信息学部实验报告纸第1 / 3 页
报告成绩：
批改日期：
学生实验报告
评语：
第2 / 3 页信息学部实验报告纸
信息学部实验报告纸第3 / 3 页
HUNAN UNIVERSITY 信息安全实验报告 题目：网络嗅探实验 指导老师： 学生姓名： 学生学号： 院系名称：信息科学与工程学院 专业班级： 2015年5月15日星期五
一、实验目的 掌握Sniffer（嗅探器）工具的使用方法，实现FTP、HTTP数据包的捕捉。 掌握对捕获数据包的分析方法，了解FTP、HTTP数据包的数据结构和连接过程，了解FTP、HTTP协议明文传输的特性，以建立安全意识。 二、实验环境 ①Windows 7 ②Wireshark(网络封包分析软件) ③FLASHFXP（FTP下载软件） ④Serv_U(FTP服务器端) ⑤搜狗浏览器。 三、实验要求 每两个学生为一组：其中学生A进行Http或者Ftp连接，学生B运行Wireshark软件监听学生A主机产生的网络数据包。完成实验后，互换角色重做一遍。 四、实验内容 任务一：熟悉Wireshark工具的使用 任务二：捕获FTP数据包并进行分析 任务三：捕获HTTP数据包并分析 五、实验原理 网卡有几种接收数据帧的状态：unicast（接收目的地址是本级硬件地址的数据帧），Broadcast（接收所有类型为广播报文的数据帧），multicast（接收特定的组播报文），promiscuous（目的硬件地址不检查，全部接收）。 以太网逻辑上是采用总线拓扑结构，采用广播通信方式，数据传输是依靠帧中的MAC 地址来寻找目的主机。 每个网络接口都有一个互不相同的硬件地址（MAC地址），同时，每个网段有一个在此网段中广播数据包的广播地址。 一个网络接口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，丢弃不是发给自己的数据帧。但网卡工作在混杂模式下，则无论帧中的目标物理地址是什么，主机都将接收。 1．HTTP 协议简介 HTTP 是超文本传输协议（Hyper Text Transfer Protocol）的缩写，用于WWW 服务。 （1）HTTP 的工作原理 HTTP 是一个面向事务的客户服务器协议。尽管HTTP 使用TCP 作为底层传输协议，但HTTP 协议是无状态的。也就是说，每个事务都是独立地进行处理。当一个事务开始时，就在web客户和服务器之间建立一个TCP 连接，而当事务结束时就释放这个连接。此外，客户可以使用多个端口和和服务器（80 端口）之间建立多个连接。其工作过程包括以下几个阶段。 ①服务器监听TCP 端口 80，以便发现是否有浏览器（客户进程）向它发出连接请求； ②一旦监听到连接请求，立即建立连接。 ③浏览器向服务器发出浏览某个页面的请求，服务器接着返回所请求的页面作为响应。 ④释放TCP 连接。
使用Sniffer Pro网络分析器实验报告 一、实验目的 1、掌握Sniffer工具的安装和使用方法 2、理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构 3、掌握ICMP协议的类型和代码 二、实验内容 1、安装Sniffer Pro 2、捕捉数据包 3、分析捕捉的数据包 三、实验步骤 1、安装Sniffer Pro Sniffer Pro安装过程并不复杂，setup后一直点击“确定”即可，第一次运行时需要选择网络适配器或网卡后才能正常工作。如下图所示： 选择好网络适配器或网卡后，即可进入主界面，如下图所示：
2、捕捉数据包 以抓FTP密码为例 步骤1：设置规则 选择Capture菜单中的Defind Filter出现图（1）界面，选择图（1）中的ADDress 项，在station1和2中分别填写两台机器的IP地址，选择Advanced选项，选择选IP/TCP/FTP ,将 Packet Size设置为 In Between 63 -71， Packet Type 设置为 Normal。如图（2）所示，选择Data Pattern项，点击箭头所指的Add Pattern按钮，出现图（3）界面，按图设置OFFset 为2F,方格内填入18，name可任意起。确定后如图（4）点击Add NOT按钮,再点击Add Pattern 按钮增加第二条规则，按图（5）所示设置好规则，确定后如图（6）所示。 图（1）
图（2） 图（3）
图（4） 图（5） 图（6）步骤2：抓包 按F10键出现下图界面，开始抓包。
图（7） 步骤3：运行FTP命令 本例使FTP到一台开有FTP服务的Linux机器上 D:/>ftp 192.168.113.50 Connected to 192.168.113.50. 220 test1 FTP server (Version wu-2.6.1(1) Wed Aug 9 05:54:50 EDT 2000) ready. User (192.168.113.50:(none)): test 331 Password required for test. Password: 步骤4：察看结果 当下图中箭头所指的望远镜图标变红时，表示已捕捉到数据 图（8） 点击该图标出现下图所示界面，选择箭头所指的Decode选项即可看到捕捉到的所有包。可以清楚地看出用户名为test和密码为123456789。 图（9） 3、分析捕捉的数据包 将图（1）中Packet Size设置为 63 -71是根据用户名和口令的包大小来设置的，图（9）可以看出口令的数据包长度为70字节，其中协议头长度为：14+20+20=54，与telnet的头长度相同。Ftp的数据长度为16，其中关键字PASS占4个字节，空格占1个字节，密码占9个
