计算机网络 实验指导——捕获数据包

实验三 网络数据包的捕获与分析一、实验目的和要求通过本次实验，了解sniffer 的基本作用，并能通过sniffer 对指定的网络行为所产生的数据包进行抓取，并分析所抓取的数据包。

二、实验内容A ：1、首先打开sniffer 软件，对所要监听的网卡进行选择2、选择网卡按确定后，进入sniffer 工作主界面，对主界面上的操作按钮加以熟悉。

B ：设置捕获条件进行抓包基本的捕获条件有两种：1、链路层捕获，按源MAC 和目的MAC 地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。

2、IP 层捕获，按源IP 和目的IP 进行捕获。

输入方式为点间隔方式，如：10.107.1.1。

如果选择IP 层捕获条件则ARP 等报文将被过滤掉。

链任意捕获条件编辑协议捕获编辑缓冲区编辑基本捕获条件路层捕获IP 层捕获数据流方向链路层捕获地址条件高级捕获条件在“Advance ”页面下，你可以编辑你的协议捕获条件，如图：选择要捕获的协议捕获帧长度条件错误帧是否捕获保存过滤规则条件高级捕获条件编辑图在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。

在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。

在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。

在保存过滤规则条件按钮“Profiles”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。

C：捕获报文的察看：Sniffer软件提供了强大的分析能力和解码功能。

如下图所示，对于捕获的报文提供了一个Expert专家分析系统进行分析，还有解码选项及图形和表格的统计信息。

专家分析系统专家分析系统捕获报文的图形分析捕获报文的其他统计信息专家分析专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。

在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。

任务三计算机网络实验IP数据报捕获与分析一、实验目的本实验的目的是通过使用网络抓包工具捕获IP数据报，了解IP协议的工作过程，分析数据报的结构和内容。

二、实验设备和工具1.计算机2.网络抓包工具：Wireshark三、实验原理IP（Internet Protocol）是网络层的核心协议，在互联网中承担着数据包的传输任务。

IP协议负责将数据包从源主机传输到目标主机，保证数据在不同主机之间的正确传输。

IP数据报是IP协议传输的基本单位，由IP头和数据部分组成。

IP头部包含以下重要字段：1.版本（4位）：表示IP协议的版本号，IPv4为4，IPv6为62.首部长度（4位）：表示IP头部的长度，以32位的字节为单位。

3.区分服务（8位）：用于标识优先级和服务质量等信息。

4.总长度（16位）：指明整个IP数据报的长度。

5.标识（16位）：用于标识同一个数据报的分片。

6.标志位（3位）：标记是否进行数据报的分片。

7.片偏移（13位）：表示数据报组装时的偏移量。

8.生存时间（8位）：表示数据报在网络中的存活时间。

9.协议（8位）：指明IP数据报中携带的数据部分所使用的协议，如TCP、UDP等。

10.头部校验和（16位）：用于对IP头部的校验。

11.源IP地址（32位）：指明数据报的发送者的IP地址。

12.目的IP地址（32位）：指明数据报的目标IP地址。

四、实验步骤1.安装Wireshark软件。

2.打开Wireshark软件，选择需要进行抓包的网络接口。

3.点击“开始”按钮，开始抓包。

4.进行相关网络操作，产生数据包。

5.停止抓包。

6.选中其中一个数据包，进行分析。

五、数据包分析Wireshark软件可以对捕获到的数据包进行详细的分析，提供了丰富的信息和统计数据。

以下是对数据包的一些常规分析内容：1.源IP地址和目的IP地址：根据协议规定，每个IP数据报必须携带源IP地址和目的IP地址，通过分析这两个字段可以确定数据包的发送方和接收方。

