如何用winpcap抓包分析网络协议

创建一个使用wpcap.dll的应用程序

用 Microsoft Visual C++ 创建一个使用wpcap.dll的应用程序，需要按一下步骤：

?在每一个使用了库的源程序中，将pcap.h头文件包含(include)进来。

?如果你在程序中使用了WinPcap中提供给Win32平台的特有的函数，记得在预处理中加入WPCAP的定义。（工程->设置->c/c++->预处理程序定义中添加WPCAP）?如果你的程序使用了WinPcap的远程捕获功能，那么在预处理定义中加入HAVE_REMOTE。不要直接把remote-ext.h直接加入到你的源文件中去。（工程->设置->c/c++->预处理程序定义中添加HAVE_REMOTE）

?设置VC++的链接器(Linker)，把wpcap.lib库文件包含进来。wpcap.lib可以在WinPcap 中找到。

?设置VC++的链接器(Linker)，把ws2_32.lib库文件包含进来。这个文件分布于C的编译器，并且包含了Windows的一些socket函数。本教程中的一些范例程序，会需要它。

记住以下几点：

?要添加一个预处理定义，你需要打开Project菜单，选择Settings，然后选择C/C++选项卡，在General类下，你必须在Preprocessor Definitions下的文本框中添加定义。

?要在一个VC++6.0工程中，添加一，个新的库，你必须打开Project菜单，选择Settings，然后选择Link选项卡，然后把新库的名字添加到Object/Library modules下的文本框中

?要向VC++6.0中添加一个新的库所在的路径，你必须打开Tool菜单，选择Options，然后选择Directories选项卡，在Show directories下拉框中选择Library files，并且将

新的路径添加到Directories中去

?要向VC++6.0中添加一个新的包含文件所在的路径，你必须打开Tool菜单，选择Options，然后选择Directories选项卡，在Show directories下拉框中选择Include files，并且将新的路径添加到Directories中去

范例程序

我们一共了一些范例程序来显示WinPcap API的用法。这些程序的源代码，以及编译运行这些代码所需的所有文件，都可以在Developer's Pack找到。作为教程，在这里，我们提供了浏览器式的代码：这样，在每个函数和变量之间的跳转会比较方便。更多完整的范例程序，请参阅WinPcap 教程.

// NOTE: remember to include WPCAP and HAVE_REMOTE among your preprocessor definitions.

（工程->设置->c/c++->预处理程序定义中添加WPCAP和

HAVE_REMOTE）

如果连接有问题，把lib复制到工程目录下用下面方法：

#pragma comment(lib,"wpcap.lib")

#pragma comment(lib,"packet.lib")

使用WinPcap抓包分析网络协议

//捕获网络数据包的C++程序

//可以获得数据包长度、通过以太网类型确定上层协议、源以太网地址和目的以太网地址！

#include "pcap.h"

#include

#pragma comment(lib,"wpcap.lib")

#pragma comment(lib,"packet.lib")

#pragma comment(lib,"ws2_32.lib")

/*以下是以太网协议格式*/

struct ether_header

{

u_int8_t ether_dhost[6]; //目的Mac地址

u_int8_t ether_shost[6]; //源Mac地址

u_int16_t ether_type; //协议类型

};

struct ip_header

{

#if defined(WORDS_BIENDIAN)

u_int8_t ip_version:4,

ip_header_length:4;

#else

u_int8_t ip_header_length:4,

ip_version:4;

#endif

u_int8_t ip_tos;

u_int16_t ip_length;

u_int16_t ip_id;

u_int16_t ip_off;

u_int8_t ip_ttl;

u_int8_t ip_protocol;

u_int16_t ip_checksum;

struct in_addrip_souce_address;

struct in_addrip_destination_address;

};

void ip_protool_packet_callback(u_char

*argument,conststruct pcap_pkthdr*

packet_header,const u_char*packet_content)

{

struct ip_header *ip_protocol;

u_intheader_length;

u_int offset;

u_chartos;

u_int16_t checksum;

//MAC首部是14位的，加上14位得到IP协议首部

ip_protocol = (struct ip_header *) (packet_content+14);

checksum =ntohs(ip_protocol->ip_checksum);

tos= ip_protocol->ip_tos;

offset = ntohs(ip_protocol->ip_off);

printf("---------IP协议---------\n");

printf("版本号:%d\n", ip_protocol->ip_version);

printf("首部长度:%d\n",header_length);

printf("服务质量:%d\n",tos);

printf("总长度:%d\n",ntohs(ip_protocol->ip_length));

printf("标识:%d\n",ntohs(ip_protocol->ip_id));

printf("偏移:%d\n",(offset &0x1fff) * 8);

printf("生存时间:%d\n",ip_protocol->ip_ttl);

printf("协议类型:%d\n",ip_protocol->ip_protocol);

switch (ip_protocol->ip_protocol)

{

case1: printf("上层协议是ICMP协议\n");break;

case2: printf("上层协议是IGMP协议\n");break;

case6: printf("上层协议是TCP协议\n");break;

case17: printf("上层协议是UDP协议\n");break;

default:break;

}

printf("检验和:%d\n",checksum);

printf("源IP地址:%s\n", inet_ntoa(ip_protocol->ip_souce_address)); printf("目的地址:%s\n",

inet_ntoa(ip_protocol->ip_destination_address));

}

void ethernet_protocol_packet_callback(u_char

*argument,conststruct pcap_pkthdr*

packet_header,const u_char*packet_content)

