wireshark_introduction

- 1 - 1. 实验目的 目的：掌握Wireshark的使用方法，理解网络协议。 要求完成： ·完成简单的数据报文的抓取和观察； ·观察两个网络实体间的一系列的信息交换，深入研究协议操作的细节； ·让协议执行一定的指令，观察这些指令和执行指令的结果。

2. 实验环境 ·操作系统：Windows,Linux/Unix, Mac。 ·实验环境：有线以太网，或串行（PPP和SLIP），或802.11无线局域网，或其他链路层技术。 ·实验工具：Wireshark软件。

3. 实验内容与结果 一、下载并安装Wireshark软件 1、访问页面(http://www.wireshark.org/download.html)，并下载和安装Wireshark。 如果在安装或运行Wireshark时遇到问题，可以参考Wireshark的FAQ页面，那里有许多十分有价值的提示和讨论。 2、运行Wireshark需要有一台同时支持Wireshark和libpcap或WinPCap数据捕获库的计算机。如果你所使用的操作系统尚未安装libpcap，当你安装Wireshark时，安装程序将自动安装libpcap。对于Wireshark所支持的操作系统，可以参考网页（http://www.wireshark.org/download.html）。

二、运行Wireshark 运行Wireshark程序的初始界面如下图所示： 华中科技大学 电子与信息工程系实验指导书

- 2 - Figure 1：初始Wireshark界面 从上图的左边栏，你会看到“Interface List”链接，该页面列出了你的计算机所使用的网络接口。选择一个接口，Wireshark就将捕获所有进出该接口的数据报文。在上图示例中，有一个以太网接口（千兆网络连接）和一个无线接口（“微软”）。

点击其中一个接口，就可以开始捕获网络流量 (即Wireshark开始捕获所有从选中接口发送/收到的数据报文)。Wireshark将弹出下面一个对话框，显示被捕获的数据报文的信息。你可以下拉Capture菜单并选择Stop停止抓包过程。 华中科技大学 电子与信息工程系实验指导书

- 3 - 图2：Wireshark 图形化用户界面 如图2所示，Wireshark界面主要有5个组成部分：

1、 命令菜单（command menu） 命令菜单是位于窗口顶部的标准下拉菜单。其中我们最关注的是的是File和Capture菜单。File菜单用来保存所捕获的数据报文或打开一个之前捕获的数据报文文件,或退出Wireshark应用程序。Capture菜单控制抓包过程开始。 2、 报文列表 (packet-listing) 窗口 显示每个捕获的报文的一行摘要,包括 ·报文序列号(该序列号由Wireshark给定，而不是包含在任何协议的头部字段中)； ·被捕获的时间； ·源和目的地址； ·协议类型； ·对应于特定协议的报文信息。 通过点击某列名称，可以将根据该列对报文进行排序。这个协议类型字段列出了发送或接收这个报文所使用的最高层协议,即这些报文在发送端或最终接收端所使用的协议。 3、 报头细节(packet-header details)窗口 华中科技大学 电子与信息工程系实验指导书 - 4 - 提供被选择报文的细节信息。(将光标放在报文摘要上,点击鼠标左键，即可在报文列表窗口中选择一个报文。) 这些报文细节包括： ·以太网数据帧的信息(假设一个数据包通过一个以太网接口发送/接收)。 ·IP报文。 以太网和IP层的报文细节的数量可以扩展或最小化显示。如果数据包由TCP或UDP传输,那么TCP或UDP细节也将被显示,它同样可以被扩展或最小化。 ·提供最高层协议的细节。 4、 数据包内容窗口 使用ASCII和十六进制格式，显示捕获的数据帧所有内容。 5、 数据包显示过滤器输入栏 Wireshark的顶部图形化用户界面，提供一个显示过滤器输入栏，可输入协议名称或其他信息对显示的数据包信息进行过滤。(数据包报头和数据包内容窗口同样适用)。下面的示例使用数据包显示过滤器，灵活控制Wireshark隐藏其他数据包，但显示HTTP消息。

三、开始使用Wireshark实验 建议做这次的实验时，确保你的计算机连接到有线以太网，而不是无线网。

1、打开你最喜欢的浏览器，展示你选择的主页。 2、打开Wireshark软件，将看到如图2类似的初始界面，此时Wireshark尚未开始抓包。 3、开始抓包。选择Capture下拉菜单中的Interfaces选项。如图3所示，此时将会显示“Wireshark: Capture Interfaces”窗口。

