗口中的分组进行过滤，只显示你需要的分组。 捕获分组列表（listing of captured packets）：按行显示已被捕获的分组内容，其中包括：分组序号、捕获时间、源地址和目的地址、协议类型、协议信息说明。单击某一列的列名，可以使分组列表按指定列排序。其中，协议类型是发送或接收分组的最高层协议的类型。 分组首部明细（details of selected packet header）：显示捕获分组列表窗口中被选中分组的首部详细信息。包括该分组的各个层次的首部信息，需要查看哪层信息，双击对应层次或单击该层最前面的“＋”即可。 分组内容窗口（packet content）：分别以十六进制（左）和ASCII码（右）两种格式显示被捕获帧的完整内容。
Wireshark抓包分析实验 若惜年 一、实验目的： 1.学习安装使用wireshark软件，能在电脑上抓包。 2.对抓出包进行分析，分析得到的报文，并与学习到的知识相互印证。 二、实验内容： 使用抓包软件抓取HTTP协议通信的网络数据和DNS通信的网络数据，分析对应的HTTP、TCP、IP协议和DNS、UDP、IP协议。 三、实验正文： IP报文分析： 从图中可以看出： IP报文版本号为:IPV4 首部长度为:20 bytes 数据包长度为:40 标识符：0xd74b 标志：0x02 比特偏移：0 寿命：48 上层协议：TCP 首部校验和：0x5c12 源IP地址为：119.75.222.18 目的IP为：192.168.1.108
从图中可以看出： 源端口号：1891 目的端口号：8000 udp报文长度为：28 检验和：0x58d7 数据长度：20 bytes UDP协议是一种无需建立连接的协议，它的报文格式很简单。当主机中的DNS 应用程序想要惊醒一次查询时，它构造一个DNS查询报文段并把它给UDP，不需要UDP之间握手，UDP为报文加上首部字段，将报文段交给网络层。
第一次握手： 从图中看出： 源端口号：56770 目的端口号：80 序列号为:0 首部长为: 32 bytes SYN为1表示建立连接成功当fin为1时表示删除连接。
第二次握手： 从图中看出： 源端口号是：80 目的端口号为：56770 序列号为：0 ack为：1 Acknowledgement为1表示包含确认的报文Syn为1表示建立连接。
第三次握手： 从图中看出： 源端口：56770 目的端口：80 序列号为：1 ACK为：1 首部长为：20bytes Acknowledgement为1表示包含确认的报文 所以，看出来这是TCP连接成功了 Tcp是因特网运输层的面向连接的可靠的运输协议，在一个应用进程可以开始向另一个应用进程发送数据前，这两个进程必须先握手，即它们必须相互发送预备文段，建立确保传输的参数。
实验报告 项目名称：网络协议分析工具的使用课程名称：计算机网络B 班级： 姓名： 学号： 教师： 信息工程学院测控系
一、实验目的 基于网络协议分析工具Wireshark（原为Ethereal），通过多种网络应用的实际操作，学习和掌握不同网络协议数据包的分析方法，提高TCP/IP协议的分析能力和应用技能。 二、实验前的准备 ● 二人一组，分组实验； ● 熟悉Ping、Tracert等命令，学习FTP、HTTP、SMTP和POP3协议； ● 安装软件工具Wireshark，并了解其功能、工作原理和使用方法； ● 安装任一种端口扫描工具； ● 阅读本实验的阅读文献； 三、实验内容、要求和步骤 3.1 学习Wireshark工具的基本操作 学习捕获选项的设置和使用，如考虑源主机和目的主机，正确设置Capture Filter；捕获后设置Display Filter。 3.2 PING命令的网络包捕获分析 PING命令是基于ICMP协议而工作的，发送4个包，正常返回4个包。以主机210.31.40.41为例，主要实验步骤为： （1）设置“捕获过滤”：在Capture Filter中填写host 210.31.38.94； （2）开始抓包； （3）在DOS下执行PING命令； （4）停止抓包。 （5）设置“显示过滤”: IP.Addr=210.31.38.94 （6）选择某数据包，重点分析其协议部分，特别是协议首部内容，点开所有带+号的内容。（7）针对重要内容截屏，并解析协议字段中的内容，一并写入WORD文档中。
分析：从这个数据包的分析结果来看我们可以得知： 数据包的到达时间为2013年11月28日14：43：15 帧的序号为20411 帧的长度为74bytes（592bits），同时抓取的长度也是74bytes，说明没有丢失数据 目的MAC地址为00：25：11:：4b：7a：6e 源MAC地址为00：25：11：4b：7d：6e 使用的协议为Ipv4 网络层的首部长度为20bytes 目的Ip地址为222.31.38.94 源Ip地址为222.31.38.93 数据没有分片说明数据大小没有超过最大传输单元MUT，其中用到了ICMP协议，数据包的生存周期为128 头部校验和为0x01正确 ICMP的校验和为0x01序列号为2304 数据有32bytes 3.3 TRACERT命令数据捕获 观察路由跳步过程。分别自行选择校内外2个目标主机。比如， （1）校内：tracert 210.31.32.8 （2）校外：tracert https://www.doczj.com/doc/8813502133.html,