{

u_shortethernet_type;

struct ether_header *ethernet_protocol;

u_char*mac_string;

staticint packet_number = 1;

printf("----------------------------------------------\n");

printf("捕获第%d个网络数据包\n",packet_number);

printf("捕获时间:\n");

printf("%s",ctime((const time_t*)&packet_header->https://www.docsj.com/doc/aa8900080.html,_sec));

printf("数据包长度:\n");

printf("%d\n",packet_header->len);

printf("---------以太网协议---------\n");

ethernet_protocol=(struct ether_header*)packet_content;//获得数据包内容

printf("以太网类型:\n");

ethernet_type=ntohs(ethernet_protocol->ether_type);//获得以太网类型printf("%04x\n",ethernet_type);

switch (ethernet_type)

{

case0x0800: printf("上层协议是IP协议\n");break;

case0x0806: printf("上层协议是ARP协议\n");break;

case0x8035: printf("上层协议是RARP协议\n");break;

default:break;

}

printf("MAC帧源地址:\n");

mac_string=ethernet_protocol->ether_shost;

printf("%02x:%02x:%02x:%02x:%02x:%02x\n",*mac_string,*(mac_string+1), *(mac_string+2),*(mac_string+3),*(mac_string+4),*(mac_string+5)); printf("MAC帧目的地址:\n");

mac_string=ethernet_protocol->ether_dhost;

printf("%02x:%02x:%02x:%02x:%02x:%02x\n",*mac_string,*(mac_string+1), *(mac_string+2),*(mac_string+3),*(mac_string+4),*(mac_string+5)); if(ethernet_type==0x0800)//继续分析IP协议

{

ip_protool_packet_callback (argument,packet_header,packet_content); }

printf("----------------------------------------------\n");

packet_number++;

}

int main()

{

pcap_t* pcap_handle; //winpcap句柄

char error_content[PCAP_ERRBUF_SIZE]; //存储错误信息

bpf_u_int32 net_mask; //掩码地址

bpf_u_int32 net_ip; //网络地址

char *net_interface; //网络接口

struct bpf_programbpf_filter; //BPF过滤规则

char bpf_filter_string[]="ip"; //过滤规则字符串，只分析IPv4的数据包net_interface=pcap_lookupdev(error_content); //获得网络接口

pcap_lookupnet(net_interface,&net_ip,&net_mask,error_content); //获得网络地址和掩码地址

pcap_handle=pcap_open_live(net_interface,BUFSIZ,1,0,error_content); //打开网络接口

pcap_compile(pcap_handle,&bpf_filter,bpf_filter_string,0,net_ip); //编译过滤规则

pcap_setfilter(pcap_handle,&bpf_filter);//设置过滤规则

if (pcap_datalink(pcap_handle)!=DLT_EN10MB) //DLT_EN10MB表示以太网return0;

pcap_loop(pcap_handle,10,ethernet_protocol_packet_callback,NULL); //捕获10个数据包进行分析

pcap_close(pcap_handle);

return0;

}

网络协议分析题库

第一章练习 1 OSI和ISO分别代表什么含义？它们是什么关系？ 2 OSI/RM模型没有被最终采用的原因是什么？ 3下面哪些协议属于应用层协议？（ B ） A. TCP和UDP B. DNS和FTP C. IP D. ARP 4 Internet最早是在( C ) 网络的基础上发展起来的? A. ANSNET B. NSFNET C. ARPANET D. MILNET 5 当网络A上的主机向网络B上的主机发送报文时, 路由器要检查( B ) 地址 A.端口 B. IP C.物理 D.上述都不是 6.下面哪一个是应用层提供的服务? ( D ) A.远程登录服务 B.文件传送 C.邮件服务 D.上述都是 7要将报文交付到主机上的正确的应用程序, 必须使用( A )地址 A.端口 B. IP C.物理 D.上述都不是 8. 网络应用访问操作系统的常用接口是,实现IP地址到物理地址映射的协议是。 9. 在TCP/IP协议族中，能够屏蔽底层物理网络的差异，向上提供一致性服务的协议是；实现异构网络互联的核心设备是。 10. 在TCP/IP网络中，UDP协议工作在层，DNS协议工作在层。 11判断对错：TCP/IP是一个被广泛采用的网际互联协议标准，仅包含TCP和IP两个协议。（） 第二章练习 1 PPP协议是什么英文的缩写？用于什么场合? 2 ISP验证拨号上网用户身份时,可以使用哪些认证协议？ 3.PPP协议的通信过程包括哪几个阶段？ 4.LCP的用途是什么? 5.PPP是Internet中使用的（1），其功能对应于OSI参考模型的（2），它 使用（3）技术来解决标志字段值出现在信息字段的问题。 （1）A. 报文控制协议 B. 分组控制协议 C. 点到点协议 D. 高级数据链路控制协议 （2）A. 数据链路层 B. 网络层 C. 传输层 D. 应用层

网络协议分析——抓包分析

计算机网络技术及应用实验报告开课实验室：南徐学院网络实验室

第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。 第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。 第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。 3、具体分析各个数据包 TCP分析：

源端口 目的端口序号 确认号 首部长度窗口大小值

运输层: 源端口：占2个字节。00 50（0000 0000 1001 0000） 目的端口：占2个字节。C0 d6(1100 0000 1101) 序号：占四个字节。b0 fe 5f 31(1011 0000 0101 1110 0011 0001) 确认号：占四个字节。cd 3e 71 46(1100 1101 0011 1110 0110 0001 0100 0110) 首部长度：共20个字节：50（0101 0001） 窗口大小值：00 10（0000 0000 0001 00000） 网络层： 不同的服务字段：20 （0010 0000）

