网络协议分析实验指导书

网络协议分析试验指导书贾伟陕西理工学院数学与计算机科学学院2023—06网络协议分析试验说明2023级.试验总学时：10学时；试验工程：6个,3个验证，3个综合,1、2、4这wireshark捕获数据包进展分析和使用C语言编程实现对数据包的构造上交。试验完成后,,要求文件命名为：“试验_X取值为中文汉字“一,连接符为英文输入的.试验工程表试验工程表序号0试验工程名称网络协议分析根底(预备试验〕内容课时性质数据包捕获软件的使用；C语言编程。2验证/可选1网络层协议分析2捕获ARP、IP、ICMP网络数据包并分析;IP数据包.TCPUDPUDP数据包。网络数据包并分析.4综合/必做传输层协议分析4综合/必做3协议分析2验证/可选4协议分析器程序设计编程捕获数据包并统计数据包信息。4综合/可选5Winpcap编程根底Winpcap捕获发送数据包2验证/可选0.网络协议分析根底〔预备试验)0.A数据包捕获软件的使用数据包捕获分析软件建议选择Wireshark，由于它目前是全世界最广泛的网络数据包分析软件之一.参考文献:〔ISBN：978—7—115-30236—6〕ChrisSanders；诸葛建伟等〔译。Wireshark数据包分析实战〔2版)。人民邮电出版社。2023，3.0。A.1尝试软件的下载和安装0.A.2设置软件捕获过滤器0。A.3选取网卡,开启捕获0。A。4停顿捕获，保存捕获数据，翻开捕获的数据文件0.A.5翻开捕获的数据文件，查看数据包内容0。A.6设置显示过滤器0。A.8Wireshark高级数据包分析TCPIO流和数据流。0。BC语言编程与网络数据包操作分析生疏内存数据块的数据保存形式和对其使用不同指针的读取形式所获得的不同数据内容。0。B.1C的有关学问回忆1〕ANSICandISOCKeywordsC89has32keywords〔reservedwordswithspecialmeaning〕：autodoubleintstructbreakelselongswitchcaseenumregistertypedefcharexternreturnunionconstfloatshortunsignedcontinueforsignedvoiddefaultgotosizeofvolatiledoifstaticwhile2)把握C的有关根本数据类型及其长度类型 长度类型 长度(bit〕说明char： 8 typical8—bitsshort：16 typical16—bitsint： 16/32 typical16-bitsor32—bits，bits—numberofintmustbemorethanshort.long： 32 typical32-bits，alsolargerthanint3〕字符数组和构造体定义定义字符数组的语法定义构造体的语法〔3)数据类型的强制类型转换语法4)指针操作定义指针变量的语法指向字符数组的指针〔3)指向构造体的指针5〕比特位操作(与、或和移位〕0.B.2C语言编程练习16进制形式IPv4地址的定义和操作定义形式i〕32bit长度的无符号整数unsignedintip；ii)48bit长度的无符号字符串unsignedcharip[4]；实现点分十进制形式的输入输出；IP地址；推断属于的P、、、D类；IP地址和掩码,给出网络前缀；2IPIP是否属于同一个网络.3)字节序〔BYTEORDER争论了解字节序〔大端序和小端序)的含义.参考网上资料：：///wiki/字节序.1〕如何推断本机的字节序。intmain〔intargc，char＊*argv〕｛//怎样推断机器的*＊字节挨次＊＊是高字节在前还是低字节在前？//1。A。有个使用指针的方法：2.另外一个可能是用联合。intx=0x87654321；unsignedchar*p；p=〔unsignedchar＊〕＆x；printf〔“％X\n“，x〕;//87654321for〔inti=0；i<4;i++){,［;｝//21436587if(＊(char＊〕＆x==0x21)printf〔“\nlittle-endian\n“)；else