计算机网络实验指导书
目录 实验一Wireshark的安装与使用 (3) 实验二使用Wireshark分析以太网帧与ARP协议 (7) 实验三使用Wireshark分析IP协议 (11) 实验四利用Wireshark分析ICMP (19) 实验五使用Wireshark分析UDP协议 (25) 实验六使用Wireshark分析TCP协议 (29) 实验七利用Wireshark分析协议HTTP (35) 实验八利用Wireshark分析DNS协议 (40) 实验九使用Wireshark分析FTP协议(选作) (44) 实验十使用Wireshark分析SMTP与POP3协议(选作) (48)
实验一Wireshark的安装与使用 一、实验目的 1、熟悉并掌握Wireshark的基本使用; 2、了解网络协议实体间进行交互以及报文交换的情况。 二、实验环境 与因特网连接的计算机,操作系统为Windows,安装有Wireshark、IE等软件。 三、预备知识 要深入理解网络协议,需要观察它们的工作过程并使用它们,即观察两个协议实体之间交换的报文序列,探究协议操作的细节,使协议实体执行某些动作,观察这些动作及其影响。这种观察可以在仿真环境下或在因特网这样的真实网络环境中完成。 观察正在运行的协议实体间交换报文的基本工具被称为分组嗅探器(packet sniffer),又称分组捕获器。顾名思义,分组嗅探器捕获(嗅探)您的计算机发送与接收的报文。 图1显示了一个分组嗅探器的结构。 图1 图1右边就是计算机上正常运行的协议与应用程序(如:Web浏览器与FTP客户端)。分组嗅探器(虚线框中的部分)主要有两部分组成:第一就是分组捕获器,其功能就是捕获计算机发送与接收的每一个链路层帧的拷贝;第二个组成部分就是分组分析器,其作用就是分析并显示协议报文所有字段的内容(它能识别目前使用的各种网络协议)。 Wireshark就是一种可以运行在Windows, UNIX, Linux等操作系统上的分组嗅探器,就是一个开源免费软件,可以从、wireshark、org下载。
实验一： 一、实验目的 学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线 四、实验步骤（操作方法及思考题） 1.用Wireshark观察ARP协议以及ping命令的工作过程：（20分） （1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；（2）用“arp”命令清空本机的缓存； （3）运行Wireshark，开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）; （4）执行命令：“ping 缺省路由器的IP地址”； 写出（1），（2）中所执行的完整命令（包含命令行参数），（3）中需要设置的Wireshark的Capture Filter过滤规则，以及解释用Wireshark所观察到的执行（4）时网络上出现的现象。 -------------------------------------------------------------------------------- （1）ipconfig/all （2）arp –d （3）( arp or icmp ) and ether host 18-03-73-BC-70-51, ping 192.168.32.254 后的截包信息图片：
首先，通过ARP找到所ping机器的ip地址，本机器发送一个广播包，在子网中查询192.168.32.254的MAC地址，然后一个节点发送了响应该查询的ARP分组，告知及其所查询的MAC地址。接下来，本机器发送3个请求的ICMP报文，目的地段回复了三个响应请求的应答ICMP报文。在最后对请求主机对应的MAC地址进行核查。 2.用Wireshark观察tracert命令的工作过程：（20分） （1）运行Wireshark, 开始捕获tracert命令中用到的消息； （2）执行“tracert -d https://www.doczj.com/doc/8813502133.html,” 根据Wireshark所观察到的现象思考并解释tracert的工作原理。 ----------------------------------------------------------- 实验室路由跟踪显示有6个路由器
计算机网络 实 验 报 告 实验名称： IP协议分析 实验分组号： 实验人：郑微微 班级： 12计算机科学系本四B班学号： 实验指导教师：阮锦新 实验场地：网络实验室706 实验时间： 2014年11月 17号 成绩：