总的长度：00 28（0000 0000 0010 10000） 识别：81 28（1000 0001 0010 10000） 片段抵消：40 00（0100 0000 0000 0000） 生存时间：34 （0011 0100） 协议： 06(0000 0110)

网络数据包的捕获与协议分析知识分享

网络数据包的捕获与 协议分析

实验报告 （ 2016 / 2017 学年第一学期） 题目：网络数据包的捕获与协议分析 专业计算机科学与技术 学生姓名张涛 班级学号 14210133 指导教师江中略 指导单位计算机系统与网络教学中心 日期 2016.10.31

实验一：网络数据包的捕获与协议分析 一、实验目的 1、掌握网络协议分析工具Wireshark的使用方法，并用它来分析一些协议； 2、截获数据包并对它们观察和分析，了解协议的运行机制。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线、局域网 四、实验步骤 1.用Wireshark观察ARP协议以及ping命令的工作过程： （1）打开windows命令行，键入“ipconfig -all”命令获得本机的MAC地址和缺省路由器的IP地址；结果如下： （2）用“arp -d”命令清空本机的缓存；结果如下 （3）开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包。

（4）执行命令：ping https://www.docsj.com/doc/aa8900080.html,,观察执行后的结果并记录。 此时，Wireshark所观察到的现象是:(截图表示)

2.设计一个用Wireshark捕获HTTP实现的完整过程，并对捕获的结果进行分 析和统计。（截图加分析）

3.设计一个用Wireshark捕获ICMP实现的完整过程，并对捕获的结果进行分 析和统计。 要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析该ICMP报文。（截图加分析） 0000 6c 71 d9 3f 70 0b 78 eb 14 11 da b2 08 00 45 00 lq.?p.x. ......E. 0010 00 44 e4 9d 00 00 31 01 f7 11 6a 03 81 f3 c0 a8 .D....1. ..j..... 0020 01 6b 03 0a ab 1a 00 00 00 00 45 00 00 28 68 29 .k...... ..E..(h) 0030 40 00 73 06 f1 9c c0 a8 01 6b 6a 03 81 f3 e9 df @.s..... .kj..... 0040 01 bb e1 58 0a 8d 93 e6 e0 94 50 11 01 01 b4 cc ...X.... ..P..... 0050 00 00 ..

网络协议分析习题解答参考思路

《网络协议分析与实现》习题解答参考思路 第1章习题解答参考思路 习题1： 该题考查对异构网络互联概念、异构网络涉及的问题以及解决方法的理解程度。其中涉及的问题包括地址问题、包格式转换问题、路由问题等，其中1.1.3节还列举了很多其他的问题。 习题2： 该题可参考教材中所讲述的用户A和用户B的数据转换和传输过程进行解答。 习题3： 该题主要考查网上查找资料的能力。在https://www.docsj.com/doc/aa8900080.html,/上可以查到所有的RFC信息。 习题4： TCP/IP模型和OSI参考模型之间的层次对应关系及各层协议参见教材中的图1-5。 习题5： 该题主要考查动手能力，可以使用Wireshark（曾称为Ethereal）、Sniffer Portable 等软件进行抓包，然后针对一些具体报文进行分析。注意分析通信中的多路复用和多路分解过程，说出通信双方的物理地址、IP地址和端口地址。 习题6： 该题主要考查阅读代码的能力，这部分代码是对数据结构课程中队列操作的一个实现。该队列是一个基于优先级排序的队列，主要的数据结构是qinfo： struct qinfo { Bool q_valid; int q_type; /* mutex type */ int q_max; int q_count; int q_seen; int q_mutex; int *q_key;

char **q_elt; }; 具体操作如下： int enq(int q, void *elt, int key)； /*入队列操作，根据key的大小插到队列中的合适位置*/ void * deq(int q)；/*出队列操作*/ void * headq(int q)；/*获取队列头部元素*/ void * seeq(int q)；/*按顺序取队列元素*/ int newq(unsigned size, unsigned mtype)； /*分配一个新的队列，并返回队列的索引位置*/ int freeq(int q)；/*释放队列*/ int lenq(int q)；/*获取队列长度*/ static int initq()；/*初始化队列*/

网络协议分析——抓包分析

计算机网络技术及应用实验报告

第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。 第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。 第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。 第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。 3、具体分析各个数据包 TCP分析：

源端口 目的端口序号 确认号 首部长度窗口大小值

运输层: 源端口：占2个字节。00 50（0000 0000 1001 0000） 目的端口：占2个字节。C0 d6(1100 0000 1101) 序号：占四个字节。b0 fe 5f 31(1011 0000 0101 1110 0011 0001) 确认号：占四个字节。cd 3e 71 46(1100 1101 0011 1110 0110 0001 0100 0110)首部长度：共20个字节：50（0101 0001） 窗口大小值：00 10（0000 0000 0001 00000） 网络层： 不同的服务字段：20 （0010 0000）

总的长度：00 28（0000 0000 0010 10000） 识别：81 28（1000 0001 0010 10000） 片段抵消：40 00（0100 0000 0000 0000） 生存时间：34 （0011 0100） 协议： 06(0000 0110)

69 5b(0110 1001 0101 1011) 首部来源：dd b4 15 f1(1101 1101 1011 0100 0001 0101 1110 0001) 目的地：70 04 f8 82 （0110 0000 0000 0100 1111 1000 1000 0010） 点对点协议：00 21 （0000 0000 0010 0001）

wireshark抓包分析了解相关协议工作原理

安徽农业大学 计算机网络原理课程设计 报告题目wireshark抓包分析了解相关协议工作原理 姓名学号 院系信息与计算机学院专业计算机科学与技术 中国·合肥 二零一一年12月