实验一网络嗅探实验 一、简单阐述实验原理 网络嗅探器Sniffer的原理 网卡有几种接收数据帧的状态：unicast（接收目的地址是本级硬件地址的数据帧），Broadcast （接收所有类型为广播报文的数据帧），multicast（接收特定的组播报文），promiscuous （目的硬件地址不检查，全部接收） 以太网逻辑上是采用总线拓扑结构，采用广播通信方式，数据传输是依靠帧中的MAC地址来寻找目的主机。 每个网络接口都有一个互不相同的硬件地址（MAC地址），同时，每个网段有一个在此网段中广播数据包的广播地址 一个网络接口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，丢弃不是发给自己的数据帧。但网卡工作在混杂模式下，则无论帧中的目标物理地址是什么，主机都将接收 通过Sniffer工具，将网络接口设置为“混杂”模式。可以监听此网络中传输的所有数据帧。从而可以截获数据帧，进而实现实时分析数据帧的内容。 数据传输有两种方式：主动和被动模式。 关于被动模式与主动模式书上这么解释来着。 客户端与服务器建立控制连接后，要告诉服务器采用哪种文件传输模式。FTP提供了两种传输模式，一种是Port（主动模式），一种是Passive被动模式。这个主被动指的是服务器端。 主动，是指服务器端主动向客户端发起数据连接请求，那么此时服务器端要用自己的一个固有端口一般是20去监听客户端。整个过程是这样的，客户端在最初会用一个端口3716向服务器端的21发起控制连接请求（应该是在握手后中确定的吧），连接成功后，在发送port 3716+1，告诉服务服务器端坚定3717，那么服务器端就会用数据端口，一般是20与3717建立连接（这就是主动进行数据连接）。服务器端利用自己的20与客户端 3717来文件的数据传送通信，利用21和客户端最初的端口3616进行用户验证和管理。 而被动模式，是服务器端被动的接受客户端的数据连接请求，这个端口号是由客户端告知服务器端的，在本地随机生成（1025-65535）。 二、分别写出任务二、任务三中要求找出的有用信息，写出对应捕获的报文窗口中的summary（概要）代码，并推断出监测主机的系列行为。
网络攻击与防御技术实验报告 实验目的： 本实验通过研究Winpcap中常用的库函数的使用方式来实现了一个小型的网络数据包抓包器，并通过对原始包文的分析来展示当前网络的运行状况。 实验内容： 1.实现对网络基本数据包的捕获 2.分析捕获到的数据包的详细信息 实验环境： 1.WpdPack_4_0_1支持库 2.VC++开发环境 3.Windows操作系统 实验设计： 系统在设计过程中按照MVC的设计模式，整体分为三层。第一层为Control层即控制层，这里为简化设计，将Control层分为两个部分，一部分为网络报文输入，另一部分为用户输入；第二层是Model层即模型层；第三层为View层即显示层。 系统的整体运行过程为：从Control层得到数据，交到Model层进行处理，将处理完的结果交View层进行显示。Control层主要用于网络数据包的捕获以及获得用户的输入；Model层主要用于分析数据包，处理用户的输入；View层主要用于对处理后的结果进行显示。 详细过程： 程序在执行过程中有两个核心的工作，一是调用Winpcap函数库实现下层抓包。二是对抓到的包文进行分析。下面分别列出两个核心过程的基本算法与相关的实现代码。 抓包算法： 第一：初始化Winpcap开发库 第二：获得当前的网卡列表，同时要求用户指定要操作的网卡 第三：获得当前的过滤规则，可为空 第四：调用库函数，pcap_loop（），同时并指定其回调函数，其中其回调函数为数据包分析过程。 对应的相应核心代码为： I f((pCap=pcap_open_live(getDevice()->name,65536,1,1000,strErrorBuf))==NULL) { return -1; } If(pcap_compile(pCap, &fcode, filter, 1, NetMask) < 0)
信息安全实验报告
信息安全基础实验报告 姓名：田廷魁学号：201227920316 班级：网工1201班 ARP欺骗工具及原理分析（Sniffer网络嗅探器）一．实验目的和要求 实验目的： 1.熟悉ARP欺骗攻击有哪些方法。 2.了解ARP欺骗防范工具的使用。 3.掌握ARP欺骗攻击的实验原理。 实验要求： 下载相关工具和软件包(ARP攻击检测工具，局域网终结者，网络执法官，ARPsniffer嗅探工具)。 二．实验环境（实验所用的软硬件） ARP攻击检测工具 局域网终结者 网络执法官 ARPsniffer嗅探工具 三．实验原理 ARP（Address Resolution Protocol）即地址解析协议，是一种将IP地址转化成物理地址的协议。不管网络层使用什么协议，在网络链路上传送数据帧时，最终还是必须使用硬件地址的。而每台机器的MAC地址都是不一样的，具有全球唯一性，因此可以作为一台主机或网络设备的标识。目标主机的MAC地址就是通过ARP协议获得的。