一、实验目的1. 理解捕获法的基本原理及其在通信过程中的应用。

2. 掌握使用Wireshark等工具进行数据包捕获的方法。

3. 学习分析捕获到的数据包，了解网络协议的工作机制。

4. 培养实际操作能力和问题解决能力。

二、实验环境1. 实验设备：电脑一台、网络连接线一根。

2. 实验软件：Wireshark网络分析工具。

3. 实验网络：以太网。

三、实验内容1. 实验一：捕获并分析HTTP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。

（2）在过滤栏中输入“http”，只捕获HTTP协议的数据包。

（3）观察并分析捕获到的HTTP数据包，包括请求和响应内容、请求方法、URL、状态码等信息。

（4）分析实验过程中可能遇到的问题，如数据包捕获失败、数据包内容不完整等，并提出解决方案。

2. 实验二：捕获并分析DNS数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。

（2）在过滤栏中输入“dns”，只捕获DNS协议的数据包。

（3）观察并分析捕获到的DNS数据包，包括查询类型、域名、响应代码等信息。

（4）分析实验过程中可能遇到的问题，如DNS解析失败、DNS数据包丢失等，并提出解决方案。

3. 实验三：捕获并分析TCP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。

（2）在过滤栏中输入“tcp”，只捕获TCP协议的数据包。

（3）观察并分析捕获到的TCP数据包，包括源端口、目的端口、序列号、确认号、窗口大小、标志位等信息。

（4）分析实验过程中可能遇到的问题，如TCP连接失败、数据包丢失等，并提出解决方案。

4. 实验四：捕获并分析ICMP数据包（1）启动Wireshark，选择合适的网络接口进行数据包捕获。

（2）在过滤栏中输入“icmp”，只捕获ICMP协议的数据包。

（3）观察并分析捕获到的ICMP数据包，包括类型、代码、校验和等信息。

（4）分析实验过程中可能遇到的问题，如ICMP请求未响应、数据包丢失等，并提出解决方案。

一、实验模块计算机网络二、实验标题捕获再捕获实验三、实验目的1. 掌握网络数据包捕获的基本方法；2. 了解不同网络协议的工作原理；3. 学习使用Wireshark等网络抓包工具进行数据包捕获和分析。

四、实验环境1. 实验设备：电脑一台，网络连接正常；2. 实验软件：Wireshark抓包工具；3. 实验环境：以太网。

五、实验内容1. 捕获原始网络数据包；2. 分析捕获到的数据包；3. 再次捕获网络数据包，观察变化。

六、实验步骤1. 打开Wireshark，选择合适的网络接口进行抓包；2. 设置过滤条件，只捕获特定的协议数据包，如TCP、UDP等；3. 启动抓包，进行网络操作（如浏览网页、发送邮件等）；4. 停止抓包，查看捕获到的数据包；5. 分析捕获到的数据包，了解协议工作原理；6. 再次进行网络操作，观察数据包的变化；7. 对比分析两次捕获到的数据包，找出差异。

七、实验过程1. 打开Wireshark，选择以太网接口进行抓包；2. 设置过滤条件，只捕获HTTP协议数据包；3. 启动抓包，打开网页进行浏览；4. 停止抓包，查看捕获到的数据包；5. 分析捕获到的数据包，了解HTTP协议工作原理；6. 再次进行网络操作，如发送邮件；7. 对比分析两次捕获到的数据包，找出差异。

八、实验结果与分析1. 第一次捕获到的数据包为HTTP请求，包含请求方法、URL、版本等信息；2. 第二次捕获到的数据包为HTTP响应，包含响应状态码、内容长度、实体等；3. 对比两次捕获到的数据包，发现第二次捕获的数据包中，请求方法和URL与第一次相同，但响应状态码、内容长度等有所不同。

九、实验总结1. 通过本次实验，掌握了网络数据包捕获的基本方法；2. 学习了不同网络协议的工作原理，如HTTP协议；3. 使用Wireshark等网络抓包工具，对捕获到的数据包进行分析，有助于了解网络通信过程。

十、实验反思1. 在实验过程中，需要注意设置合适的过滤条件，以便快速定位所需捕获的数据包；2. 分析数据包时，要熟悉不同协议的格式和内容，以便准确解读数据包；3. 实验过程中，遇到的问题主要包括数据包捕获失败、分析不准确等，通过查阅资料和请教他人，成功解决了这些问题。

以太帧和ARP包协议分析实验一、目的1、理解以太帧格式2、理解ARP协议格式和ARP 协议的工作原理二、实验类型验证类实验三、实验步骤一：运行wireshark开始捕获数据包，如图所示点击第二行的start开始捕获数据包。

启动界面：抓包界面的启动是按file下的按钮（或capture下的interfaces）之后会出现这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包。

（捕捉本地连接对应的网卡，可用ipconfig/all 查看）二：几分钟后就捕获到许多的数据包了，主界面如图所示：如上图所示，可看到很多捕获的数据。

第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为0.000秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。

