网络数据捕获及分析实验报告

1、广西民族大学网络数据捕获及分析实验报告学院：信息科学与工程学院班级 10网络 姓名 郭璇 学号 9 实验日期 2012年10月19日 指导老师 周卫 实验名称 网络数据捕获及分析实验报告 一、实验目的1、通过捕获网络通信数据，使学生能够真实地观察到传输层（TCP）和应用层（HTTP）协议的数据，对计算机网络数据传输有感性的认识。 2、通过对捕获的数据的分析，巩固学生对这些协议制定的规则以及工作的机制理解，从而对计算机网络数据传输有初步的认识，以便为之后通信协议设计以及通信软件设计打下良好的基础。二、协议理论TCP：1、Transmission Control Protocol传输控制协议TCP

2、是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能，UDP是同一层内另一个重要的传输协议。2、TCP所提供服务的主要特点：（1）面向连接的传输；（2）端到端的通信；（3）高可靠性，确保传输数据的正确性，不出现丢失或乱序；（4）全双工方式传输；（5）采用字节流方式，即以字节为单位传输字节序列；（6）紧急数据传送功能。3、TCP连接的建立与终止TCP连接的建立：TCP协议通过三个报文段完成连接的建立，这个过程称为三次握手（three-

3、way handshake），过程如下图所示。 TCP连接的终止：建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。具体过程如下图所示。4、服务流程TCP协议提供的是可靠的、面向连接的传输控制协议，即在传输数据前要先建立逻辑连接，然后再传输数据，最后释放连接3个过程。TCP提供端到端、全双工通信；采用字节流方式，如果字节流太长，将其分段；提供紧急数据传送功能。尽管TCP和UDP都使用相同的网络层（IP），TCP却向应用层提供与UDP完全不同的服务。TCP提供一种面向连接的、可靠的字节流服务。面向连接意味着两个使用TCP的应用（通常是一个

4、客户和一个服务器）在彼此交换数据之前必须先建立一个TCP连接。这一过程与打电话很相似，先拨号振铃，等待对方摘机说“喂”，然后才说明是谁。在一个TCP连接中，仅有两方进行彼此通信。广播和多播不能用于TCP。TCP通过下列方式来提供可靠性：（1）应用数据被分割成TCP认为最适合发送的数据块。这和UDP完全不同，应用程序产生的数据报长度将保持不变。由TCP传递给IP的信息单位称为报文段或段（segment）TCP如何确定报文段的长度。（2）当TCP发出一个段后，它启动一个定时器，等待目的端确认收到这个报文段。如果不能及时收到一个确认，将重发这个报文段。当TCP收到发自TCP连接另一端的数据，它将发送

5、一个确认。这个确认不是立即发送，通常将推迟几分之一秒。（3）TCP将保持它首部和数据的检验和。这是一个端到端的检验和，目的是检测数据在传输过程中的任何变化。如果收到段的检验和有差错，TCP将丢弃这个报文段和不确认收到此报文段（希望发端超时并重发）。（4）既然TCP报文段作为IP数据报来传输，而IP数据报的到达可能会失序，因此TCP报文段的到达也可能会失序。如果必要，TCP将对收到的数据进行重新排序，将收到的数据以正确的顺序交给应用层。（5）既然IP数据报会发生重复，TCP的接收端必须丢弃重复的数据。（6）TCP还能提供流量控制。TCP连接的每一方都有固定大小的缓冲空间。TCP的接收端只允许另一

6、端发送接收端缓冲区所能接纳的数据。这将防止较快主机致使较慢主机的缓冲区溢出。两个应用程序通过TCP连接交换8bit字节构成的字节流。TCP不在字节流中插入记录标识符。我们将这称为字节流服务（bytestreamservice）。如果一方的应用程序先传10字节，又传20字节，再传50字节，连接的另一方将无法了解发方每次发送了多少字节。收方可以分4次接收这80个字节，每次接收20字节。一端将字节流放到TCP连接上，同样的字节流将出现在TCP连接的另一端。另外，TCP对字节流的内容不作任何解释。TCP不知道传输的数据字节流是二进制数据，还是ASC字符、EBCDIC字符或者其他类型数据。对字节流的解释