Wireshark抓包分析了解相关协议工作原理 学生：康谦班级：09计算机2班学号：09168168 指导教师：饶元 （安徽农业大学信息与计算机学院合肥） 摘要：本文首先ping同一网段和ping不同网段间的IP地址，通过分析用wireshark抓到的包，了解ARP地址应用于解析同一局域网内IP地址到硬件地址的映射。然后考虑访问https://www.docsj.com/doc/aa8900080.html,抓到的包与访问https://www.docsj.com/doc/aa8900080.html,抓到的包之间的区别，分析了访问二者网络之间的不同。 关键字：ping 同一网段不同网段 wireshark 协议域名服务器 正文： 一、ping隔壁计算机与ping https://www.docsj.com/doc/aa8900080.html,抓到的包有何不同，为什么？（1）、ping隔壁计算机 ARP包：

ping包： （2）ing https://www.docsj.com/doc/aa8900080.html, ARP包：

Ping包： （3）考虑如何过滤两种ping过程所交互的arp包、ping包；分析抓到的包有

何不同。 答：ARP地址是解决同一局域网上的主机或路由器的IP地址和硬件地址的映射问题，如果要找的主机和源主机不在同一个局域网上，就会解析出网 关的硬件地址。 二、访问https://www.docsj.com/doc/aa8900080.html,，抓取收发到的数据包，分析整个访问过程。（1）、访问https://www.docsj.com/doc/aa8900080.html, ARP（网络层）： ARP用于解析IP地址与硬件地址的映射，本例中请求的是默认网关的硬件地址。源主机进程在本局域网上广播发送一个ARP请求分组，询问IP地址为192.168.0.10的硬件地址，IP地址为192.168.0.100所在的主机见到自己的IP 地址，于是发送写有自己硬件地址的ARP响应分组。并将源主机的IP地址与硬件地址的映射写入自己ARP高速缓存中。 DNS（应用层）： DNS用于将域名解析为IP地址，首先源主机发送请求报文询问https://www.docsj.com/doc/aa8900080.html, 的IP地址，DNS服务器210.45.176.18给出https://www.docsj.com/doc/aa8900080.html,的IP地址为210.45.176.3

计算机网络使用网络协议分析器捕捉和分析协议数据包样本

计算机网络使用网络协议分析器捕捉和分析协议数据包样 本 计算机网络使用网络协议分析器捕捉和分析协议数据包广州大学学生实验报告开课学院及实验室:计算机科学与工程实验室11月月28日学院计算机科学与教育软件学院年级//专业//班姓名学号实验课程名称计算机网络实验成绩实验项目名称使用网络协议分析器捕捉和分析协议数据包指导老师熊伟 一、实验目的 (1)熟悉ethereal的使用 (2)验证各种协议数据包格式 (3)学会捕捉并分析各种数据包。 本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 二、实验环境1．MacBook Pro2．Mac OS3..Wireshark 三、实验内容，验证数据帧、IP数据报、TCP数据段的报文格式。 ，，分析结果各参数的意义。 器，分析跟踪的路由器IP是哪个接口的。 对协议包进行分析说明，依据不同阶段的协议出分析，画出FTP 工作过程的示意图a..地址解析ARP协议执行过程b.FTP控制连接建立过程c.FTP用户登录身份验证过程本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。

文档如有不当之处，请联系本人或网站删除。 d.FTP数据连接建立过程 e.FTP数据传输过程 f.FTP连接释放过程（包括数据连接和控制连接），回答以下问题:a..当访问某个主页时，从应用层到网络层，用到了哪些协议?b.对于用户请求的百度主页（），客户端将接收到几个应答报文??具体是哪几个??假设从是本地主机到该页面的往返时间是RTT，那么从请求该主页开始到浏览器上出现完整页面，一共经过多长时间??c.两个存放在同一个服务器中的截然不同的b Web页（例如，，和d.假定一个超链接从一个万维网文档链接到另一个万维网文档，由于万维网文档上出现了差错而使超链接指向一个无效的计算机名，这时浏览器将向用户报告什么?e.当点击一个万维网文档时，若该文档除了次有文本外，，那么需要建立几次TCP连接和个有几个UDP过程?本文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。 文档如有不当之处，请联系本人或网站删除。 析，分析ARP攻击机制。 （选做），事实上，TCP开始发送数据时，使用了慢启动。 利察用网络监视器观察TCP的传输和确认。 在每一确认到达之后，慢启动过程中发生了什么?（选做），，TCP 必须准备重发初始段（用于打开一个连接的一个段）。 TCP应等多久才重发这一段?TCP应重发多少次才能宣布它不能打开一个连接?为找到结果尝试向一个不存在的地址打开一个连接，并使用网络监视器观察TCP的通信量。

