标准书号62 63 308 06313 第8章 网络抓包实训.ppt

计算机网络技术实训教程 作者：徐伟 第8章　网络抓包实训 主要内容 8．1　以太网（Ethernet）与帧格式 8．2　网络层协议与IP数据包格式 8．3　传输层协议及报文格式 8．4　网络抓包软件 8．5　网络嗅探器的使用方法 8．6　网络抓包实训 8．1　以太网（Ethernet）与帧格式 8．1．1　快速以太网 8．2　网络层协议与IP数据包格式 8．2．2　IPv4 数据包格式 8．3　传输层协议及报文格式 8．4　网络抓包软件 8．4．1　网络嗅探器的工作原理 8．5　网络嗅探器的使用方法 8．5．2　选择网络适配器 8．6　网络抓包实训 该数据包是IP地址为0的Internet Web外部站点发送给内部网络中的一台主机3的撤销TCP连接请求的数据包。我们可以通过访问0得知，该网站为上海交通大学网络教育学院的网站。 【思考题】 以上分析结果是怎么得出的，请解释分析过程。 8．3．4　UDP 报文段格式 UDP报文段结构比TCP要简单，UDP首部只有4个字段，每个字段由16 位组成。通过端口号可以使目的主机将应用程序数据交给运行在目的端系统中的相应进程。 源端口： 用于目标端将一个应答送回给源端。 目的端口： 用于将应用数据递交给目的端口相关联的那个进程。 UDP 长度： ＵＤＰ 首部和数据部分的总长度。 UDP 检验和： 用于接收主机检查报文段中是否存在差错。 例如： 以下是一个截获的数据帧，灰色部分为UDP报文段首部，共8字节。 由IP头部的协议字段，本例中将十六进制的“11”，转化成十进制就是“17”，由此，我们可知该报文段是UDP报文段。 解码分析结果： 该数据包是内部网络中的一台主机（IP:27）发送给IP地址为1、端口号为8000 的Internet服务站点的。通过网络IP查询网站发现IP地址为1、端口号为8000的服务站点是腾讯公司的QQ服务器，由此我们知道局域网中有用户正在使用QQ聊天。 Iris是一款非常优秀的网络通讯分析工具。它可以帮助网络管理员轻易地捕获和查看进出网络的数据包，进行分析和解码，并能够生成多种形式的统计图表；它可以探测本机端口和网络设备的使用情况，有效地管理网络通讯。Iris属于软件网络嗅探器，是网络管理人员和分析人员的必备工具。网络嗅探器通常是软硬件的结合，专用的硬件嗅探器价格非常昂贵。 网络嗅探器与一般的键盘捕获程序的工作原理不同，键盘捕获程序捕获在终端上输入的键值，而网络嗅探器则捕获真实的网络报文。网络嗅探器是通过将网络适配器设置成“杂 收模式来实现捕获网络报文的。 我们知道，数据在网络上是以帧为单位进行传输的，帧是通过数据链路层（二层）协议封装而成的。在一般情况下，网络上所有的机器都可以“听”到通过的所有的帧，但对不属于自己的帧则不予响应，只有当帧头部的目的MAC 地址与本地网络适配器的MAC 地址一致时，才允许捕获该帧并作出处理，否则就简单地忽略这些帧。 每一个在LAN上的工作站的网络适配器都有MAC地址。MAC地址是网络上的网络适配器位置的唯一标识，该地址由网络适配器制造商出厂时已规定好，不允许用户自行修改。 8．4．2　网络嗅探器的用途 （１） 网络嗅探器可以帮助我们进行评估和分析当前业务运行状态。利用网络嗅探器得到的数据资料，我们可以评估当前业务是否运行正常，性能是否良好。例如： 各种应用的响 应时间，各链路的使用率，应用带宽的消耗，网络上哪一些用户消耗最多带宽，各分支机构流量状况，应用性能的瓶颈等等。 （２） 网络嗅探器可以帮助我们进行快速网络故障定位。既能直观地定位一些简单的网络故障，又能快捷地定位一些复杂的网络故障，如网络速度变慢，丢包率高等等。 （３） 网络嗅探器可以帮助我们排除潜在的威胁。网络嗅控器是即时监控的工具，通过分析网络中的行为特征，判断网络是否有异常流量。它可以发现一些网络病毒、木马、黑客 扫描等等事件，并且可以找到攻击的来源。然而，网络嗅探器不是一种防病毒工具，网络管理员可以通过它来分析是否存在网络病毒，它不能检测文件型的病毒。 （４） 网络嗅探器提供了流量的趋势分析，通过长期监控，可以发现网络流量的发展趋势，为我们将来网络改造提供建议和依据。 8．4．3　嗅探器可能造成的危害 我们知道网络嗅探器的工作原理其实很简单，就是把网络适配器设成杂收模式，把流过的所有帧都接收下来加以存储并进行分析处理。网络嗅探器的这种工作机制不可避免地被 网络黑客所利用。利用网络嗅探器的分析处理能力，网络黑客可以构成以下威胁： （１） 能够捕获用户名和口令； （２） 能够捕获专用的或者机密的信息； （３） 用来获取更高级别的访问权限。 8．4．4　网络嗅探器的工作过程 第一阶段是抓包和解码。