选中第一个数据帧，然后从整体上看看Wireshark的窗口，主要被分成三部分。

上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。

三：开始分析数据1.打开“命令提示符”窗口，使用“arp -a”命令查看本地计算机ARP高速缓存。

2.使用“arp -d”命令清除本地计算机ARP高速缓存，再使用“arp -a”命令查看。

此时，本地计算机ARP高速缓存为空。

3.在下图中Filter后面的编辑框中输入：arp（注意是小写），然后回车或者点击“Apply”按钮将计算机与数据设备相连（3928或路由器），参见静态路由配置。

3.此时，网络协议分析软件开始捕获数据，在“命令提示符”窗口中PING同一子网中的任意主机。

（计算机Aping计算机B）因为PING命令的参数为IP地址，因此使用PING命令前，需要使用ARP机制将IP地址转换为MAC地址，这个过程用户是无法感知的。

因为我们在使用PING命令前已经开始网络数据包捕获，因此，此时网络协议分析软件将捕获到ARP解析数据包。

计算机⽹络技术与实验——数据包的捕获与分析计算机⽹络技术与实验——数据包的捕获与分析1. 实验介绍本次实验的⽬的在于学习WinPcap的使⽤⽅法，利⽤它捕获以太⽹中的数据包并进⾏简单的解析，最终使⽤MFC画界⾯，展⽰捕获后解析出来的信息。

2. 使⽤WinPcap + MFC进⾏数据包的捕获与分析2.1 WinPcap简单介绍WinPcap是⼀个开源的数据包捕获体系结构，它的主要功能是进⾏数据包捕获和⽹络分析。

它包括了内核级别的包过滤、低层次的动态链接库(packet.dll)、⾼级别系统⽆关的函数库(wpcap.dll)等。

在编写程序之前我们先按以下步骤配置好WinPcap的开发环境。

下载WinPcap并安装打开VS2015,新建->项⽬->MFC应⽤程序（基于对话框，经典菜单）在项⽬上，右键->属性⼯具->属性->项⽬和解决⽅案-> VC++⽬录->包含⽂件->添加WinPcap开发包中的Include⽬录⼯具->属性->项⽬和解决⽅案-> VC++⽬录->库⽂件->添加WinPcap开发包中的lib⽬录项⽬->项⽬属性->配置属性->预处理定义->添加WPCAP和HAVE_REMOTE项⽬->项⽬属性->配置属性->连接器->命令⾏->附加选项框中加⼊wpcap.lib在程序中要加⼊pcap.h头⽂件#include pcap.h2.2 WinPcap程序设计思路使⽤WinPcap捕获数据包⼀般有三个步骤：获取设备列表打开⽹络适配器在打开的⽹络适配器上捕获⽹络数据包2.2.1 获取设备列表在开发以WinPcap为基础的应⽤程序时，第⼀步要求的就是获取⽹络接⼝设备（⽹卡）列表。

这可以调⽤WinPcap提供的pcap_findalldevs_ex()函数，该函数原型如下：int pcap_findalldevs_ex(char * source; //指定从哪⼉获取⽹络接⼝列表struct pcap_rmauth auth; //⽤于验证，由于是本机，置为NULLpcap_if_t ** alldevs; //当该函数成功返回时，alldevs指向获取的列表数组的第⼀个//列表中每⼀个元素都是⼀个pcap_if_t结构char * errbuf //错误信息缓冲区);在上⾯注释中提到的pcap_if_t结构定义如下：struct pcap_if{struct pcap_if *next; //指向链表中下⼀个元素char *name; //代表WinPcap为该⽹络接⼝卡分配的名字char *description; //代表WinPcap对该⽹络接⼝卡的描述struct pcap_addr* addresses; //addresses指向的链表中包含了这块⽹卡的所有IP地址u_int flags; //标识这块⽹卡是不是回送⽹卡}2.2.2 打开⽹卡在获取设备列表之后，可以选择感兴趣的⽹卡打开并对其上的⽹络流量进⾏监听。

《计算机网络安全》实验报告实验一名称：捕获telnet、ftp数据包学号：班级：姓名：1、实验目的通过实验掌握数据包捕捉和分析工具的实验，以便能在实验中利用Sniffer 工具观察攻击过程及其网络系统的影响。

2、实验环境两台或者多台在同一局域网的计算机本端主机：172.23.35.3对端主机：172.23.35.13、实验要求1）安装sniffer pro使用Sniffer pro 对计算机间发热通信情况进行观察，并捕捉一定数量的IP,TCP 及ICMP数据包，掌握利用工具软件观察网络通信流量及数据包捕捉方法。