一、实验目的 1、掌握IP协议分析的方法 2、掌握TCP/IP体系结构 3、加深网络层协议的理解 4、学会使用网络分析工具 二、实验要求 1、实验前下载安装Ethereal/Wireshark/Sniffer中的一款网络分析工具软件 2、了解网络分析工具软件的常见功能与常见操作 3、每位学生必须独立完成所有实验环节 三、实验环境 1、操作系统：Windows XP/Windows 7/Windows 2008 2、已安装网络分析工具软件 3、PC机能访问互联网 四、实验内容及原理 1、实验内容 (1)IP头的结构 (2)IP报文分析 2、实验原理 网络之间互连的协议（Internet Protocol,IP）就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。 IP报文由报头和数据两部分组成，如图1所示：
图1 IP报文格式 五、需求分析 IP协议是TCP/IP体系中两个主要的协议之一，而IP地址位于IP数据报的首部，在网络层及以上使用的是IP地址，因此在数据链路层是看不见数据报的IP地址，另外首部的前一部分是固定长度，共20字节。在TCP/IP的标准中，各种数据格式常以32位为单位来描述，通过分析IP数据报的格式就能够知道IP协议都具有哪些功能。 六、实验步骤 1、打开网络分析工具软件 2、抓取浏览器数据包 (1)启动网络分析工具软件，设置抓包过滤条件。 (2)启动浏览器，在地址栏输入要访问的IP地址。 (3)关闭浏览器，停止抓包。 (4)存储所捕获的数据包。 (5)分析数据包。 七、实验分析 1.启动网络分析工具软件，设置抓包过滤条件为“==”
实验一wireshark抓包工具使用[实验目的] 学习wireshark抓包工具的使用 了解wireshark抓包工具的功能 通过学习，进一步理解协议及网络体系结构思想 [实验原理] Wireshark是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 主要应用： 网络管理员用来解决网络问题 网络安全工程师用来检测安全隐患 开发人员用来测试协议执行情况 用来学习网络协议 [实验内容] 下载WIRESHARK，学习工具的使用和功能。
Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级） 过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。 Wireshark可能算得上是今天能使用的最好的开元网络分析软件。 工作流程 （1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。 （2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。 （3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。 （4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。 （5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。 （6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的 形式可以很方便的展现数据分布情况。
中南林业科技大学 实验报告 课程名称：网络协议与分析 姓名：项学静学号：20104422 专业班级：2010级计算机科学与技术 系（院）：计算机与信息工程学院 实验时间：2013年下学期 实验地点：电子信息楼602机房
实验一点到点协议PPP 一、实验目的 1．理解PPP协议的工作原理及作用。 2．练习PPP，CHAP的配置。 3．验证PPP,CHAP的工作原理。 二、实验环境 1．安装windows操作系统的PC计算机。 2．Boson NetSim模拟仿真软件。 三、实验步骤 1、绘制实验拓扑图 利用Boson Network Designer绘制实验网络拓扑图如图1-1。 本实验选择两台4500型号的路由器。同时，采用Serial串行方式连接两台路由器，并选择点到点类型。其中DCE端可以任意选择，对于DCE端路由器的接口(Serial 0/0)需要配置时钟信号（这里用R1的Serial 0/0作为DCE端）。 2、配置路由器基本参数
绘制完实验拓扑图后，可将其保存并装入Boson NetSim中开始试验配置。配置时点击Boson NetSim程序工具栏按钮eRouters,选择R1 并按下面的过程进行路由器1的基本参数配置： Router>enable Router#conf t Router(config)#host R1 R1(config)#enable secret c1 R1(config)#line vty 0 4 R1(config-line)#password c2 R1(config-line)#interface serial 0/0 R1(config-if)#ip address 192.168.0.1 255.255.255.0 R1(config-if)#clock rate 64000 R1(config-if)#no shutdown R1(config-if)#end R1#copy running-config startup-config 点击工具栏按钮eRouters，选择R2并按下面过程进行路由器的基本参数配置：Router>enable Router#conf t Router(config)#host R2