printf〔”\nbig—endian\n“〕;〔；return0;}2〕定义字节序的转换函数〔宏〕/*/*网络字节序〔NETWORKBYTEORDER)转换函数*//＊NETWORKBYTEORDERCONVERSIONNOTNEEDEDONABIG-ENDIANCOMPUTER＊//＊X86计算机为Little-endian＊/＃definehtons〔x)＃definehtonl(x〕\〔(0xff＆(〔x〕>〉8〕〕｜(〔0xff&〔x)〕<〈8)〕〔〔((x〕>>24)＆0x000000ff〕｜(〔x〕>>8〕&0x0000ff00)｜〔〈<)&〕|〔〈〕&))＃definentohs(x〕＃definentohl(x〕(〔0xff&((x)〉>8〕)|〔〔0xff&〔x〕)〈<8〕)〔〔(x)>>24〕&0x000000ff)｜(((x〕>>8)＆0x0000ff00〕｜\((〔x〕<<8〕＆0x00ff0000〕｜((〔x)<〈24〕＆0xff000000〕)intintbuild_eth_frame(unsignedchar*daddr,unsignedchar＊saddr,unsignedshorttype，drt，dr［，t｛unsignedchar*frame=〔unsignedchar＊〕malloc〔14+len);structethhdr*eth=〔structethhdr*)frame；unsignedchar*dbuf=frame+14；memcpy(dbuf，buf,len〕;memcpy(eth-〉h_dest， 6)；memcpy〔eth->h_source,saddr,6)；eth-〉h_proto=htons〔type);*eth_frame=frame;＊ethframeLen=14+len；return＊ethframeLen；}网络层协议分析1。A数据包捕获分析局部1.A。1、试验目的1)、了解ICMP协议报文类型及作用.2、理解P.3)、分析ARP协议的报文格式，理解ARP协议的解析过程。A。2、试验内容介绍P协议分析试验执行ping和tracert命令，分别截获报文，分析截获的ICMP报文类型和ICMP报文格式，理解ICMP协议的作用。、IP协议分析试验使用Ping命令在两台计算机之间发送数据报,用Wireshark截获数据报,分析IP数据报的格式,理解IPV4IP协议的理解.、IP数据报分片试验我们已经从前边的试验中看到，IP报文要交给数据链路层封装后才能发送.抱负状况下,每个IP报文正好能放在同一个物理帧中发送。但在实际应用中，每种网络技术所支持的最1500网络的最大传输单元〔MTU，MaxiumTransferUnit)。TCP/IP协议在发送IP个MTU大的子网发送到一个MTU小的网络时，IP协议就把这个报文的数据局局部割成片〔Fragment)。每个分片都有一个IP报文头，分片后的数据报的IP报头和原始IP报头除分片偏移、MF标志位和校验字段不同外，其他都一样。重组是分片的逆过程，分片只有到达目的主机时才进展重组。当目的主机收到IP报文时MFMF为0,片偏移为0，则说明它是一个完整的报文；否则,则说明它是一个分片。当一个报文的全局部片都到达目的主机时，IP就依据报头中的标识符和片偏移将它们重组成一个完整的报文交给上层协议处理。P协议分析试验WindowsArp命令，供给了显示和修改地址解析协议所使用的地址映射表的功能.Arp命令的格式要求如下:ARP-sinet_addreth_addr［if_addr]ARP—dinet_addr［if_addr]ARP—a[inet_addr］［-Nif_addr]其中:—s：在ARP缓存中添加表项:将IP地址inet_addr和物理地址ether_addr关联,物理地址由以连字符分隔的6个十六进制数给定,使用点分十进制标记指定IP地址,添加项是永久性的；-d：删除由inet_addr指定的表项；-a：显示当前ARPinet_addr则只显示指定计算机的IP和物理地址；inet_addr：以点分十进制标记指定IP地址；—N：显示由if_addr指定的ARP表项；if_addr:指定需要选择或修改其地址映射表接口的IP地址；ether_addr：指定物理地址；1。A.3、试验步骤、ICMP协议分析1：分别在PC1和PC2上运行Wireshark，开头截获报文，为了只截获和试验内容有关的报文，将Wireshark的CaptrueFilter设置为“NoBroadcastandnoMulticast“;2：在PC1以PC2为目标主机，在命令行窗口执行Ping命令；请写出执行的命令：【 】步骤3:停顿截获报文,将截获的结果保存为“ICMP1—学号“，分析截获的结果，答复以下问题：您截获几个ICMP报文？分别属于那种类型?答：分析截获的ICMP报文，查看表1.A.1中要求的字段值，填入表中.表1。