ARP欺骗原理则是通过发送欺骗性的ARP数据包致使接收者收到数据包后更新其ARP缓存表，从而建立错误的IP与MAC对应关系，源主机发送数据时数据便不能被正确地址接收。 四.实验内容与步骤 1、利用ARPsniffer嗅探数据 实验须先安装winpcap.exe它是arpsniffer.exe运行的条件，接着在arpsniffer.exe同一文件夹下新建记事本，输入Start cmd.exe ,保存为cmd.bat。ARPsniffer有很多种欺骗方式，下面的例子是其中的一种。 安装截图：
步骤一：运行cmd.exe,依次输入以下命令： "arpsf.exe -sniffall -o f:\sniffer.txt -g 192.168.137.1 -t 192.168.137.5"（其中IP地址：192.168.137.1是局域网网关的地址，192.168.137.5是被欺骗主机的IP地址，试验获取的数据将会被输入到F盘的sniffer.txt文件中。）按回车键运行，出现如下图所示的选项，选1，接着选0，回车，程序便开始监听了。 运行截图： 步骤二：停止运行，打开F盘的sniffer.txt文件，在文件中查找，可以发现被欺骗主机的一些敏感信息，如下图：可以发现被欺骗主机注册某网站时的信息：username=wanglouanquan password=123456等。 捕获信息截图：
网络监听实验报告 一、实验目的 利用Sniffer软件捕获网络信息数据包，然后通过解码进行分析。通过实验，了解网络监听原理和过程。 二、实验环境及设备 硬件：可以用三台真机：三台PC、一台集线器或交换机、网线若干； 或也可以用三台虚拟机：一台内存不少于2GB的PC，用VMware虚拟机软件建 立三台虚拟机，要求能流畅运行。 软件：Windows XP Professional SP3，IIS组件包（用于搭建FTP服务器），Sniffer软件。 三、实验内容 将三台PC组建成一个局域网；将其中的A机搭建为FTP服务器，并将服务器设置为要求用户名和密码登录；B机作为A机FTP服务的访问者，知道A机FTP服务的用户名和密码；C机作为监听者，装有Sniffer软件，监听A、B两机的通信，以监听到A机的FTP 服务用户名和密码为最终目标。 四、实验详细步骤 本实验内容分为三个过程： 1、准备三台PC，将三台PC组建成一个局域网，以能互相ping通为成功标志。 （1）物理连接：若用三台实体PC，用交换机连接成网络；若用三台虚拟机，则都使用“桥接”方式连接成网络，操作方法为：选定需设置的虚拟机→“虚拟机”菜单→“设置”命令→“硬件”选项卡→“Network Adapter”→“桥接：直接连接到物理网络”。
（2）分配IP地址 IP地址设置好后，关闭防火墙，测试三台电脑能否互相ping通。关闭防火墙方法：右击桌面“网上邻居”→属性→右击“本地连接”→属性→“高级”选项卡→“设置”按钮→“常规”选项卡→选中“关闭（不推荐）”。如下图。 2、在A机上安装IIS，搭建并设置FTP服务器，以B机通过用户名和密码能访问A机FTP 服务为成功标志。 （1）安装IIS。 打开“我的电脑”→“控制面板”→“添加/删除程序”→“添加/删除windows组件”→勾选“Internet信息服务（IIS）”→“详细信息”→勾选“文件传输协议（FTP）服务”→点击确定开始安装IIS，如下图。在安装过程中提示需要放入Windows系统光盘，请点击确定后选择IIS组件包所在位置，如下图。
嗅探器实验报告 学院：通信工程 班级：011252 学号：01125118 姓名：寇天聪
嗅探器设计原理 嗅探器作为一种网络通讯程序，也是通过对网卡的编程来实现网络通讯的，对网卡的编程也是使用通常的套接字（socket）方式来进行。通常的套接字程序只能响应与自己硬件地址相匹配的或是以广播形式发出的数据帧，对于其他形式的数据帧比如已到达网络接口但却不是发给此地址的数据帧，网络接口在验证投递地址并非自身地址之后将不引起响应，也就是说应用程序无法收取到达的数据包。而网络嗅探器的目的恰恰在于从网卡接收所有经过它的数据包，这些数据包即可以是发给它的也可以是发往别处的。显然，要达到此目的就不能再让网卡按通常的正常模式工作，而必须将其设置为混杂模式。 网络嗅探器无论是在网络安全还是在黑客攻击方面均扮演了很重要的角色。通过使用网络嗅探器可以把网卡设置于混杂模式，并可实现对网络上传输的数据包的捕获与分析。此分析结果可供网络安全分析之用，但如为黑客所利用也可以为其发动进一步的攻击提供有价值的信息。可见，嗅探器实际是一把双刃剑。虽然网络嗅探器技术被黑客利用后会对网络安全构成一定的威胁，但嗅探器本身的危害并不是很大，主要是用来为其他黑客软件提供网络情报，真正的攻击主要是由其他黑软来完成的。而在网络安全方面，网络嗅探手段可以有效地探测在网络上传输的数据包信息，通过对这些信息的分析利用是有助于网络安全维护的。
本程序实现的基本功能：指定局域网内的任一ip地址，能分析包的类型，结构，流量的大小。 嗅探器工作原理 根据前面的设计思路，不难写出网络嗅探器的实现代码，下面就结合注释对程序的具体是实现进行讲解，同时为程序流程的清晰起见，去掉了错误检查等保护性代码。