Wireshark Lab: DHCP Version: 2.0 ? 2007 J.F. Kurose, K.W. Ross. All Rights Reserved Computer Networking: A Top-down Approach, 4th edition. In this lab, we’ll take a quick look at DHCP. Recall that DHCP is used extensively in corporate, university and home-network wired and wireless LANs to dynamically assign IP addresses to hosts (as well as to configure other network configuration information). This lab is brief, as we’ll only examine the DHCP packets captured by a host. If you also have administrative access to your DHCP server, you may want to repeat this lab after making some configuration changes (such as the lease time). If you have a router at home, you most likely can configure your DHCP server. Because many linux/Unix machines (especially those that serve many users) have a static IP address and because manipulating DHCP on such machines typically requires super-user privileges, we’ll only present a Windows version of this lab below. DHCP Experiment In order to observe DHCP in action, we’ll perform several DHCP-related commands and capture the DHCP messages exchanged as a result of executing these commands. Do the following1: 1.Begin by opening the Windows Command Prompt application (which can be found in your Accessories folder). As shown in Figure 1, enter “ipconfig /release”. The executable for ipconfig is in C:\windows\system32. This command releases your current IP address, so that your host’s IP address becomes 0.0.0.0. 1If you are unable to run Wireshark live on a computer, you can download the zip file https://www.doczj.com/doc/8813502133.html,/wireshark-labs/wireshark-traces.zip and extract the file dhcp-ethereal-trace-1. The traces in this zip file were collected by Wireshark running on one of the author’s computers, while performing the steps indicated in the Wireshark lab. Once you have downloaded the trace, you can load it into Wireshark and view the trace using the File pull down menu, choosing Open, and then selecting the dhcp-ethereal-trace-1 trace file. You can then use this trace file to answer the questions below.