网络协议分析与仿真

****** 网络协议分析与仿真 课程设计报告书 院系名称：计算机学院实验内容：网络流量分析学生姓名：*** 专业名称：网络工程班级：**** 学号：********* 时间：20**年**月**日

网络协议分析与仿真课程设计报告 网络流量分析 一、课程设计目的 加深对IP、DSN 、TCP、UDP、HTTP等协议的理解； 掌握流量分析工具的使用，学习基本的流量分析方法。 二、课程设计内容 流量分析 工具：Wireshark（Windows或Linux），tcpdump（Linux） 要求：使用过滤器捕获特定分组；用脚本分析大量流量数据（建议用perl）。 内容：Web流量分析 清除本机DNS缓存，访问某一网站主页，捕获访问过程中的所有分组，分析并回答下列问题（以下除1、3、8、11外，要求配合截图回答）： （1）简述访问web页面的过程。 （2）找出DNS解析请求、应答相关分组，传输层使用了何种协议，端口号是多少？ 所请求域名的IP地址是什么？ （3）统计访问该页面共有多少请求IP分组，多少响应IP分组？（提示：用脚本编程实现） （4）找到TCP连接建立的三次握手过程，并结合数据，绘出TCP连接建立的完整过程，注明每个TCP报文段的序号、确认号、以及SYN\ACK的设置。 （5）针对（4）中的TCP连接，该TCP连接的四元组是什么？双方协商的起始序号是什么？TCP连接建立的过程中，第三次握手是否带有数据？是否消耗了一个 序号？ （6）找到TCP连接的释放过程，绘出TCP连接释放的完整过程，注明每个TCP报文段的序号、确认号、以及FIN\ACK的设置。 （7）针对（6）中的TCP连接释放，请问释放请求由服务器还是客户发起？FIN报文段是否携带数据，是否消耗一个序号？FIN报文段的序号是什么？为什么是 这个值？ （8）在该TCP连接的数据传输过程中，找出每一个ACK报文段与相应数据报文段的对应关系，计算这些数据报文段的往返时延RTT（即RTT样本值）。根据课本 200页5.6.2节内容，给每一个数据报文段估算超时时间RTO。（提示：用脚本 编程实现） （9）分别找出一个HTTP请求和响应分组，分析其报文格式。参照课本243页图6-12，在截图中标明各个字段。

网络抓包实验

《网络信息与安全》 实验名称： 网络流量分析和监测程序的实现。 指导老师： 张兰萍 设计学生：许欣学号：07202123 班级：07行知网络 日期：2010.11.30 实验要求： 学会利用编程工具进行网络数据包的捕获并析出报文信息。结出所实现程序的功能结构图： 给出程序设计的思想： 网络层上有各种各样的数据包，它们以不同的帧格式在网络层上进行传输，但是在传输时它们都遵循相同的格式，即有相同的长度，如果一种协议的帧格式达不到这种长度，就让其补齐，以达到我们的要求。我的这个网络抓包程序是图形化操作界面，在菜单栏点击抓包按钮后选择网卡和过滤字还有最长字长，点击开始，然后就可以开始抓包了，在主界面中就会显示出一行又一行的数据，这些数据就是抓获到的数据包。 捕获Java程序中的网络包，是需要一些辅助工具，因为核心Java API不能访问底层的网络数据。Jpcap是一种提供在Windows或UNIX系统上进行这种访问的Java API。在程序设计之初就下载

了该包。Jpcap使用一个事件模型来处理包，首先创建一个执行接口jpcap.JpcapHandler的类。 为了捕获包，需要告诉Jpcap你想用哪个网络设备来监听。API 提供了jpcap.Jpcap.getDeviceList()方法以满足这一目的。这个方法返回一列字符串。 选择一个设备之后，通过Jpcap.openDevice()方法打开它。openDevice()方法需要四个参数：即将打开的设备名，从设备上一次读取的最大字节数，说明是否将设备设为混杂模式的Boolean值，和以后调用processPacket()方法要使用到的超时值。如果调用processPacket()，那么Jpcap将一直捕获包，直到超过openDevice中规定的时限或达到了规定的最大包数。loopPacket()则将一直捕获包，直到达到最大包数，如果没有最大数限制，它将永远运行下去。 关键程序说明： 抓包程序package netcap; import java.io.File; import java.util.Vector; import javax.swing.JFileChooser; import javax.swing.JOptionPane; import jpcap.JpcapCaptor; import jpcap.PacketReceiver; import jpcap.JpcapWriter;

网络数据包协议分析

网络数据包协议分析 一、实验目的 1.学习网络协议分析工具Ethereal的使用方法； 2.截获数据并对它们观察，分析其中2中协议（arp&tcp）数据包包头各数据位的含义， 了解协议的运行机制。 二、实验步骤 1.安装并打开Ethereal软件； 2.利用”运行cmd”打开命令提示符，输入“ping”确认网络连接是否完成； 3.点击capture->options选择网卡（默认有线）； 4.点击capture开始抓包； 5.打开浏览器，访问一个网站，这样才可以抓到tcp的数据包； 6.点击stop停止抓包。 三、实验结果分析 1.Arp---address resolution protocol，地址解析协议的缩写，就是主机在发送帧前将目 标IP地址（32位）转换成目标MAC地址（48位）的过程。它属于链路层的协议。

ARP协议数据包包头数据位分析： 1.第一栏显示帧信息。 Frame 280 （60 bytes on wire，60 bytes capture）是指该数据包含有60个字节，ethereal软件截获了60个字节。点击打开，里面包括了到达时间、相对前一个包的时间延迟、传输时间、帧号280、包长度（60字节）和捕获到的长度（60字节）。 2.第二栏显示以太网信息。 源MAC地址是f4：6d：04：3a：62：33，目的MAC地址是ff：ff：ff：ff：ff：ff。 3.第三栏显示因特网协议信息。 它包括了硬件类型：以太网；协议类型是IP协议和发送方的IP地址与MAC地址，也包括了目的IP地址和ＭＡＣ地址。 2.tcp—transition control protocol，传输控制协议的缩写。是一种面向连接（连接导向） 的、可靠的、基于字节流的传输层通信协议。

抓包实验

：利用Wireshark软件进行数据包抓取 1.3.2 抓取一次完整的网络通信过程的数据包实验 一，实验目的： 通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。 二，实验环境： 操作系统为Windows 7,抓包工具为Wireshark. 三，实验原理： ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。 四，验步骤： 1.确定目标地址：选择https://www.docsj.com/doc/aa8900080.html,作为目标地址。 2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1