7、由TCP连接双方的应用层解释。这种对字节流的处理方式与Unix操作系统对文件的处理方式很相似。Unix的内核对一个应用读或写的内容不作任何解释，而是交给应用程序处理。对Unix的内核来说，它无法区分一个二进制文件与一个文本文件。TCP是因特网中的传输层协议，使用三次握手协议建立连接。当主动方发出SYN连接请求后，等待对方回答SYN，ACK。这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。第一次握手：建立连接时，客户端发送SYN包（SEQ=x）到服务器，并进入SYN_SEND状态，等待服务器确认。第二次握手：服务器收到SYN包，必须确认客户的SYN(A

8、CK=x+1），同时自己也送一个SYN包（SEQ=y），即SYN+ACK包，此时服务器进入SYN_RECV状态。第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入Established状态，完成三次握手。HTTP：1、超文本传送协议 (HTTP-Hypertext transfer protocol) 是分布式，协作式，超媒体系统应用之间的通信协议。是万维网（world wide web）交换信息的基础。它允许将超文本标记语言(HTML) 文档从 Web 服务器传送到 Web浏览器。HTML 是一种用于创建文档的标记语言

9、，这些文档包含到相关信息的链接。您可以单击一个链接来访问其它文档、图像或多媒体对象，并获得关于链接项的附加信息。HTTP工作在TCP/IP协议体系中的TCP协议上。2、HTTP协议的主要特点：（1）支持客户/服务器模式；（2）简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。每种方法规定了客户与服务器联系的类型不同。由于HTTP协议简单，使得HTTP服务器的程序规模小，因而通信速度很快；（3）灵活：HTTP允许传输任意类型的数据对象。正在传输的类型由Content-Type加以标记；（4）无连接：无连接的含义是限制每次连接只处理一个请求。服务

10、器处理完客户的请求，并收到客户的应答后，即断开连接。采用这种方式可以节省传输时间；（5）无状态：HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。3、请求信息发出的请求信息包括以下几个： （1）请求行，例如GET /images/logo.gif HTTP/1.1，表示从/images目录下请求logo.gif这个文件。（2）（请求）头，例如Accept-Language: en（3）空行（4）可选的消息体请求行和标题必须以作为结尾（也就是，回车然后换行）。空行内必须只有而无其他空格。

11、在HTTP/1.1协议中，所有的请求头，除post外，都是可选的。3、请求方法HTTP/1.1协议中共定义了八种方法（有时也叫“动作”）来表明Request-URI指定的资源的不同操作方式：OPTIONS返回服务器针对特定资源所支持的HTTP请求方法。也可以利用向Web服务器发送*的请求来测试服务器的功能性。HEAD向服务器索要与GET请求相一致的响应，只不过响应体将不会被返回。这一方法可以在不必传输整个响应内容的情况下，就可以获取包含在响应消息头中的元信息。GET向特定的资源发出请求。注意：GET方法不应当被用于产生“副作用”的操作中，例如在web app.中。其中一个原因是GET可能会被网

12、络蜘蛛等随意访问。POST向指定资源提交数据进行处理请求（例如提交表单或者上传文件）。数据被包含在请求体中。POST请求可能会导致新的资源的建立和/或已有资源的修改。PUT向指定资源位置上传其最新内容。DELETE请求服务器删除Request-URI所标识的资源。TRACE回显服务器收到的请求，主要用于测试或诊断。CONNECTHTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器。方法名称是区分大小写的。当某个请求所针对的资源不支持对应的请求方法的时候，服务器应当返回状态码405（Method Not Allowed）；当服务器不认识或者不支持对应的请求方法的时候，应当返回状态码50

13、1（Not Implemented）。HTTP服务器至少应该实现GET和HEAD方法，其他方法都是可选的。当然，所有的方法支持的实现都应当符合下述的方法各自的语义定义。此外，除了上述方法，特定的HTTP服务器还能够扩展自定义的方法。三、实验步骤1、捕获数据包前的准备工作：在默认情况下，sniffer将捕获其接入碰撞域中流经的所有数据包，但在某些场景下，有些数据包可能不是我们所需要的，为了快速定位网络问题所在，有必要对所要捕获的数据包作过滤。Sniffer提供了捕获数据包前的过滤规则的定义，过滤规则包括2、3层地址的定义和几百种协议的定义。定义过滤规则的做法一般如下：（1）在主界面选择Captu