Wireshark Lab: HTTP Version: 2.0 (Sept. 2009) ? 2009 J.F. Kurose, K.W. Ross. All Rights Reserved Computer Networking: A Top- down Approach, 5th edition . Having gotten our feet wet with the Wireshark packet sniffer in the introductory lab, we’re now ready to use Wireshark to investigate protocols in operation. In this lab, we’ll explore several aspects of the HTTP protocol: the basic GET/response interaction, HTTP message formats, retrieving large HTML files, retrieving HTML files with embedded objects, and HTTP authentication and security. Before beginning these labs, you might want to review Section 2.2 of the text. 1. The Basic HTTP GET/response interaction Let’s begin our exploration of HTTP by downloading a very simple HTML file - one that is very short, and contains no embedded objects. Do the following: 1. Start up your web browser. 2. Start up the Wireshark packet sniffer, as described in the Introductory lab (but don’t yet begin packet capture). Enter “http” (just the letters, not the quotation marks) in the display-filter-specification window, so that only captured HTTP messages will be displayed later in the packet-listing window. (We’re only interested in the HTTP protocol here, and don’t want to see the clutter of all captured packets). 3. Wait a bit more than one minute (we’ll see why shortly), and then begin Wireshark packet capture. 4. Enter the following to your browser https://www.doczj.com/doc/8813502133.html,/wireshark-labs/HTTP-wireshark-file1.html Your browser should display the very simple, one-line HTML file. 5. Stop Wireshark packet capture. Your Wireshark window should look similar to the window shown in Figure 1. If you are unable to run Wireshark on a live network connection, you can download a packet trace that was created when the steps above were followed.1 1 Download the zip file https://www.doczj.com/doc/8813502133.html,/wireshark-labs/wireshark-traces.zip and extract the file http-ethereal-trace-1. The traces in this zip file were collected by Wireshark running on one of the author’s
网络协议分析实验报告样本 网络协议分析实验报告本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 实验报告99实验名称网络协议分析姓名学号班级313计本班实验目的掌握常用的抓包软件，了解EtherV 2、ARP、P IP协议的结构。 实验内容 11、分析2EtherV2协议 22、分析P ARP协议 33、分析P IP协议实验步骤 11、在S DOS状态下，运行ipconfig，记录本机的IP地址和硬件地址，网关的IP地址。 如下图11所示::本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 图图 12、分析数据链路层协议（ （1）、在:PC1的“运行”对话框中输入命令“Ping192.168.191.1,单击“Enter”按钮；图如下图2所示:图图2（ （2）、在本机上运行wireshark截获报文，为了只截获和实验内容有关的报文，将Ethereal的的Captrue Filter设置为“No