《网络安全基础》 实验报告 实验名称：sniffer的基本使用和实例 实验室：凌峰楼b503 专业班级：楼宇11301 组成员：胡征宇徐齐敏袁双龙李勇安鹏郭衍成指导教师：黄老师 成绩：______________________________________ 2012年9 月24 日
一、实验目的： 练习sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。 二、实验环境： 在同一台物理机上打开两台虚拟机，预装Windows 及windows sever2003操作系统。 三、实验前的准备： 两台虚拟机必须ping通，接入本地网络，然后把二者的ip 地址设在同一网段，因为vpc与vmc虚拟机环境不同，在vpc里必须手动将二者防火墙关闭，才能网络互通！之后，将sniffer 安装在xp的系统上，用2003系统做客户端。 四、常用功能介绍： 1、Dashboard （网络流量表） 点击图1中①所指的图标，出现三个表，第一个表显示的是网络的使用率（Utilization），第二个表显示的是网络的每秒钟通过的包数量（Packets），第三个表显示的是网络的每秒错误率（Errors）。通过这三个表可以直观的观察到网络的使用情况，红色部分显示的是根据网络要求设置的上限。选择图1中②所指的选项将显示如图2所示的更为详细的网络相关数据的曲线图。
2. Host table（主机列表）如图所示，点击图中所指的图标，出现图中显示的界面，选择图中所指的IP选项，界面中出现的是所有在线的本网主机地址及连到外网的外网服务器地址，此时想看看192.168.5.20这台机器的上网情况，只需如图中所示单击该地址出现界面。
南京信息工程大学实验（实习）报告 实验名称使用用Sniffer Pro网络分析器实验日期 2014.12.21 得分指导教师朱节中 系计算机专业软件工程年级 2012 班次 1 姓名董上琦学号 20122344001 一、实验目的 1、掌握Sniffer工具的安装和使用方法 2、理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构 3、掌握ICMP协议的类型和代码 二、实验内容 1、安装Sniffer Pro 2、捕捉数据包 3、分析捕捉的数据包 三、实验步骤 1、安装Sniffer Pro Sniffer Pro安装过程并不复杂，setup后一直点击“确定”即可，第一次运行时需要选择 网络适配器或网卡后才能正常工作。如下图所示： 选择好网络适配器或网卡后，即可进入主界面，如下图所示： 2、捕捉数据包
以抓FTP密码为例 步骤1：设置规则 选择Capture菜单中的Defind Filter出现图（1）界面，选择图（1）中的ADDress 项，在station1和2中分别填写两台机器的IP地址，选择Advanced选项，选择选IP/TCP/FTP ,将 Packet Size设置为 In Between 63 -71， Packet Type 设置为 Normal。如图（2）所示，选择Data Pattern项，点击箭头所指的Add Pattern按钮，出现图（3）界面，按图设置OFFset 为2F,方格内填入18，name可任意起。确定后如图（4）点击Add NOT按钮,再点击Add Pattern 按钮增加第二条规则，按图（5）所示设置好规则，确定后如图（6）所示。 图（1） 图（2）
实验一：虚拟机的安装与使用 一、实验目的 1、学习安装、使用虚拟机 2、给虚拟机安装xp操作系统及常用软件 二、实验内容 安装虚拟机步骤： 1.双击VMware-workstation-5.5.3-34685.exe 2.按照流程向导Next> 3.选择安装路径 4.安装完成 可以看到home 5. 6.按照安装向导下一步 7.选择安装的操作系统
8.选择安装路径 9.选择联网方式 10.完成虚拟机的添加 11.可以在看到 点击CD-ROM
12.点击CD-ROM选择我们准备好的windows安装系统，把路径指向windows安装的镜像 文件 13.点start this virtual machine或绿色开始按钮 14.windows安装可选手动或自动 15.最终完成在虚拟机上的windows安装后可以看到 16.可以通过虚拟机上安装一些工具用来直接把主系统的软件拖拽到虚拟机中VM-》 install Vmware tools 17.设置虚拟机中的IP以及DNS等，使其能够上网
18.用ping测试网络的连通性 三、实验心得 通过这个实验，帮助我们掌握了虚拟机的安装，Windows的安装，以及虚拟机的网络互联，我们以后会在虚拟机中进一步了解其他的网络安全试验，帮助我们为以后的实验创造一个安全的平台。 四、实验反馈 实验中由于刚刚接触VMware Workstation，并不熟练在安装应用时花费了较长的时间。
实验二：TCP，UDP端口扫描 一、实验目的 1. 了解常用的TCP、UDP端口扫描的原理及其各种手段 2. 掌握sniffer等网络嗅探工具的使用 二、实验内容 sniffer安装步骤： 1.双击snifferpro.exe 2.进入installshield wizard 3.提取文件后单击Next继续安装，接下来是软件许可协议yes。 4.填入名字公司 5.选择安装路径
