以太网MAC帧和IP帧分析

1、3.-G.,E.I|0In&,nilU|.1-.W.s/.P.UIBBB.i.UU以太网MAC帧的分析及IP数据报格式分析一、实验原理：利用wireshark抓包工具，结合课本和课件，对MAC帧进行分析，详细解释帧的格式和各字段的意义及分析IP数据报格式1、MAC帧的格式MAC帧的帧头包括三个字段。前两个字段分别为6字节长的目的地址字段和源地址字段，目的地址字段包含目的MAC地址信息，源地址字段包含源MAC地址信息。第三个字段为2字节的类型字段，里面包含的信息用来标志上一层使用的是什么协议，以便接收端把收到的MAC帧的数据部分上交给上一层的这个协议。MAC帧的数据部分只有一个字段，其长度在46

2、到1500字节之间，包含的信息是网络层传下来的数据。MAC帧的帧尾也只有一个字段，为4字节长，包含的信息是帧校验序列FCS(使用CRC校验)。如图1所示：图12、IP数据报格式：TCP/IP协议定义了一个在因特网上传输的包，称为IP数据报(IPDatagram)。这是一个与硬件无关的虚拟包,由首部和数据两部分组成，其格式如下图2所示。首部的前一部分是固定长度，共20字节，是所有IP数据报必须具有的。在首部的固定部分的后面是一些可选字段，其长度是可变的。首部中的源地址和目的地址都是IP协议地址。版本号首黔服务类型数据报铁度力6比特标示标志43比特片偏移上层协议首部校验和32比特源IP地址32比特

3、号的庐地址选项如果有的话）数据IP#4数据报格式图2二、基本步骤：一、利用惠州学院校园网内的任意一台主机，确定该主机能接入Internet网后，安装wireshark抓包工具。二、打开抓包工具，开始抓包。三、打开IE浏览器，访问惠州学院的网络主页。四、停止抓包。五、找出两个不同类型字段值的MAC帧进行分析（如：类型字段为0X0800,上层协议为IP数据报，类型字段为0X0806,上层协议为ARP数据报）三、实验分析：抓包信息如下图：2.113Q&72.2B38S42.3D55S32.3716422.-4DZ773.G4SQS2.6BDD3637Z.aB5T123S2.Sa-M3335s.sa-

4、n&B闻口Z.BL29051-1b29051672.9H92&291571斗2915&522.923OM222.1796.150222.1796.165Afcatel-9S:clbSAbCSti?l-_9S：Clb5AtEitel-_9iF!：Clb5Akzatel-_QS!cl.bE222.ly.BS.LSB1LB.17.US.109222.17.SO.LIiBZ22.17.SO.15B6222.17.91515S1L9-.147.14*.!&9119.147.L4*.1&9222.17.91515S1L9-.1斗7.：1呻吕.11占专222.1796.1&5222.

5、1796.15BBroadcastBrosdcisstBrosdCEiiSt曰厂口mdum匚匚曰厂口匚222.iy.aG.15B119.117.14&.1G9119.17.L1Q.10922217.-96.15&1L9147.146.169222.17.-96.15S222：17.uacsackBeci-Lck-7L2Wn-iWhohas222.17.9&2047Tel222176.2Whohsag222,17.96.2127Tel22217s&.2Whoh曰弓222,17.96.22&7TelZ2217,6-.2Whhas223.17.OS.B47Tfil222.37.06.35-Whoha

6、s222.17.06.2317TqI22!.i7.DS.J3umett匚http5YNISeq-OWin-&SS3SLenhetpusdtcSYNIhACKjSeq=OAck=1WfcudcTt匚http|/k匚K)幻巴口=丄Ack=1Wln=&51TCF3segment口f口reiassismbledPEMJhttpuadtcACKeq=lAizkSTSWn=3POST/query2HTTP/Lt(appiction/octethttpauadtc矗匚1ct/口诂门)uadtcnhtt口尸IhJ*ACK巴口=&47Ack=35!httpauadtcI尸IN,.ACKI兮匕口=35弓Acic=

7、64l3.-G.,E.I|0In&,nilU|.1-.W.s/.P.UIBBB.i.UU叶Frame1111onwire(OSSblti=ip121d(O&Sbits)*Erherne匚IIrSrc.:Akzatel-_93.-c1!bS00;dO:SEiSB:c1LbS)rOar:Micro-St_Oe；a7:-17(-IOlGI.E&Cra-LaZs-IZ)一IncemetFrotacol,.弓匚：i日M-日口.丄甘.曰冲(iE3ea.ifi.丄I玉匚：232.17.9&.15B(223.17.9S.1SH)i*UserDatagramFrntocaiSrcPort:rdmi(SOOO),