Broadcastand noMulticast”；如下图3所示:本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 图图3 （33）停止截获报文::将结果保存为MAC--学号，并对截获的报文进行分析:11）列出截获的报文中的协议类型，观察这些协议之间的关系。 答::a a、UDP:用户数据包协议，它和P TCP一样位于传输层，和P IP协议配合使用，。 在传输数据时省去包头，但它不能提供数据包的重传，所以适合传输较短的文件。 b b、WSP:是无线局域网领域推出的新协议，用来方便安全地建立无线连接。 c c、ARP:地址解析协议，实现通过P IP地址得知其物理地址。 在P TCP/IP网络环境下，每个主机都分配了一个232位的P IP 地址，这种互联网地址是在网际范围标本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 识主机的一种逻辑地址。 为了让报文在物理网路上传送，必须知道对方目的主机的物理地址。 这样就存在把P IP地址变换成物理地址的地址转换问题。
信 息 网 络 技 术 实 验 报 告 实验名称利用wireshark分析ARP协议
实验编号 姓名 学号 成绩 常见网络协议分析实验一、实验室名称： 电子政务可视化再现实验室 二、实验项目名称： 利用wireshark分析ARP协议 三、实验原理：
Wireshark:Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试获取网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。 当一台主机把以太网数据帧发送到位于同一局域网上的另一台主机时，是根据48bit 的以太网地址来确定目的接口的.设备驱动程序从不检查IP数据报中的目的IP地址。地址解析为这两种不同的地址形式提供映射：32bit的IP地址和数据链路层使用的任何类型的地址。 ARP根据IP地址获取物理地址的一个TCP/IP协议。ARP为IP地址到对应的硬件地址之间提供动态映射。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存。 四、实验目的： 目的是通过实验加深对数据包的认识，网络信息传输过程的理解，加深对协议的理解，并了解协议的结构与区别。 利用wireshark捕获发生在ping过程中的ARP报文，加强对ARP协议的理解，掌握ARP报文格式，掌握ARP请求报文和应答报文的区别。 五、实验内容： 利用wireshark分析ARP协议 六、实验器材（设备、元器件） 运行Windows的计算机，带有并正确安装网卡；wireshark软件；具备路由器、交换机等网络设备的网络连接。 七、实验步骤： 1、查看本机WLAN接口IP，得到。 2、利用arp –a命令在本地的ARP 缓存中查看IP-MAC对应表。
西安郵電學院 计算机网络技术及应用实验 报告书 系部名称：管理工程学院学生姓名：xxx 专业名称：信息管理 班级：10xx 学号：xxxxxxx 时间：2012 年x 月x 日
实验题目Wireshark抓包分析实验 一、实验目的 1、了解并会初步使用Wireshark，能在所用电脑上进行抓包 2、了解IP数据包格式，能应用该软件分析数据包格式 3、查看一个抓到的包的内容，并分析对应的IP数据包格式 二、实验内容 1、安装Wireshark，简单描述安装步骤。 2、打开wireshark，选择接口选项列表。或单击“Capture”，配置“option” 选项。 3、设置完成后，点击“start”开始抓包，显示结果。 4、选择某一行抓包结果，双击查看此数据包具体结构。 5、捕捉IP数据报。 ①写出IP数据报的格式。 ②捕捉IP数据报的格式图例。 ③针对每一个域所代表的含义进行解释。 三、实验内容（续，可选） 1、捕捉特定内容 捕捉内容：http 步骤：①在wireshark软件上点开始捕捉。 ②上网浏览网页。 ③找到包含http格式的数据包，可用Filter进行设置，点击 中的下拉式按钮，选择http。 ④在该数据帧中找到Get 的内容。 实验体会
Wireshark抓包分析实验报告 一．实验目的 1.了解并初步使用Wireshark，能在所用电脑上进行抓包。 2.了解IP数据包格式，能应用该软件分析数据包格式。 3.查看一个抓到的包的内容，并分析对应的IP数据包格式。 二．主要仪器设备 协议分析软件Wireshark，联网的PC机。 三．实验原理和实验内容 1 安装WireShark。这个不用说了，中间会提示安装WinPcap,一切都是默认的了
信息网络技术实验报告
实验名称利用wireshark分析ARP协议 实验编号 6.1 姓名 学号 成绩 2.6常见网络协议分析实验 一、实验室名称： 电子政务可视化再现实验室 二、实验项目名称： 利用wireshark分析ARP协议
三、实验原理： Wireshark:Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试获取网络包，并尝试显示包的尽可能详细的情况。网络包分析工具是一种用来测量有什么东西从网线上进出的测量工具，Wireshark 是最好的开源网络分析软件。 当一台主机把以太网数据帧发送到位于同一局域网上的另一台主机时，是根据48bit 的以太网地址来确定目的接口的.设备驱动程序从不检查IP数据报中的目的IP地址。地址解析为这两种不同的地址形式提供映射：32bit的IP地址和数据链路层使用的任何类型的地址。 ARP根据IP地址获取物理地址的一个TCP/IP协议。ARP为IP地址到对应的硬件地址之间提供动态映射。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存。 四、实验目的： 目的是通过实验加深对数据包的认识，网络信息传输过程的理解，加深对协议的理解，并了解协议的结构与区别。 利用wireshark捕获发生在ping过程中的ARP报文，加强对ARP协议的理解，掌握ARP报文格式，掌握ARP请求报文和应答报文的区别。 五、实验内容： 利用wireshark分析ARP协议 六、实验器材（设备、元器件） 运行Windows的计算机，带有并正确安装网卡；wireshark软件；具备路由器、交换机等网络设备的网络连接。 七、实验步骤： 1、查看本机WLAN接口IP，得到192.168.1.112。 2、利用arp –a命令在本地的ARP 缓存中查看IP-MAC对应表。