2）分析捕捉的数据包对上面捕捉的数据包进行分析，理解TCP/IP协议栈中的主要协议数据的数据结构和封装格式。

3）利用两台主机，一台进行telnet登录，另一台进行数据包的捕捉。

4、实验步骤1）抓某台计算机的所有数据（由于wireshark也可以完成实验，因此在试验中是利用wireshark完成的实验）实验数据包显示如图具体的协议细则在下面展示5、查看结果在捕捉的数据包中，可以看到telnet登录的一个过程，以及数据当中传输的密码，字节的一个长度，建立链接的过程，telnet的密码都是以明文的形式传输的，缺乏安全性。

实验二：ftp登录数据包所有初始化操作同实验一一致结果如图分析报文内容,设置过滤条件实验总结Wireshark的使用对于我们的视角熟悉的，而且操作更加的简单明白，telnet的传输都是以明文的方式进行的，能在报文中查看到登录的用户名以及用户的密码。

容易被泄露信息，ftp 是以报文的形式传送数据，无法在数据中看到用户传递的用户登录信息，相对比较安全。

在分析报文的过程中，很多的协议字段不明白其中的意思，应当加强对报文协议的了解，这样学习起来会更加的理解。

实验6.1 Wifi 网络中的数据包捕获【实验目的】•掌握Wifi 网络中的数据包捕获方法【实验过程】本实验要求有WiFi 接入，例如家里的无线路由器，或者校园里的无线AP 都满足实验要求。

同时你需要一台MAC 系统，或者Linux 系统的无线主机。

拓扑结构如图4-3。

在进行以下实验之前，大家首先需要阅读Wireshark 的安装和使用，掌握Windows 环境下数据包捕获工具安装、使用的基本方法。

(1) Mac 系统环境下的Wireshark 安装和使用 无线网卡有多种工作模式。

例如我们的主机和Wifi 连接的时候，它的无线网卡工作于被管理模式（Managed Mode ）；当主机开启热点，给朋友提供Wifi 服务的时候，它工作于主模式（Master Mode ）。

还有两种类型的模式AdHoc 模式和监听模式（Monitor Mode ）或RFMON (Radio Frequency MONitor)模式。

如果大家是使用Windows 笔记本电脑的无线网卡进行抓包，会发现这里面好像没有802.11数据流！这是因为Wireshark 此时处理的都是链路层以上的数据。

而在这个实验中，需要捕获链路层及以下的数据，那就是802.11帧，需要网卡开启监听模式。

监听模式，是指无线网卡可以接收所有经过它的数据流的工作方式。

而在Windows 环境下开启无线网卡的监听模式需要特殊的硬件和驱动程序。

例如配置AirPCap 工具，这是由美国CACE 公司设计一种专门用于无线网络分析的工具。

它是windows 平台上的无线分析、嗅探与破解工具，用来捕获并分析802.11 a/b/g/n 的控制、管理和数据帧。

另外一个方法是在一些支持监听模式的操作系统环境中进行本实验。

在MAC 系统中，可以软件开启支持网卡监听模式，和Wireshark 一起完成802.11的数据包捕获实验。

如果没有MAC 系统，大家可以尝试使用Linux 系统的不同发布版本进行相同的实验。

课程设计报告数据包的获取与分析学院：专业班级：学生姓名：学号：指导教师：成绩：2011 年 12 月1. 设计任务使用抓包软件抓取网络传输中的数据包，并对所抓取的数据包进行分析，在这里我使用的抓包软件是“锐捷”，使用“锐捷”抓包软件对邮件发送过程中所产生的数据包进行抓取，并从所抓取的数据包中筛选出邮件发送所产生的包，对其进行数据分析，包括数据包所属协议、作用以及首部字段和数据内容（具有相同功能的数据包只分析一次）。

并且需要截图做详细说明。

2. 操作步骤首先打开“锐捷”抓包软件，匿名登录上该软件。

从IE浏览器中打开163邮箱的登陆界面。

从一登陆上的界面点击开始按钮，开始捕捉网络中的数据包。

登陆163邮箱，编辑所要发送的邮件，编辑完成后，点击发送。

发送完成后，关闭邮箱。

查看并分析抓包软件所抓取的数据包。

3. 数据包分析3.1图3.1.1为我的主机的网络配置。

图3.1.1 计算机IP配置3.2 捕获到的数据包分析3.2.1 IP数据报的格式IP数据报的格式，在网络中要对I数据经行封装，在网络中要发送一个数据要对其进行封装。