8、OstPart:terabsse(-ADOO1)UUO3COL?0D2a0030-1061S*M374700dO959&clb5Q&0045QDOD6bOOoa-IOOD36113ddeb73C10bsdeIt6D*IF40DfbC1OO57cb73022F59DOSiSB50a6cb5500OODObdft7e69ff55SSc71、MAC帧分析:332.371M2Alcatel-_98：cl：b&BroadcastARPWhohas12?Tel222.17.%.254U740777卜才4QRrlhFRrnadrac.tARPWhnhacm17QATpII7Y)17Qfi州4田-Ethern

9、et11(Ere:Alcatel-98:cl：35(C0:d0:95:98:cl:b5)(Dst:Broaccast+Desthation:Broadcast+Source:Alcate-_9fl:cl:b5(00:d0:95:98:d.:b5)Type:ARP(0 x0BD6)Treier:OOOOOOOOOOOOOOOOOOOOOODOOOOOOOOOOOOO-AddressREmhtknPratocorecLest)Hardwarety阻EthernetOxOOOlPhrtocoltype:IP(OxOBOO)Hardwaresee:tPfiotocolsize:4Opcode:requ

10、est(0 x0001)Isgratutous:FalseSenderMACaddress:Alcatel-_98:cL:b5(00:d0:95:9&:cl:b5)SenderIPaddress:54(54)TargetMACaddress:00:00:00_00:00:&0(DO:00:00:00:00:DO)TargetIPaddress:12(12)OOOOffffffffffffOOdO9598clb0806000L.7D01DOB0006(M0001OOdO%98clb5de1160iem000000DO0000de1160d40000&0000000”川册(odoonoaaftom

11、ooocoonoao由抓包信息可以知道这是一个广播帧接收方(目的地址)为：ff：ff：ff：ff：ff：ff发送方(SenderMACaddress)的MAC地址是：OO:dO:95:98:cl:b5类型(Type)为0X806表示上层是一个ARP数据报发送方的IP地址(SenderIPaddress)是：54接收方的IP地址是：12由于本抓包没有抓到类型(Type)字段为0X800的上层协议的IP数据报的帧但其含意基本和上述的MAC帧相同。2、IP数据报的分析：+Frame37:6&bytesonv/re(E28bit5)f66bytescaptured528bits)EthernetII,

12、Src:METD-St_t)9:a7:47(40:61:86:O9:a7:475rDst:AlcateL98:cl:b5(00:d0:95:98:cl:bS十Destination：Alcatel-_98：cl：b5(00:d0:95:58:cl:b5)十Source:Micro-St_&9:a7;47(40:&1:8S:09:a7:47)Type:IP(OxOSDO)-InternetProtocol,Src:2221796158(2221796158),Dst:119.147.146169(119.147.14616)Verson;斗Headerength:20bytes-Diffiere

13、ntiatedServiaesFeld:OxOO(DSCPOxDO:Defaut;ECTM:OxDD)TotalLengtti：52Identificatm:0 x3552(13650)4-Flags:0 x02(DontFragmentJFragmentoffset:Tnietolive;讯Protocol:TCP(&)-Headerchecksum:匚眄correctSou匚已port:uadtc(2767)Destinationport;http(00)|Streamndex:21SequenuEnumber:0(relativesequenoenumber)Headerlength:3

14、2bytes十Flags:0 x02(5YN)Wndawsize:65535-匚hecksum:OrSLlavaidationdsabledIOptions;12b/tes)3010OD343552400040O&be85ISaWaiiB77g3,45R.Yoncd=on=rfrYitiih70r?mnnrY；fwiann?。丄“由帧的内容得：版本(Version)：占4位，指IP协议的版本，通信双方的版本必须一致。其值为4说明用的的是IPV4版本协议。首部长度(HeaderLength):占4位其值为：20B区分服务(DifferentiatedServicesField)：占8位一般不用总

15、长度(TotalLength)：占16位，表示首部和数据之和为52个字节标识(Identification)：占16位，其值为0X3552(13650)表示这是发送第13560个IP数据标志(Flags)：占3位，其值为0 x02二进制表示为：010MF=0表示这已经是若干数据报片中的最后一个。DF=1表示不能分片。片偏移(Fragmentoffset)：占13位其值是0由于标志和片偏移得这是一个没有分片的IP数据报。生存时间(Timetolive):占8位表示数据报在网络中的寿命(数据报每次在路由中转发一次其值减一)其值为64表示可以在路由中转发64次。协议(Protocol)：占8位其值为6表示此数据携带的数据是使用TCP协议首部检验和(Headerchecksum)：占16位这字段只检验数据报的首部，但不检验数据部分，为0 xbc85correct表明是正确的源地址(Source)：占32位58目的地址(Destinat