图 1-1 3.启动抓包：点击【start】开始抓包，在命令提示符下键入ping https://www.docsj.com/doc/aa8900080.html,, 如图 1-2

图 1-2 停止抓包后，截取的数据如图 1-3 图 1-3 4，分析数据包：选取一个数据包进行分析，如图1- 4

图1-4 每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。DLC协议的目的和源地址是MAC地址，IP协议的目的和源地址是IP地址，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下： （1）诊断报文（类型：8，代码0；类型：0代码：0）； (2）目的不可达报文（类型：3，代码0-15）； （3）重定向报文（类型：5，代码：0--4）； （4）超时报文（类型：11，代码：0--1）； （5）信息报文（类型：12--18）。

IPV6抓包协议分析

IPV6协议抓包分析 一、实践名称： 在校园网配置使用IPv6，抓包分析IPv6协议 二、实践内容和目的 内容：网络抓包分析IPv6协议。 目的：对IPv6协议的更深层次的认识，熟悉IPv6数据报文的格式。 三、实践器材： PC机一台，网络抓包软件Wireshark 。 四、实验数据及分析结果： 1．IPv6数据报格式： 2. 网络抓包截获的数据：

3. 所截获的IPv6 的主要数据报为:? Internet Protocol Version 6?0110 .... = Version: 6?. (0000) 0000 .... .... .... .... .... = Traffic class: 0x00000000?.... .... .... 0000 0000 0000 0000 0000 = Flowlabel: 0x00000000 Payload length: 93 Next header: UDP (0x11)?Hop limit: 1?Source: fe80::c070:df5a:407a:902e (fe80::c070:df5a:407a:902e) Destination: ff02::1:2 (ff02::1:2) 4. 分析报文： 根据蓝色将报文分成三个部分：

第一部分： 33 33 00 01 00 02，目的组播地址转化的mac地址， 以33 33 00表示组播等效mac；00 26 c7 e7 80 28， 源地址的mac地址；86 dd，代表报文类型为IPv6 (0x86dd)； 第二部分： 60，代表包过滤器"ip.version == 6"； 00 00 00，Traffic class（通信类别）: 0x00000000； 00 5d，Payload length（载荷长度，即报文的最后一部分，或者说是报文携带的信息）: 32； 11，Next header（下一个封装头）: ICMPv6 (17)； 01，Hop limit（最多可经历的节点跳数）: 1； fe 80 00 00 00 00 00 00 c0 70 df 5a 40 7a 90 2e，源ipv6地址； ff 02 00 00 00 00 00 00 00 00 00 00 00 01 00 02，目的ipv6地址； 第三部分（报文携带的信息）： 02，表示类型为Neighbor Solicitation (2)； 22，表示Code: 38； 02 23是Checksum（校验和）: 0x6faa [correct]； 00 5d 36 3a，Reserved（保留位）: 00000000； fe 80 00 00 00 00 00 00 76 d4 35 ff fe 03 56 b0，是组播地址中要通信的那个目的地址； 01 01 00 23 5a d5 7e e3，表示

实验1：网络数据包的捕获与协议分析

实验报告 （ 2014 / 2015 学年第二学期） 题目：网络数据包的捕获与协议分析 专业 学生姓名 班级学号 指导教师胡素君 指导单位计算机系统与网络教学中心 日期2015.5.10

实验一：网络数据包的捕获与协议分析 一、实验目的 1、掌握网络协议分析工具Wireshark的使用方法，并用它来分析一些协议； 2、截获数据包并对它们观察和分析，了解协议的运行机制。 二、实验原理和内容 1、tcp/ip协议族中网络层传输层应用层相关重要协议原理 2、网络协议分析工具Wireshark的工作原理和基本使用规则 三、实验环境以及设备 Pc机、双绞线、局域网 四、实验步骤 1.用Wireshark观察ARP协议以及ping命令的工作过程： （1）打开windows命令行，键入“ipconfig -all”命令获得本机的MAC地址和缺省路由器的IP地址；结果如下： （2）用“arp -d”命令清空本机的缓存；结果如下 （3）开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包。（4）执行命令：ping https://www.docsj.com/doc/aa8900080.html,,观察执行后的结果并记录。

此时，Wireshark所观察到的现象是:(截图表示) 2.设计一个用Wireshark捕获HTTP实现的完整过程，并对捕获的结果进行分析和统计。（截 图加分析） 3.设计一个用Wireshark捕获ICMP实现的完整过程，并对捕获的结果进行分析和统计。要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析该ICMP 报文。（截图加分析） 4. 设计一个用Wireshark捕获IP数据包的过程，并对捕获的结果进行分析和统计（截图加分析） 要求：给出捕获某一数据包后的屏幕截图。以16进制形式显示其包的内容，并分析在该数据包中的内容：版本首部长度、服务类型、总长度、标识、片偏移、寿命、协议、源Ip地址、目的地址 五、实验总结

网络协议分析最终版

中南林业科技大学 实验报告 课程名称：网络协议与分析 姓名：项学静学号：20104422 专业班级：2010级计算机科学与技术 系（院）：计算机与信息工程学院 实验时间：2013年下学期 实验地点：电子信息楼602机房