3.2.1 IP数据包格式还需要地址解析协议ARP，如果主机A要向主机B发送IP数据报是如果高速缓存中没有主机B的IP地址，ARP进程在本局域网上广播发送一个ARP请求分组，主机B在ARP请求分组中看的自己的IP地址，就想主机A发送ARP响应分组，主机A收到主机B的响应分组后，就在ARP高速缓存中写入主机B的IP地址到ＭＡＣ地址的映射。

图3.2.2为邮件发送过程中所发送的ARP请求。

3.2.2 ARP会话树3.2.3 ARP协议结构树由图3.2.3可见，该ARP 硬件类型 0001 协议类型 0800 硬件长度 6 协议长度 4 操作码 1 源物理地址8c-89-a5-fb-15 源IP地址10.10.20.102 目标物理地址还未知3.2.2在网络层封装层IP数据包在网络层封装层IP数据包，数据链路层把网络层交下来的IP数据报添加首部和尾部封装成帧，并把封装好的帧发送给目的主机的数据链路层，对方的数据链路层收到的帧无差错，则从收到的帧中提取出IP数据报上交给上面的网络层，否则丢弃这个帧。

实验一数据包的捕获与分析一、实验目的数据包捕获技术是网络管理系统的关键技术。

本实验通过Wireshark软件的安装使用，监控局域网的状态，捕获在局域网中传输的数据包，并结合在计算机网络课程中学习到的理论知识，对常用网络协议的数据包做出分析，加深网络课程知识的理解和掌握。

二、实验内容Wireshark是一种开源的网络数据包的捕获和分析软件，本实验通过Wireshark软件的安装使用，监控局域网的状态，捕获在局域网中传输的数据包，并结合在计算机网络课程中学习到的理论知识，对常用网络协议的数据包做出分析，加深网络课程知识的理解和掌握。

具体内容及要求如下：●Wireshark软件的安装；●Wireshark软件的启动，并设置网卡的状态为混杂状态，使得Wireshark可以监控局域网的状态；●启动数据包的捕获，跟踪PC之间的报文，并存入文件以备重新查；●设置过滤器过滤网络报文以检测特定数据流；●对常用协议的数据包的报文格式进行分析，利用协议分析软件的统计工具显示网络报文的各种统计信息。

三、实验结果与分析抓包结果:分析：首先是6字节的目的地址字段，代码为：00 21 5d 39 df 44接下来是6字节的源地址字段，代码为：00 24 d7 26 64 84然后是2字节的类型代码字段，代码为：08 00，即为IP (0x0800)抓包结果：分析：首先是6字节的的目的地址字段，此报文的地址字段代码为：01 80 c2 00 00 00 00。

接下来的6字节的源地址字段，此报文的源地址字段代码为：00 0f 23 80 ef e2,接着是两字节的长度字段，代码为 00 26，即长度为 38。

抓包结果：分析：普通IP头部长度为20个字节，不包含IP选项字段。

(1)首先是版本号字段，此报文为4，即目前协议版本号为4。

接下来是IP数据包头部长度，此报文头部长度为20bytes。

接下来是服务类型字段，该字段包括一个3位的优先权字段，4位的TOS字段和1位未用位，此报文的服务类型字段代码为：0x00。

淮海工学院计算机工程学院实验报告书课程名：《计算机网络》题目：应用层数据报捕获和分析班级：Z计121学号：2014140093姓名：薛慧君1．目的与要求熟悉网络数据包捕获与分析工具SNIFFER的操作和使用方法，掌握数据包捕获和分析的基本过程；掌握协议过滤器的设定方法，能够捕获并分析常见的网络层和运输层数据包。

2．实验内容（1）运行SNIFFER软件并设定过滤器，将捕获数据包的范围缩小为常见的协议；（2）开始捕获数据包，同时制造特定协议的数据；（3）对捕获的数据包进行分析，解析出常见的网络层和运输层数据包的格式，重点要求解析出DNS、FTP、Telnet的数据包。

