Wireshark分析网页响应的认识.doc

Wireshark分析网页相应过程 实验四班 况建炜 2801309008 基础知识介绍： 一次完整的网页相应包括一个DNS请求报文，一个DNS回答报文，一个HTTP请求报文和一个HTTP响应报文。 DNS报文格式： 标识符会被复制到对查询的回答报文中，以便让客户机用它来匹配发送的请求和接收到的回答。 标志字段格式为： QR(1比特）：查询/响应的标志位，1为响应，0为查询。opcode（4比特）：定义查询或响应的类型（若为0则表示是标准的，若为1则是反向的，若为2则是服务器状态请求）。AA（1比特）：授权回答的标志位。该位在响应报文中有效，1表示名字服务器是权限服务器TC（1比特）：截断标志位。1表示响应已超过512字节并已被截断RD（1比特）：该位为1表示客户端希望得到递归回答RA（1比特）：只能在响应报文中置为1，表示可以得到递归响应zero（3比特）：保留字段。 rcode（4比特）：返回码，表示响应的差错状态 请求行由请求方法字段、URL字段和HTTP协议版本字段3个字段组成，它们用空格分隔。例如，GET /index.html HTTP/1.1。 请求方法有GET、POST、HEAD、PUT、DELETE、OPTIONS、TRACE、CONNECT。 选择网卡： 打开IE浏览器并点击Start按钮，开始抓包。在浏览器地址栏输入，等到网页完全加载后停止抓包，获得以下结果： 首先分析DNS报文，DNS有两条报文，一条query报文，一条response报文： 请求报文的内容为： 其中，标识符为0xbd58，这个标识符将和DNS回答报文中的标识符对应。 标志字段为0x0100。 0... .... .... .... = Response: Message is a query 表示报文是请求报文 .000 0... .... .... = Opcode: Standard query (0) 表示为标准 .... ..0. .... .... = Truncated: Message is not truncated 表示未截断 .... ...1 .... .... = Recursion desired: Do query recursively 表示希望递归查询 .... .... .0.. .... = Z: reserved (0) 保留位为0 .... .... ...0 .... = Non-authenticated data: Unacceptable Questions: 1 问题数为1 Answer RRs: 0 回答为0 Authority RRs: 0 权威域名服务器回答为0 Additional RRs: 0 这里的查询名为，查询类型为A，表示是IPv4地址。查询类为0x0001表示Internet数据。 回答报文内容： 上面提到的标识符这里同样也为0xbd58，表示是对刚才那条查询报文的回答。 标志位为0x8180，QR为1，表示是回答报文。opcode是0000，表示是标准的。AA位为0，表示不是权威服务器。TC位为0，表示未截断。RD位为1，且RA为1，表示递归可用。 问题字段跟上面的查询报文是相同的，这里不再赘述，我们来看回答字段： 回答字段第一行我们看到请求的是一个类型为CNAME的记录：，结果得到规范主机名。第二行和第三行请求类型为A（规范主机名）的记录，得到结果为IP地址1和0 内容为： 这条请求报文用的是GET方法，协议是HTTP/1.1版本。 Accept指示可被接受的请求回应的介质类型范围列表。这里包括application/x-shockwave-flash, image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, application/x-ms-application, application/x-ms-xbap, application/vnd.ms-xpsdocument, application/xaml+xml。 Accept-Language限制请求回应中首选的语言为简体中文。 Accept-Encoding限制了回应中可接受的内容编码值