①虚拟机安装： 实验环境： 操作系统Microsoft Windows 8 专业版(64位) CPU (英特尔)Intel(R) Core(TM) i7-3517U CPU @ 1.90GHz(2401 MHz) 主板华硕S400CA 内存12.00 GB ( 1600 MHz) 主硬盘500 GB (希捷ST500LT012-9WS142 已使用时间: 2715小时) 显卡Intel(R) HD Graphics 4000 (2112 MB) 显示器LG LG Display 32位真彩色60Hz 声卡High Definition Audio 设备 网卡Qualcomm Atheros AR9485WB-EG Wireless Network Adapter 虚拟机版本：Vmware 9.0 一.下载XP系统的光盘镜像(可在内网下载浙师大版的XP) 二.虚拟机软件的安装 桌面上下载完的文件 解压得到 先运行setup，将软件安装到电脑上，注册码可以在注册机中生成，然后汉化，汉化需要先将VM相关的服务停止才可以，右击计算机-管理-服务与应用程序-服务
将VMware的相关服务的启动类型改为停用，然后将汉化文件覆盖到安装目录中，汉化就完成了，下面是汉化好的VMware 9.0：(网上最新有10.0，支持原生中文) VM的图标： 系统托盘的图标： 主界面：
三.虚拟系统的安装与配置选择文件-新建虚拟机 选择自定义，下一步
兼容性选择9.0就行，下一步 选择安装盘的位置，软件会自动识别操作系统版本，然后下一步
从网上找一个XP系统的密钥，然后下一步 设定虚拟机的名称和位置，下一步
电子科技大学 实验报告 学生姓名：学号：指导教师：实验地点：主楼A2-413-1 实验时间： 一、实验室名称：主楼A2-413-1 二、实验项目名称：ARP欺骗实验 三、实验学时：学时 四、实验原理： 常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。 ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP 应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC 地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。 假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述： A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC 正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会
更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C 发送一个ARP应答，应答包中发送方IP地址四192.168.10.1（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP 缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。 ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。 五、实验目的： 1．通过ARP欺骗技术获取网站用户名、密码等信息。 2．了解ARP欺骗的基本原理。 3．熟悉ARP欺骗的工具使用，以及实验完成过程。 六、实验内容： 1．安装使用工具Cain。 2．绑定网卡。 3．确定嗅探区域。 4．ARP欺骗。 5．查看结果。 七、实验器材（设备、元器件）： PC微机一台、SimpleNAD网络实验教学系统 八、实验步骤： Ping命令是一种TCP/IP实用工具，在DOS和UNIX系统下都有此命令。它将您的计算机与目标服务器间传输一个数据包，再要求对方返回一个同样大小的数据包来确定两台网络机器是否连接相通。 1．安装使用工具Cain 首先在局域网内某台机器上安装Cain（IP地址为192.168.1.12）。Cain是一
Sniffer实验报告 学号:041040101 姓名: 张倩
熟悉并实现网络监听的基本原理 sniffer原理：Sniffer程序是一种利用以太网的特性把网络适配卡（NIC，一般为以太网卡）置为杂乱（promiscuous）模式状态的工具，一旦网卡设置为这种模式，它就能接收传输在网络上的每一个信息包。 普通的情况下，网卡只接收和自己的地址有关的信息包，即传输到本地主机的信息包。要使Sniffer能接收并处理这种方式的信息，系统需要支持BPF，Linux下需要支持SOCKET 一PACKET。但一般情况下，网络硬件和TCP/IP堆栈不支持接收或者发送与本地计算机无关的数据包，所以，为了绕过标准的TCP/IP堆栈，网卡就必须设置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内核必须支持这种伪设备Bpfilter，而且需要root权限来运行这种程序，所以sniffer需要root身份安装，如果只是以本地用户的身份进入了系统，那么不可能嗅探到root的密码，因此不能运行Sniffer。 