3．实验步骤①打开Sniffer Pro程序后，选择Capture(捕获)—Start(开始)，或者使用F10键，或者是工具栏上的开始箭头。

②一小段时间过后，再次进入Capture(捕获)菜单，然后选择Stop(停止)或者按下F10键，还可以使用工具栏。

③还可以按F9键来执行“停止并显示”的功能，或者可以进入Capture(捕获)菜单，选择“停止并显示”。

④停止捕获后，在对话框最下角增加了一组窗口卷标，包括高级、解码、矩阵、主机表单、协议分布和统计信息。

⑤选择解码卷标，可以看到Sniffer Pro缓冲器中的所有实际“数据”。

分析该卷标结构及其内容。

具体结构：分割为上中下三个相连接的窗口，分别用于显示不同信息内容；内容：1）最上面得窗口显示的是捕获各帧的数量和主要信息（包括帧编号，帧状态，源地址与目的地址，摘要等信息）；2）中间的窗口显示的是所选取帧的协议信息（DLC，IP，UDP及TCP协议等的协议内容）；3）最下面得窗口显示的是帧中协议各项内容对应的位置和机器码（默认以ASCII码显示）。

4. 测试数据与实验结果实验1捕获DNS协议数据包（1）设定过滤器，将捕获数据包的范围缩小为DNS协议；（2）ping ,接着用浏览器打开新网站，捕获数据包。

计算机网络实验实验名称：实验二数据包捕获与分析辅导员意见：辅导员成绩签名信息与通信学院电子信息工程作者：学号：05实验日期：2010年12月 14 日一、实验目的二、实验设备连接在局域网的并且安装有Ethereal/Wireshark软件的微机计算机三、实验要求实验前认真预习TCP/IP协议内容，尤其应认真理解WINDOWS网络相关原理；在进行实验时应该注意爱护仪器，按照实验指导的要求的内容和步骤完成实验，尤其应注意认真观察实验结果，作好记录；试验完成后应认真写实验报告。

四、实验原理五、实验过程及结果1、捕获一个数据包，并对其中的一个IP数据包进行分析。

捕获了这个数据报：分析其数据如下：由以上的信息可以分析IP数据报的各项内容：数据报的版本号是：4报头标长是：20 bytes服务类型：0x00 (DSCP 0x00: Default; ECN: 0x00)0000 00.. = Differentiated Services Codepoint: Default (0x00) .... ..0. = ECN-Capable Transport (ECT): 0.... ...0 = ECN-CE: 0总长度：48标识：0x8f09 (36617)标志：0x02 (Don't Fragment)0... .... = Reserved bit: Not set.1.. .... = Don't fragment: Set..0. .... = More fragments: Not set片偏移：0生存时间：128协议：TCP (6)源IP地址： ()目的IP地址： ()选项：(8 bytes)Maximum segment size: 1460 bytesNOPNOPTCP SACK Permitted Option: True2、捕获一个数据包，并对其中的一个TCP报文进行分析。

实验6 利用WinPcap技术捕获数据包实验目的：通过掌握WinPcap函数库的结构和功能，实现在windows环境下对网卡进行编程，进行网络数据包的捕获。

实验准备：（1）winpcap简介WinPcap 是由伯克利分组捕获库派生而来的分组捕获库，它是在Windows 操作平台上来实现对底层包的截取过滤。

WinPcap 为用户级的数据包提供了Windows 下的一个平台。

WinPcap 是 BPF 模型和 Libpcap 函数库在Windows 平台下网络数据包捕获和网络状态分析的一种体系结构，这个体系结构是由一个核心的包过滤驱动程序，一个底层的动态连接库 Packet.dll 和一个高层的独立于系统的函数库 Libpcap 组成。

底层的包捕获驱动程序实际为一个协议网络驱动程序，通过对 NDIS 中函数的调用为 Win95、Win98、WinNT、和 Win2000 提供一类似于 UNIX 系统下 Berkeley Packet Filter 的捕获和发送原始数据包的能力。