14、reDefine filter选项。 （2）Define filterAddress，这是最常用的定义。其中包括MAC地址、IP地址和IPX地址的定义。（3）Define filterAdvanced，定义希望捕获的相关协议的数据包。比如，想捕获DNS、HTTP的数据包，那么说首先打开TCP选项卡，再进一步选协议；还要明确DNS的数据包有些是属于UDP协议，故需在UDP选项卡做类似TCP选项卡的工作，否则捕获的数据包将不全。 如果不选任何协议，则捕获所有协议的数据包。（4）AdvancedProfilesNew，新建一个Capture。（4）最后，需将定义的过滤规则应用于捕获中，点选Captu

15、reSelect Filter中选取定义的捕获规则。2、网络操作和捕获数据包：（1）打开浏览器，清除记录。在地址栏中输入要访问网站的地址，但未访问。（2）选择CaptureStart,启动捕获引擎。 sniffer可以实时监控主机、协议、应用程序、不同包类型等的分布情况。（3）访问网站。（4）停止sniffer捕获包，点选CaptureStop或者CaptureStop and Display,前者停止捕获包，后者停止捕获包并把捕获的数据包进行解码和显示。3、使用Display filter过滤数据：（1） 打开浏览器，清除记录。在地址栏中输入要访问网站的地址，但未访问。（2） 选择Captu

16、reStart,启动捕获引擎。 sniffer可以实时监控主机、协议、应用程序、不同包类型等的分布情况。（3）访问网站。（4）停止sniffer捕获包，点选CaptureStop或者CaptureStop and Display,前者停止捕获包，后者停止捕获包并把捕获的数据包进行解码和显示。（5）在主界面选择DisplayDefine filter选项。 （6）Define filterAddress，这是最常用的定义。其中包括MAC地址、IP地址和IPX地址的定义。（7）Define filterAdvanced，定义希望捕获的相关协议的数据包。比如，想捕获DNS、HTTP的数据包，那么说首

17、先打开TCP选项卡，再进一步选协议；还要明确DNS的数据包有些是属于UDP协议，故需在UDP选项卡做类似TCP选项卡的工作，否则捕获的数据包将不全。 如果不选任何协议，则捕获所有协议的数据包。（8）AdvancedProfilesNew，新建一个Capture。（9）最后，需将定义的过滤规则应用于捕获中，点选DisplaySelect Filter中选取定义的捕获规则。四、实验数据与分析1、TCP连接三次握手建立在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接。位码即TCP标志位,有6种标示:SYN(synchronous建立联机) ACK(acknowledgem

18、ent 确认) PSH(push传送) FIN(finish结束) RST(reset重置) URG(urgent紧急) Sequence number(顺序号码) Acknowledge number(确认号码)第一次握手：客户端8发送位码为SYN1,随机产生SEQ=的数据包到服务器5，服务器由SYN=1知道，客户端要求建立联机；第二次握手：服务器5收到请求后要确认联机信息，向8发送ACK=SEQ+1=，随机产生SEQ=的包； 第三次握手：客户端8收到后检查ACK是否正

19、确，客户端8会再发送ACK=(服务器5的SEQ+1)，服务器5收到后确认SEQ值连接建立成功。完成三次握手，客户端与服务器开始传送数据。2、HTTP请求报文：客户端8向服务器5发出的HTTP请求报文。HTTP报文的长度为LEN=397字节。GET / HTTP/1.1： 客户端使用HTTP/1.1的版本，请求方法是GET，获取的资源URL是相对路径下的默认文档。Accept: 指定客户端接收所有类型的消息，此报文接受了若干图片、flash等消息。Accept-Langu

20、age: zh-cn，表示客户端所使用的浏览器支持的语言简体中文。Accept-Encoding: gzip.deflate, 表示浏览器支持的压缩编码是 gzip 和 deflate。User-Agent: Mozilla/4.0，表示客户端使用的用户代理是 Mozilla/4.0。 Host: ，表示请求服务器的域名。Connection: Keep-Alive ，表示客户端与服务连接类型是持久连接。3、确认HTTP请求报文服务器5对客户端8的HTTP请求报文的ACK确认。服务器响应客户端的HTTP请求报文之后，便向客户端发一个TCP报文段。其中ACK=+397。表示服务器已正确接收到客户端的请求报文。4、服务器5给客户端192.168.15