也有基于无线网络、广域网络(DDN, FR)甚至光网络(POS、Fiber Channel)的监听技术，这时候略微不同于以太网络上的捕获概念，其中通常会引入TAP (测试介入点)这类的硬件设备来进行数据采集。 监听目的 当一个黑客成功地攻陷了一台主机，并拿到了root权限，而且还想利用这台主机去攻击同一（物理）网段上的其他主机时，他就会在这台主机上安装Sniffer软件，对以太网设备上传送的数据包进行侦听，从而发现感兴趣的包。如果发现符合条件的包，就把它存到一个Log文件中去。通常设置的这些条件是包含字“username”或“password”的包，这样的包里面通常有黑客感兴趣的密码之类的东西。一旦黑客截获得了某台主机的密码，他就会立刻进入这台主机。 如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。 Sniffer属于第M层次的攻击。就是说，只有在攻击者已经进入了目标系统的情况下，才能使用Sniffer这种攻击手段，以便得到更多的信息。 Sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个重要的信息、在网上传送的金融信息等等。Sniffer几乎能得到任何在以太网上传送的数据包。
TCP协议分析实验 学号： 姓名： 院系： 专业：
一．实验目的 学会使用Sniffer抓取ftp的数据报，截获ftp账号及密码，并分析TCP 头的结构、分析TCP的三次“握手”和四次“挥手”的过程，熟悉TCP 协议工作方式。 二．实验（软硬件以及网络）环境 利用VMware虚拟机建立网络环境，并用Serv-U FTP Server在计算机上建立FTP服务器,用虚拟机进行登录。 三．实验工具 sniffer嗅探器，VMware虚拟机，Serv-U FTP Server。 四．实验基本配置 Micrsoft Windows XP操作系统 五．实验步骤 1.建立网络环境。 用Serv-U FTP Server在计算机上建立一台FTP服务器，设置IP地址 为：，并在其上安装sniffer嗅探器。再并将虚拟机作为一台FTP客户 端，设置IP地址为：。设置完成后使用ping命令看是否连通。 2.登录FTP 运行sniffer嗅探器，并在虚拟机的“运行”中输入，点确定后出现 如下图的登录窗口： 在登录窗口中输入：用户名（hello），密码（123456）【在Serv-U FTP Server中已设定】，就登录FTP服务器了。再输入“bye”退出FTP 3.使用sniffer嗅探器抓包 再sniffer软件界面点击“stop and display”，选择“Decode”选 项，完成FTP命令操作过程数据包的捕获。 六．实验结果及分析 1.在sniffer嗅探器软件上点击Objects可看到下图：
再点击“DECODE(反解码)”按钮进行数据包再分析，我们一个一个的分析数据包，会得到登录用户名（hello）和密码（123456）。如下图： 2. TCP协议分析 三次握手： 发报文头——接受报文头回复——再发报文（握手）开始正式通信。
Sniffer工具使用实验报告 学院：计算机科学与工程学院 班级： 专业： 学生姓名： 学号：
目录 实验目的 (3) 实验平台 (3) 实验内容 (3) 实验1：抓ping和回应包 (3) 实验要求： (3) 实验过程与分析 (3) 实验2 ：捕获内网发往外网的重要数据 (4) 实验要求： (4) 实验过程与分析： (5) 实验3 ：Arp包编辑发送 (6) 实验要求： (6) 实验过程与分析： (6) 实验4 ：ARP欺骗 (7) 实验要求： (7) 实验过程与分析 (8) 实验深入分析： (11) 实验5：交换机端口镜像的简单配置 (11) 实验要求： (11) 实验过程与分析： (12) 实验心得 (13)
实验目的 了解著名协议分析软件sniffer的主要功能，以及sniffer能处理什么网络问题 实验平台 Sniffer软件是NAI公司推出的功能强大的协议分析软件。 与Netxray比较，Sniffer支持的协议更丰富，如Netxray不支持PPPOE协议，但Sniffer能快速解码分析；Netxray不能在Windows 2000和Windows XP上正常运行，而SnifferPro 4.6可以运行在各种Windows平台上。 缺点：运行时需要的计算机内存比较大，否则运行比较慢 功能： 1）捕获网络流量进行详细分析 2)利用专家分析系统诊断问题 3）实时监控网络活动 4）收集网络利用率和错误等 实验内容 实验1：抓ping和回应包 实验要求： Ping xxxx–t 观察icmp:echo和icmp:echo(reply)包信息 实验过程与分析 1）设置过滤器过滤ICMP协议 2）让Sniffer开始抓包 Ping 222.201.146.92 –t 截获包如下
