实验12 Wirehark 工具的使用与TCP数据包分析.docVIP

Wireshark 工具的使用与TCP数据包分析(SEC-W07-007.1) Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是捕捉网络数据包，并尽可能显示出最为详细的数据包内容。在过去，网络数据包分析软件或者非常昂贵，或者专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证的保障下，使用者可以免费取得软件及其源代码，并拥有对源代码修改的权利。Wireshark是目前全世界最广泛的网络封包分析软件之一。 传输控制协议（Transmission Control Protocol），简称TCP协议，是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，基于TCP的常见应用如TELNET，SSH，HTTP，FTP等。 实验目的 学习Wireshark工具的使用。 学习TCP协议及其TCP头部结构。 利用Wireshark分析TCP数据包内容。 实验准备 获取Windows 远程桌面客户端工具mstsc压缩包并解压。 获取服务器Windows操作系统Administrator管理员口令。 获取服务器IP地址。 实验步骤 学习Wireshark工具使用 步骤说明： 使用Wireshark工具，熟悉常见功能配置。 win2003）： 设置IP地址为7 选择控制面板下的添加/删除程序---添加/删除windows组件对话框中的应用程序服务器---Internet 信息服务---文件传输协议(FTP)服务。 右击我的电脑，选择管理，选择本地用户和组---用户---administrator,设置其密码为123456 右击我的电脑，选择属性---远程选项卡，勾选远程桌面下的允许用户远程连接到这台计算机。（开启了3389端口，通过netstat –an 可以查看） 在该服务器上安装Wireshark软件。 Win xp(设置其ip地址为8) 1.运行远程桌面客户端程序mstsc.exe，输入服务器端IP地址，点击Connect连接，如图1： 图1 2.以Administrator（管理员）身份登陆服务器桌面。 注： 服务器Administrator用户的登陆密码为123456。 3.在远程桌面中，单击桌面Wireshark程序快捷图标，弹出Wireshark程序如图2： 图2 4.在Wireshark程序点击查看本机网卡状态配置按钮：Interface List，弹出如图3对话框，图例中可以看出本机的网卡信息。 图3 5.在Wireshark主程序界面中，点击配置详细条件按钮：Capture Options，弹出如图4对话框，配置捕捉的详细条件。 图4 注： 这里我们选择了本地local的网卡，实验环境不同可能会使用不同的网卡。 6.在图4的配置界面中，可以通过在Capture Filter输入框中输入捕捉数据包的条件，样例中的host 的意思为：程序只捕捉IP地址为的数据包。 7.下面举例了几种常见过滤条件：????tcp????只捕捉tcp数据包????port 80????捕捉tcp或udp协议且端口为80的数据包????not tcp port 3389????不捕捉tcp端口为3389的数据包????src and dst ????捕捉源地址为且目的地址为的数据包8.这里我们选择过滤条件为not tcp port 3389，点击对话框下方的start按钮开始捕捉网络数据包，捕捉现象如图5所示： 图5 学习TCP协议及头部结构 步骤说明： 了解TCP/IP协议，学习TCP数据包头部结构。 1.TCP/IP是一个协议集，它包含了IP、TCP、UDP一系列协议，TCP协议意为Transmission Control Protocol传输控制协议，它是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，如图6所示： 图6 2.TCP协议头最少20个字节，包括若干个区域头部，结构如图7所示： 图7 3.由于TCP是基于IP协议的，在利用Wireshark工具分析中，通常可以看到的TCP头和IP头结构组成，如图8所示： 图8 使用Wireshark分析TCP数据包 步骤说明： 配置Wireshark捕捉TCP数据包，分析数据包内容。 1.在winxp电脑上，开始--运行m