实验一点到点协议PPP 一、实验目的 1．理解PPP协议的工作原理及作用。 2．练习PPP，CHAP的配置。 3．验证PPP,CHAP的工作原理。 二、实验环境 1．安装windows操作系统的PC计算机。 2．Boson NetSim模拟仿真软件。 三、实验步骤 1、绘制实验拓扑图 利用Boson Network Designer绘制实验网络拓扑图如图1-1。 本实验选择两台4500型号的路由器。同时，采用Serial串行方式连接两台路由器，并选择点到点类型。其中DCE端可以任意选择，对于DCE端路由器的接口(Serial 0/0)需要配置时钟信号（这里用R1的Serial 0/0作为DCE端）。 2、配置路由器基本参数

绘制完实验拓扑图后，可将其保存并装入Boson NetSim中开始试验配置。配置时点击Boson NetSim程序工具栏按钮eRouters,选择R1 并按下面的过程进行路由器1的基本参数配置： Router>enable Router#conf t Router(config)#host R1 R1(config)#enable secret c1 R1(config)#line vty 0 4 R1(config-line)#password c2 R1(config-line)#interface serial 0/0 R1(config-if)#ip address 192.168.0.1 255.255.255.0 R1(config-if)#clock rate 64000 R1(config-if)#no shutdown R1(config-if)#end R1#copy running-config startup-config 点击工具栏按钮eRouters，选择R2并按下面过程进行路由器的基本参数配置：Router>enable Router#conf t Router(config)#host R2

网络数据包的协议分析程序的设计开发—毕业设计论文

毕业设计(论文)网络数据包的协议分析程序的设计开发 论文作者姓名： 申请学位专业： 申请学位类别： 指导教师姓名（职称）： 论文提交日期：

网络数据包的协议分析程序的设计开发 摘要 本文设计与实现了一个基于Linux下Libpcap库函数的网络数据包协议分析程序。程序的主要功能包括网络数据包捕获和常用网络协议分析。程序由输入/输出模块、规则匹配模块、数据捕获模块、协议分析模块组成。其中数据捕获模块和协议分析模块是本程序最关键、最主要的模块。 本文的主要内容如下：首先介绍了网络数据包协议分析程序的背景和概念。其次进行了程序的总体设计：确定了程序的功能，给出了程序的结构图和层次图，描述了程序的工作流程，对实现程序的关键技术做出了分析。接着，介绍完数据包捕获的相关背景和Libpcap函数库后，阐述了如何利用Libpcap函数库实现网络数据包捕获模块。然后对协议分析流程进行了详细的讲解，分析了常用网络协议。最后进行了程序的测试与运行：测试了程序能否按照预期的效果正确执行，印证了预期结果。 关键词：Libpcap；Linux；数据包捕获；应用层；协议识别

The Design and Development of Network Packet Protocol Analyzing Program Abstract The thesis is an attempt to introduce an implementation of network protocol analyzing program which is based on Libpcap, a famous network packet capture library on Linux. It has a rich feature set which includes capturing network packets and analyzing popular network protocols on Internet. The program is made up of an input/output module, a rules matching module, a packet capturing module and a protocol analyzing module. And the last two modules are key modules. The research work was described as followed. firstly, we introduce the background and concepts about network protocol analyzing programs; and we make an integrated design on the program, define functions of it, figure out its structure and hierarchical graphs, describe the workflow of it, and analyze the key techniques used in it; Secondly, after elaborating on the background of packet capture and the Libpcap library, we state a approach to implement a packet capture module with Libpcap; Thirdly, we explain the workflow about protocol analysis, and analyze common network protocols; Finally, we test our program to see whether it works as expected, fortunately, it does. Key words: Libpcap; Linux; Network packet capturing; Application layer; Protocol identification

计算机网络抓包实验报告

实验报告二

学号1040407105 实验项目 名称 利用Wireshark 进行抓包分析 上面的截图是抓取到的包，下面分别针对其中的一个TCP，UDP和ICMP进行分析 1.TCP TCP：Transmission Control Protocol 传输控制协议TCP是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793 说明（specified）。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能。 在因特网协议族（Internet protocol suite）中，TCP层是位于IP层之上，应用层之下的中间层。不同主机的应用层之间经常需要可靠的、像管道一样的连接，但是IP层不提供这样的流机制，而是提供不可靠的包交换。 应用层向TCP层发送用于网间传输的、用8位字节表示的数据流，然后TCP把数据流分割成适当长度的报文段（通常受该计算机连接的网络的数据链路层的最大传送单元(MTU)的限制）。之后TCP把结果包传给IP层，由它来通过网络将包传送给接收端实体的TCP层。TCP为了保证不发生丢包，就给每个字节一个序号，同时序号也保证了传送到接收端实体的包的按序接收。然后接收端实体对已成功收到的字节发回一个相应的确认(ACK)；如果发送端实体在合理的往返时延(RTT)内未收到确认，那么对应的数据（假设丢失了）将会被重传。TCP用一个校验和函数来检验数据是否有错误；在发送和接收时都要计算校验和。

学号1040407105 实验项目 名称 利用Wireshark 进行抓包分析 首先，TCP建立连接之后，通信双方都同时可以进行数据的传输，其次，他是全双工的；在保证可靠性上，采用超时重传和捎带确认机制。 在流量控制上，采用滑动窗口协议，协议中规定，对于窗口内未经确认的分组需要重传。 在拥塞控制上，采用慢启动算法。 对于上面的抓包，选取其中的一个TCP进行分析 Source:119.147.91.131 Destination:180.118.215.175 Length:56 Info:http>500001[FIN,ACK] Seq=41,Ack=2877,win=66528 Len=0 1.1抓到的数据链路层中的帧 Frame 211:56bytes 即所抓到的帧的序号为211，大小是56字节 1.2 IP层中的IP数据报 Header Length:20bytes 即首部长度为20个字节；

