实验一、Wireshark报文捕捉实验

1、实验一 Wireshark报文捕捉实验一、 实验目的1. 掌握Wireshark抓包软件的基本使用方法；2. 使用Wireshark抓取Telnet的数据报，分析IP头结构；3. 使用Wireshark抓取Telnet的数据报，分析TCP头的结构、分析TCP的“三次握手”和“四次挥手”的过程。二、 实验环境1. 运行Windows的PC机；2. Wireshark软件；3. Winpcap软件。三、 实验原理1. IP头结构；IP包头长度（Header Length）：长度4比特。这个字段的作用是为了描述IP包头的长度，因为在IP包头中有变长的可选部分。该部分占4个bit位，单位为32bit（

2、4个字节），即本区域值= IP头部长度（单位为bit）/(8*4)，因此，一个IP包头的长度最长为“1111”，即15*460个字节。IP包头最小长度为20字节。2. TCP的“三次握手”和“四次挥手”的过程。TCP三次握手所谓三次握手(Three-way Handshake)，是指建立一个TCP连接时，需要客户端和服务器总共发送3个包。三次握手的目的是连接服务器指定端口，建立TCP连接,并同步连接双方的序列号和确认号并交换 TCP 窗口大小信息.在socket编程中，客户端执行connect()时。将触发三次握手。 第一次握手:客户端发送一个TCP的SYN标志位置1的包指明客户打算连接的服务

3、器的端口，以及初始序号X,保存在包头的序列号(Sequence Number)字段里。 第二次握手:服务器发回确认包(ACK)应答。即SYN标志位和ACK标志位均为1同时，将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即X+1。 第三次握手.客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1TCP 四次挥手TCP的连接的拆除需要发送四个包，因此称为四次挥手(four-way handshake)。客户端或服务器均可主动发起挥手动作，在socke

4、t编程中，任何一方执行close()操作即可产生挥手操作。如图：四、 实验步骤与结果分析（一）分析抓取的IP头结构1、安装Wireshark.2、打开主机的TELNET服务 右键点击我的电脑，点击管理，然后点击服务和应用程序，选择服务。找到TELNET服务，并启动它。3、与对象机器连通 在命令行中PING对象机器，使之连通。主机地址172.20.10.41对象地址172.20.10.294、打开Wireshark，并抓取数据包在Wireshark中准备开始抓包。5、之后命令行中出入Telnet 172.20.10.29进入对象机器6、在Wireshark中开始抓包，命令行中出入对象机器密码，连

5、接并开始抓包。抓包结束后退出7、得到过滤之后的数据包对抓到的IP包进行分析：版本号：4头长度：20封包长度：48封包标志：0X3B41（15169）标志：0X02片段偏移：0存活时间：128协议：TCP(C)校验和：0X5318源地址：172.20.10.41目的地址：172.20.10.29（二）TCP的“三次握手”和“四次挥手”的过程。（SYN为同步比特，应答比特ACK，FIN为结束标识符）1、“三次握手”过程分析第一次握手：主机的TCP向目标主机的TCP发出连接求分组，并使SYN=1，ACK=0如图所示第二次握手：目的主机确认包(ACK)应答。即SYN标志位和ACK标志位均为1表示同意建

6、立连接，同时将确认序号ACK.NO设为ACK.No=N(A)+1如图所示：第三次握手：主机向目的主机再次发送确认包(ACK) 。SYN标志位为0,ACK标志位为1.并且把目的主机服务器发来ACK的序号字段+1,即ACK.No=N(B)+1发送给对方表示握手结束，如图所示2、“四次挥手”的过程分析第一次挥手：源主机发送FIN=1，Seq.No=N(A)给目的主机，请求断开，如图所示：第二次挥手：目的主机得到请求后发送ACK=1进行确认,如图所示第三次挥手：目的主机在确认信息发出后，接着发送了一个FIN=1的包给源主机，与其断开连接，如图所示：第四次挥手：源主机返回一条ACK=1，ACK.No=N（B）+1的信息，表示会话结束，得到如图所示：五、 实验小结本次wireshark抓包实验，我分析了IP抓包，捕捉IP数据报，实验过程中，发现自己对IP头结构和三次握手、四次挥手的内容不太熟悉，导致在分析IP结构时看不