Packet.dll 是对这个 BPF 驱动程序进行访问的 API 接口，同时它有一套符合 Libpcap 接口（UNIX 下的捕获函数库）的函数库。

WinPcap的结构图如图1。

WinPcap 包括三个部分：第一个模块NPF(Netgroup Packet Filter)，是一个虚拟设备驱动程序文件。

它的功能是过滤数据包，并把这些数据包原封不动地传给用户态模块，这个过程中包括了一些操作系统特有的代码。

第二个模块packet.dll为win32平台提供了一个公共的接口。

不同版本的Windows系统都有自己的内核模块和用户层模块。

Packet.dll用于解决这些不同。

调用Packet.dll的程序可以运行在不同版本的Windows平台上，而无需重新编译。

第三个模块 Wpcap.dll是不依赖于操作系统的。

它提供了更加高层、抽象的函数。

实验四捕获并分析TCP数据包和TCP三次握手和四次挥手过程一、实验目的通过网络嗅探器软件对网络数据进行监听和分析，加深对计算机网络中各层协议数据单元PDU的形象理解。

二、实验内容1、利用网络嗅探器软件(例如Iris、Sniffer、Ethereal、 wireshark等)，获取TCP数据包，记录并分析各字段的含义。

2、打开一个网站，截取TCP数据包（至少三个），分析TCP三次握手建立连接和四次挥手释放连接的过程。

三、实验步骤1、安装数据包捕获软件wireshark。

2、启动捕获软件。

（1）开始捕获数据报：（2）打开一个网站，例：（3）对捕获的TCP数据包进行分析，并保存（4）对捕获的TCP三次握手建立连接的几个数据包进行分析，分别说明各数据包代表的意义和所属的三次握手的第几次。

四、实验分析1、设置显示过滤，只显示源地址是本机的http数据包，说明如何进行设置？答：若要设置只显示源地址是本机的http数据包，需使用以下ip.src==本机IP && http 2、点开软件捕获界面中包详细信息栏的TCP数据包：若想查看TCP数据包的内容，需点击前面的加号，则显示TCP报文段各字段的结构如下图所示：对照课本P202页：TCP报文段的结构图，如下图示：分析并记录说明，所捕获的数据包的在运输层TCP报文段中各字段的具体信息：①源端口号：49896。

每一个应用进程在运输层都对应一个端口号。

端口是运输层与应用层的服务接口。

运输层的复用和分用功能都要通过端口才能实现。

②目的端口号：80。

说明发送方请求的是一个web服务（http）.③序号：0。

为了对发送的报文段进行可靠传输，对每个发送的报文段的第一个字节都进行编号，称为序号。

例如：一个报文段的序号值为301，携带的数据长度100字节；则下一个报文段的序号为401.④确认号：0。

为了告诉发送方，到目前为止，接收方按顺序接收的报文段达到多少，将下一个期望接收的报文段的第一个字节的编号作为确认号发给发送方。

计算机网络与应用实验实验三捕获TCP数据包自94班杨磊 2009011451实验目的通过实验熟悉Wireshark抓包软件的使用方法，理解TCP传输过程，以及慢启动、拥塞避免等相关技术。

实验环境1.操作系统：Windows7 网络环境为紫荆2#527A2.所用软件：wireshark-win32-1.6.3（最新版）实验内容1.在windows环境进行Wireshark抓包。

2.在windows环境Wireshark窗口中查看各种协议下的数据包。

3.在windows环境上传文件到服务器，同时观察TCP传输过程。

实验记录与问题解答回答以下有关TCP 报文段的问题：1．你的客户端电脑传送文件到166.111.180.98的IP地址和端口是什么？从166.111.180.98接收文件的IP地址和端口是什么？答：建立连接的前两条报文如下：15 1.656371 59.66.135.82 166.111.180.98 TCP 66 aura > http-alt [SYN] Seq=0 Win=8192 Len=0 MSS=1460 WS=4 SACK_PERM=1{Transmission Control Protocol, Src Port: aura (2066), Dst Port: http-alt (8080), Seq:0, Len: 0)}可见，客户端电脑传送文件到166.111.180.98 的IP 地址是59.66.135.82，端口是2066，166.111.180.98 接收文件的IP 地址是166.111.180.98，端口是8080。

2．用来初始化客户端电脑和166.111.180.98的TCP连接的TCP SYN报文段的序号是什么？在报文段中，那个地方表明这是一个SYN报文段？答：报文如下（同上一报文）15 1.656371 59.66.135.82 166.111.180.98 TCP 66 aura > http-alt [SYN] Seq=0 Win=8192 Len=0 MSS=1460 WS=4 SACK_PERM=1{Sequence number: 0 (relative sequence number)Flags: 0x02 (SYN)}可见初始化这个报文段的序号是0,Flags字段中SYN位为1，表明了这是一个SYN报文段。