A.1 ICMP报文分析报文报文号1617XX+16162IP报文格式类型代码标识序列号【x为学号后两位】试验捕获的报文数据截图：16报文17报文xx+1,认真体会Ping命令的作用。如何保证恳求报文和应答报文时一一对应的？答：4:在PC1上运行Wireshark开头截获报文；5PC1Tracert命令，向一个本网络中不存在的主机发送数据报，如:Tracert;6“ICMP2学号“,分析截获的报文，答复以下问题:截获了报文中哪几种ICMP报文？其类型码和代码各为多少？答:在截获的报文中，超时报告报文的源地址是多少？这个源地址指定设备和PC1有何关系？答：通过对两次截获的ICMP报文进展综合分析，认真体会ICMP协议在网络中的作用。答：、IP协议分析1:截获PC1上pingPC2的报文，结果保存为“IP学号”;4：取序号为学号的数据报，分析IP协议的报文格式，完成以下各题:-1)分析IP5。2;表5。2 IP协议字段字段版本效劳类型总长度标识标志报文信息说明片偏移片偏移生存周期协议校验和源地址目的地址试验捕获的报文数据截图突出显示分析的报文：IP地址和目的IP地址，他们分别是哪类地址？体会IP答:、IP数据报分片试验步骤1:在PC1、PC2两台计算机上运行Wireshark，为了只截获和试验有关的数据报,设置WiresharkIP地址，开头截获报文；2:在PC1上执行如下Ping命令，向主机PC2发送4500B的数据报文：Ping–l4500–n6 PC2IP地址步骤3:停顿截获报文，分析截获的报文，答复以下问题：1)MTU是多少?答：ICMPPC1向主机PC2发送的ICMP恳求报文分成了几个分片？答：PC1PC2发送的数据分为3个分片，则Ping命令中的报文长度应为多大？为什么？答：4〕将其次个ICMP恳求报文的分片信息填入表5。3：5.3ICMP恳求报文分片信息分片序号标识分片序号标识(Identification)标志(Flag)片偏移(Fragment数据长度、ARP协议分析试验1：在PC1、PC2两台计算机上执行如下命令，去除ARP缓存：答：2：在PC1、PC2两台计算机上执行如下命令,查看高速缓存中的ARP地址映射表的内容：答：3：在PC1和PC2上运行Wireshark截获报文,为了截获和试验内容有关的报文，Wireshark的CaptrueFilter设置为默认方式；4：在主机PC1上执行Ping命令向PC2发送数据报；5：执行完毕,保存截获的报文并命名为“ARP-1-学号”；步骤62两台计算机上再次执行Pa查看高速缓存中的P地址映射表的内容：1〕这次看到的内容和步骤2的内容一样吗？结合两次看到的结果，理解ARP高速缓存的作用。答：把这次看到到的高速缓存中的ARP地址映射表写出来或给出截图。接口接口IP地址IP地址InternetAddressPhysicalAddress备注7：重复步骤4—5，将此结果保存为“ARP—2—学号”；8：翻开arp—1—学号，完成以下各题：1〕在截获的报文中由几个PP?答：a〕分析arp-1中ARP5。4。表5.4 ARP报文分析ARP恳求报文字段ARP应答报文报文信息及参数 字段 报文信息及参数硬件类型硬件类型协议类型协议类型硬件地址长度硬件地址长度协议地址长度协议地址长度操作操作源站物理地址源站物理地址IP地址目的站物理地址IP地址目的站物理地址IP地址IP地址1.BIP数据包局部使用CIP数据包程序。IPv4根本定长首部构造体定义structstructiphdr｛};IP报文unsignedunsignedchar＊Build_IP_Packet(unsignedintd_ip,unsignedints_ip，unsignedcharproto_type，constunsignedchar＊buf，intlen，unsignedchar＊ippacket,int＊iplen〕｛returnippacket；}33〕IP校验和计算//TCPIP协议中的校验和计算unsignedshortchecksum(unsignedshort＊ptr,intnbytes){｝传输层协议分析2。A数据包捕获分析局部试验目的TCP报文首部格式和字段的作用，TCP连接的建立和释放过程,TCP数据传输中编号与确认的作用.试验内容TCPTCPTCP报文首部信息，TCP连接的建立过程，TCP数据的编号和确认机制。2。3试验原理TCP协议是传输把握协议的简称，工作在网络层协议之上，是面对连接的，牢靠的，端到端的传输层协议。