信息安全实验报告(一) 学院：计算机科学与信息学院专业：网络工程班级：网络092 姓名王荣森学号0908060386 实验组实验时间2012.12.5 指导教师王晓鹏成绩实验项目名 称 实验一：常用信息安全工具的使用 实 验目的1、理解并掌握基于网络的信息安全概念和原理 2、熟悉嗅探、网络漏洞扫描等常用工具的安装、配置与使用。 实 验 要 求 采用集中授课演示操作步骤，学生独立操作形式。 实验原理1、Sniffer工具嗅探 Sniffer即网络嗅探器，用于监听网络中的数据包，分析网络性能和故障。 通常在同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力， 而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其他网络接 口的硬件地址，同时，每个网络至少还要一个广播地址（代表所有的接口地址），在正 常情况下，一个合法的网络接口应该只响应目的地址是自己硬件地址或者自己所处网段 的广播地址的数据帧，同时丢弃不是发给自己的数据帧。 而sniffer就是一种能将本地网络接口设置成“混杂”（promiscuous）状态的软件，当网络接口处于这种"混杂"方式时，该网络接口具备广播地址，它对所有遭遇到的每一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。 sniffer工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络 状态和整体布局。 2、网络端口扫描Superscan
一个开放的网络端口就是一条与计算机通信的信道，对网络端口的扫描可以得到目 标计算机开放的服务程序、运行的系统版本信息，从而为下一步的入侵做好准备。对网络端口的扫描可以通过执行手工命令实现，但效率较低；也可以通过扫描工具实现，效率较高。扫描工具是对目标主机的安全性弱点进行扫描的软件。它一般具有数据分析功能，通过对端口的扫描分析，可以发现目标主机开放的端口和所提供的服务以及相应服 务软件版本和这些服务软件的安全漏洞，从而及时了解目标主机存在的安全隐患。 扫描工具根据作用的环境不同，可分为两种类型：网络漏洞扫描工具和主机漏洞扫 描工具。主机漏洞扫描工具是指在本机运行的扫描工具，以期检测本地系统存在的安全 漏洞。网络漏洞扫描工具是指通过网络检测远程目标网络和主机系统所存在漏洞的扫描 工具。本实验主要针对网络漏洞扫描工具进行。 端口的基础知识 端口是TCP协议中所定义的，TCP协议通过套接字（Socket）建立两台计算机之 间的网络连接。套接字采用[IP地址：端口号]的形式来定义，通过套接字中不同的端口 号可以区别同一台计算机上开启的不同TCP和UDP连接进程。对于两台计算机间的任 意一个TCP连接，一台计算机的一个[IP地址：端口]套接字会和另一台计算机的一个[IP：端口]套接字相对应，彼此标识着源端、目的端上数据包传输的源进程和目标进程。这 样网络上传输的数据包就可以由套接字中的IP地址和端口号找到需要传输的主机和连 接进程了。由此可见，端口和服务进程一一对应，通过扫描开放的端口，就可以判断出 计算机正在运行的服务程序。 TCP/UDP的端口号在0~65535范围之内，其中1024以下的服务保留给常用的网络 服务。例如，21端口为TCP服务，23端口为TELNET服务，25端口为SMTP服务，80端口为HTTP服务，110端口为POP3服务等。 扫描的原理 （1）TCP全连接扫描 TCP全连接扫描是利用TCP的三次握手，与目标主机建立正常的TCP连接，以判断指定端口是否开放。这种方法的缺点是非常容易被记录或者被检测出来。 （2）TCP SYN扫描 本地主机向目标主机发送SYN数据段，如果远端目标主机端口开放，则回应 SYN=1,ACK=1,此时本地主机发送RST给目标主机，拒绝连接。如果远端主机端口未开
网络嗅探器实验报告
网络攻击与防御技术实验报告 实验目的： 本实验通过研究Winpcap中常用的库函数的使用方式来实现了一个小型的网络数据包抓包器，并通过对原始包文的分析来展示当前网络的运行状况。 实验内容： 1.实现对网络基本数据包的捕获 2.分析捕获到的数据包的详细信息 实验环境： 1.WpdPack_4_0_1支持库 2.VC++6.0开发环境 3.Windows操作系统 实验设计： 系统在设计过程中按照MVC的设计模式，整体分为三层。第一层为Control层即控制层，这里为简化设计，将Control层分为两个部分，一部分为网络报文输入，另一部分为用户输入；第二层是Model层即模型层；第三层为View层
即显示层。 系统的整体运行过程为：从Control层得到数据，交到Model层进行处理，将处理完的结果交View层进行显示。Control层主要用于网络数据包的捕获以及获得用户的输入； Model层主要用于分析数据包，处理用户的输入；View层主要用于对处理后的结果进行显示。 详细过程： 程序在执行过程中有两个核心的工作，一是调用Winpcap函数库实现下层抓包。二是对抓到的包文进行分析。下面分别列出两个核心过程的基本算法与相关的实现代码。 抓包算法： 第一：初始化Winpcap开发库
第二：获得当前的网卡列表，同时要求用户指定要操作的网卡 第三：获得当前的过滤规则，可为空 第四：调用库函数，pcap_loop（），同 时并指定其回调函数，其中其回 调函数为数据包分析过程。 对应的相应核心代码为： I f((pCap=pcap_open_live(getDevice()->name,6 5536,1,1000,strErrorBuf))==NULL) { return -1; } If(pcap_compile(pCap, &fcode, filter, 1, NetMask) < 0) { return -1; } if(pcap_setfilter(pCap, &fcode)<0) { return -1; } d o{ pcap_loop(pCap,1,pcap_handle,NULL); }while(nFlag); 分析算法： 第一：得到数据包，先将其转存到内存里，以备以后再用。