网络协议分析实验报告

课程设计 课程设计题目网络协议分析实验报告学生姓名： 学号： 专业： 2014年 6 月 29日

实验1 基于ICMP的MTU测量方法 实验目的 1）掌握ICMP协议 2）掌握PING程序基本原理 3）掌握socket编程技术 4）掌握MTU测量算法 实验任务 编写一个基于ICMP协议测量网络MTU的程序，程序需要完成的功能： 1）使用目标IP地址或域名作为参数，测量本机到目标主机经过网络的MTU； 2）输出到目标主机经过网络的MTU。 实验环境 1）Linux系统； 2）gcc编译工具，gdb调试工具。 实验步骤 1.首先仔细研读ping.c例程，熟悉linux下socket原始套接字编程模式，为实验做好准备； 2.生成最大数据量的IP数据报（64K），数据部分为ICMP格式，ICMP报文为回送请求报 文，IP首部DF位置为1；由发送线程发送； 3.如果收到报文为目标不可达报文，减少数据长度，再次发送，直到收到回送应答报文。 至此，MTU测量完毕。

ICMP协议是一种面向无连接的协议，用于传输出错报告控制信息。它是一个非常重要的协议，它对于网络安全具有极其重要的意义。[1] 它是TCP/IP协议族的一个子协议，属于网络层协议，主要用于在主机与路由器之间传递控制信息，包括报告错误、交换受限控制和状态信息等。当遇到IP数据无法访问目标、IP路由器无法按当前的传输速率转发数据包等情况时，会自动发送ICMP消息。ICMP报文在IP帧结构的首部协议类型字段（Protocol 8bit)的值=1.

ICMP原理 ICMP提供一致易懂的出错报告信息。发送的出错报文返回到发送原数据的设备，因为只有发送设备才是出错报文的逻辑接受者。发送设备随后可根据ICMP报文确定发生错误的类型，并确定如何才能更好地重发失败的数据包。但是ICMP唯一的功能是报告问题而不是纠正错误，纠正错误的任务由发送方完成。 我们在网络中经常会使用到ICMP协议，比如我们经常使用的用于检查网络通不通的Ping命令（Linux和Windows中均有），这个“Ping”的过程实际上就是ICMP协议工作的过程。还有其他的网络命令如跟踪路由的Tracert命令也是基于ICMP协议的。 ICMP(Internet Control Message,网际控制报文协议)是为网关和目标主机而提供的一种差错控制机制，使它们在遇到差错时能把错误报告给报文源发方.是IP层的一个协议。但是由于差错报告在发送给报文源发方时可能也要经过若干子网，因此牵涉到路由选择等问题，所以ICMP报文需通过IP协议来发送。ICMP数据报的数据发送前需要两级封装：首先添加ICMP 报头形成ICMP报文，再添加IP报头形成IP数据报 通信术语最大传输单元（Maximum Transmission Unit，MTU）是指一种通信协议的某一层上面所能通过的最大数据包大小（以字节为单位）。最大传输单元这个参数通常与通信接口有关（网络接口卡、串口等）。 实验2 基于UDP的traceroute程序 实验目的 1）掌握UDP协议 2）掌握UDP客户机/服务器编程模式 3）掌握socket编程技术 4）掌握traceroute算法

(完整word版)网络协议抓包分析

中国矿业大学《网络协议》 姓名：李程 班级：网络工程2009-2 学号：08093672

实验一：抓数据链路层的帧 一、实验目的 分析MAC层帧结构 二、准备工作 本实验需要2组试验主机，在第一组上安装锐捷协议分析教学系统，使用其中的协议数据发生器对数据帧进行编辑发送，在第二组上安装锐捷协议分析教学系统，使用其中的网络协议分析仪对数据帧进行捕获分析。 三、实验内容及步骤 步骤一：运行ipconfig命令

步骤二：编辑LLC信息帧并发送 步骤三：编辑LLC监控帧和无编号帧，并发送和捕获：步骤四：保存捕获的数据帧 步骤五：捕获数据帧并分析 使用iptool进行数据报的捕获： 报文如下图： 根据所抓的数据帧进行分析： （1）MAC header 目的物理地址：00:D0:F8:BC:E7:06 源物理地址：00:16:EC:B2:BC:68 Type是0x800：意思是封装了ip数据报 （2）ip数据报

由以上信息可以得出： ①版本：占4位，所以此ip是ipv4 ②首部长度：占4 位，可表示的最大十进制数值是15。此ip数据报没有选项，故它的最大十进制为5。 ③服务：占8 位，用来获得更好的服务。这里是0x00 ④总长度：总长度指首都及数据之和的长度，单位为字节。因为总长度字段为16位，所以数据报的最大长度为216-1=65 535字节。 此数据报的总长度为40字节，数据上表示为0x0028。 ⑤标识(Identification)：占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号， 因为IP是无连接的服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU 而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。 在这个数据报中标识为18358，对应报文16位为47b6 ⑥标志(Flag)：占3 位，但目前只有2位有意义。标志字段中的最低位记为MF (More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。标志字段中间的一位记为DF(Don't Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。这个报文的标志是010，故表示为不分片！对应报文16位为0x40。 ⑦片偏移：因为不分片，故此数据报为0。对应报文16位为0x00。 ⑧生存时间：占8位，生存时间字段常用的英文缩写是TTL (Time To Live)，其表明数据报在网络中的寿命。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1 秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。经分析，这个数据报的的TTL为64跳！对应报文16位为0x40。 ⑨协议：占8 位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。这个ip数据报显示使用得是TCP协议对