图3：Wireshark 报文捕获控制窗口 4、你将会看到本机所有网络接口列表，和通过这些接口上已经观察到的数据包。 选择一个网络接口，点击Start按钮(本例选择了the Gigabit network Connection接口)。现在抓包开始，Wireshark将抓取本机接收/发送的所有数据包。 华中科技大学 电子与信息工程系实验指导书 - 5 - 5、抓包过程一旦开始，便会出现如图2所示的窗口。这个窗口用来展示报文抓取的进程。选择Capture下拉菜单中的Stop按钮，即可停止抓包过程。现阶段先不要停止抓包，我们需要先抓取一些有趣的数据包。为此需要生成一些网络流量，具体方法是使用一个网页浏览器，运行HTTP协议，从某网站下载网页内容。

6、Wireshark已经运行之后，在浏览器中键入地址http://gaia.cs.umass.edu/wireshark-labs/INTRO-wireshark-file1.html，打开此网页。如在【1】中2.2节所述，浏览器将首先联系HTTP服务器gaia.cs.umass.edu，并且交换HTTP消息下载这个页面。Wireshark将抓取承载这些HTTP消息的以太网数据帧，以及进出此以太网适配器所有其他数据帧。

7、当浏览器显示INTRO-wireshark-file1.html页面时(该页面内容是简单的一行“祝贺”字样)，通过点击Wireshark的数据抓取窗口的Stop按钮，可停止Wireshark的抓包过程。Wireshark主窗口如图2所示。这些实时抓取的报文数据，承载了本机和其他网路实体间数据交换的所有协议消息。本机和gaia.cs.umass.edu服务器之间交换HTTP消息，也应该出现在捕获到的报文列表中。注意，报文列表也显示了许多其他报文（例如，在图2的协议栏中，可以看到有许多不同的协议类型）。虽然你只是下载了一个页面，但是显然本机在后台运行了许多其它网络协议。随着学习进度，我们将继续学习更多协议，而现在只需要了解，实际运行的网络协议比你所看到的多得多。

8、请在Wireshark主窗口顶部的显示过滤器窗口，输入“http”（没有引号，小写——在Wireshark中所有协议名称应小写），然后左键点击Apply按钮（具体位置是在所键入“http”的右边)。此时，报文列表窗口将只显示HTTP消息。

9、找到从本机发送到gaia.cs.umass.edu HTTP服务器的HTTP GET消息。在Wireshark窗口的“listing of captured packets”部分，可找到HTTP GET 消息，具体方法如下，如图2所示，GET消息中，之前输入的gaia.cs.umass.edu地址之后紧跟着GET字样。选中HTTP GET消息，以太数据帧、IP报文、TCP报文段，和HTTP报头信息即显示在报文报头（packet-header）窗口中。通过点击“+”或“-”右指和下指箭头，可以分别最小化显示以太网数据帧，IP协议和传输控制协议信息，或者最大化显示HTTP协议的信息。现在Wireshark窗口大致应如图4所示。(特别注意，最小化操作将只显示HTTP，而隐藏其他协议信息；最大化操作将所有HTTP协议信息显示在报文报头（packet-header）窗口中。） 华中科技大学 电子与信息工程系实验指导书 - 6 - 图4: 第9步之后的Wireshark窗口 10、退出Wireshark。完成实验。

4. 问答题 1、 列出在第7步之前，显示在报文列表窗口中而未被过滤的的3种协议。 2、从本机发出HTTP GET消息，到接收HTTP OK消息需要多长时间？(在报文列表（packet-listing）窗口中的时间栏所显示时间，记录了从Wireshark抓包开始的时间长度，缺省单位为秒。点击Wireshark的View下拉菜单，然后选择时间显示格式,再选择“时刻-天”，即可显示时间显示格式为“时刻-天”。)

3、gaia.cs.umass.edu(也称为www-net.cs.umass.edu)的IP地址是什么? 你的计算机的IP地址是什么?

4. 打印问题2中所提到的两个HTTP消息(GET和OK)。具体方法如下，从Wireshark的File菜单中选择Print，并选择“Selected Packet Only”和“Print as displayed“的多选框按钮,然后单击OK。

5. 实验中的问题

说明在实验中碰到哪些问题？是否已经解决？获得了哪些经验或者教训？