超级网络嗅探器——Sniffer pro 的使用 Sniffer软件是NAI公司推出的功能强大的协议分析软件。实现对网络的监控，更深入地了解网络存在的问题，检测和修复网络故障和安全问题。 Sniffer可以监听到网上传输的所有信息，主要用来接收在网络上传输的信息。 Sniffer可以截获口令、专用信道内的信息、信用卡号、经济数据、E-mail等，还可以用来攻击与自己相临的网络。 Sniffer的功能主要包括如下几方面： 捕获网络流量进行详细分析。 利用专家分析系统诊断问题。 实时监控网络活动情况。 监控单个工作站、会话或者网络中任何一部分的网络利用情况和错误统计。 支持主要的LAN、WAN和网络技术。 提供在位和字节水平过滤数据包的能力。 1 Sniffer Pro的启动和设置 2 理解Sniffer Pro主要4种功能组件的作用： 监视：实时解码并显示网络通信流中的数据。 捕获：抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用。 分析：利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。 显示：对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。 3 学会sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。 环境： windows XP， windows 7，能访问INTERNET。
Sniffer pro主界面 在默认情况下，Sniffer将捕获其接入的域中流经的所有数据包，但在某些场景下，有些数据包可能不是我们所需要的，为了快速定位网络问题所在，有必要对所要捕获的数据包作过滤。Sniffer提供了捕获数据包前的过滤规则的定义，过滤规则包括2、3层地址的定义和几百种协议的定义。 定义过滤规则的做法一般如下： (1) 在主界面选择【Capture】→【Define Filter】。 (2) 在“Define Filter”对话框中选择“Address”选项卡，这是最常用的定义。其中包括MAC地址、IP地址和IPX地址的定义。以定义IP地址过滤为例，如图3-20所示。 图3-20 定义IP地址过滤 (3) 在“Define Filter”对话框中选择“Advanced”选项卡，定义希望捕获的相关协议
网络嗅探实验报告 一、实验目的l 掌握Sniffer（嗅探器）工具的使用方法，实现FTP、数据包的捕捉。l 掌握对捕获数据包的分析方法，了解FTP、数据包的数据结构和连接过程，了解FTP、协议明文传输的特性，以建立安全意识。 二、实验原理l 网络嗅探器Sniffer的原理l 网卡有几种接收数据帧的状态：unicast（接收目的地址是本级硬件地址的数据帧），Broadcast（接收所有类型为广播报文的数据帧），multicast（接收特定的组播报文），promiscuous（目的硬件地址不检查，全部接收）l 以太网逻辑上是采用总线拓扑结构，采用广播通信方式，数据传输是依靠帧中的MAC地址来寻找目的主机。l 每个网络接口都有一个互不相同的硬件地址（MAC地址），同时，每个网段有一个在此网段中广播数据包的广播地址l 一个网络接口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，丢弃不是发给自己的数据帧。但网卡工作在混杂模式下，则无论帧中的目标物理地址是什么，主机都将接收l 通过Sniffer工具，将网络接口设置为“混杂”模式。可以监听此网络中传输的所有数据帧。从而可以截获数据帧，进而实现实时分析数据帧的内容。 三、实验环境l 实验室所有机器安装了Windows操作系统，并组成了一个局域网，并且都安装了Sniffer Pro软件、
FLASHFXP（FTP下载软件）、Flashget下载工具和IE浏览器。l 每两个学生为一组：其中学生A进行或者Ftp连接，学生B运行Sniffer Pro软件监听学生A主机产生的网络数据包。完成实验后，互换角色重做一遍。 四、实验内容和步骤任务一：熟悉Sniffer Pro工具的使用根据老师给的ppt材料对Sniffer进行了基本的操作，操作过程部分截图如下：网络监控面板Dashboard 使用Dashboard作为网络状况快速浏览Detail（协议列表）Matrix （网络连接）设置任务二：捕获FTP数据包并进行分析（1）基本步骤：① 在命令符提示下输入IPCONFIG查询自己的IP地址。 ② 学生B单击菜单中的“捕获”|”定义捕获”|”高级”，再选中IP|TCP|FTP。设置Sniffer捕捉数据的过滤选项，使其只捕捉FTP数据。 ③ 学生B选中显示菜单下的网络连接可以看到网络中的传输地图视图。在传输地图视图中单击IP选项卡，用鼠标选中学生A 主机的IP地址，单击鼠标右键，选中“捕获”命令，开始捕获指定主机的有关FTP协议的数据包。 ④ 学生B单击工具栏中的捕获仪表盘按钮，可看到捕捉的包数量。 ⑤ 学生A登陆ftp（ftp：//1 13、