TCP的报文格式TCP报文段分为头部和数据两局部，如图1:图1 TCP报文段的总体构造TCPTCP首部TCP数据局部TCP20B,如图2所示,这些字段的TCP的全部功能.TCP报文段的首部0 15 31源端口源端口目的端口序号头部长度〔4bit〕保存URG校验和A P R SC S S YK H T NFIN窗口紧急指针选项〔长度可变〕 填充TCPTCP报文，传输连接包括连接建立、数据传输和连接释放三个阶段。TCP连接的建立TCP连接建立承受“3次握手“方式。首先，主机ATCP向主机BTCP发出连接恳求报文段,SYN应置1，同时选择一个序号X，说明在后面传送数据时的第一个数据字节的序号是X+1，如图3所示：主机A主机A主机B主动翻开客户进程效劳器进程被动翻开SYN=1,ACK=0,SEQ=1200连接恳求SYN=1,ACK=1,SEQ=4800,AN=1201确认SYN,ACK=1,SEQ=1201,AN=4801确认图3 连接建立的3次握手过程然后，主机B的TCP收到连接恳求报文段后，假设同意，则发回确认。在确认报文段中SYNACK1X+1Y。最终,ATCPBBACK1，确认号为Y+1，X+1。TCP的标准规定，SYN1的报文段都要消耗掉一个序号。同时，运ATCP通知上层应用进程，连接已经建立。AB发送第一个X+1，由于前一个确认报文段并不消耗序号。BTCPA确实认后，也通知其上层应用进程，连接已经建立。TCPTCP报文段首部的选项字段进展双方最大报文MSS协商，确定报文段的数据字段的最大长度。双方都将自己能够支持的MSS写入选项字段，比较之后，取较小的值赋给MSS，并应用于数据传送阶段.TCP数据的传送TCP传输的牢靠性，TCP,每个字节对应一个序号。并在连接建立时，双方商定初始序号。在报文段首部中,序号字段和数据局部长度可以确定发送方传送数据的每一个字节的序号下次收到的数据的第一个字节的序号,即表示这个序号之前的数据字节均已收到。这样既做到了牢靠传输，又做到了全双工通信。固然，数据传送阶段有很多简洁的问题和状况，如流量把握、拥塞把握、重传机制等，本次试验不探究。TCP连接的释放.TCP连接的释放承受“4次握手“。如图应用进程释放连接A不再确认

A BFIN,SEQ-XACK,SEQ=Y,ACK=X+1FIN,ACK,SEQ=Y,ACK=X+1ACK,SEQ=X+1,ACK=Y+14TCP4次握手过程

①②通知主机应用进程确认应用进程释放连接B不再4ATCP发出释放连接的恳求，并且不再发送数据。TCP通知对方要释放从AB这个方向的连接,BTCP报文段首部的中止1，其序号X等于前面已传送过的数据的最终一个字节的序号加1。BTCP收到释放连接通知后即发出确认,YX+1,同时通知高层应用进程，如图中的箭头①。这样从AB的连接就被释放了，连接处于半关闭状态,相当于主机A对主机B说“我已经没有数据发送了。但是假设你还有数据要发送，我照旧接收.“B不再接收AB还有一些数据要发给A，则可以连续发送〔这种状况很少)。主机A只要正确收到数据，照旧向B发送确认。BATCP释放连接,如图中的箭头②。B发出的连接释放报文段必需将中止位FINACK1，并使其序号仍为Y〔由于签名发送确实认报文段不消耗序号〕,但是还必需重复上次已经发送过的ACK＝X+1。主机A必需对此发出确认,ACK1，ACK=Y+1X+1,TCP标准，FIN报文段要消耗掉一个序号.BA的反方向的连接释放掉.主机ATCP再向其应用进程报告,整个连接已经全部释放。2.4试验步骤步骤1 在Wireshark中设置过滤条件,协议为TCP ，地址为本机－>any，并开头截获报文;步骤2 翻开www。sina.,完成后保存截获的报文并命名为“TCP学号“，分析捕获的报文。这里,TCP的连接和建立承受的是： 方式,本机是 ，远端主机是 。步骤3 分析TCP连接建立过程的前3个报文,填写下表1：表1 TCP建立过程的三个报文信息字段名称字段名称报文序号第一条报文其次条报文第三条报文SequenceSequenceNunberACKNumberACKSYN步骤4 分析截获报文中数据发送局部的第一条TCP报文及其确认报文将报文中的字段值填写在表格2中.表2 TCP报文首部信息字段名字段名长度字段值字段意义发送报文确认报文步骤5 TCP连接建立时其报文首部与其它TCP报文不同,有一个option字段它的作用是什么？结合IEEE802。3协议规定的以太网最大帧长分析此数据是怎么得出来的?步骤6 分析TCP数据传送阶段的前8个报文，将报文信息填入表3：表3 TCP数据传送局部的前8个报文报文报文种类序号字段确认号数据长度被确认报文序号窗口序号字段2。5 试验总结TCPTCP牢靠连接的根底。TCP3数据的编码和确认机制。总之，TCP协议中的各项设置都是为了在数据传输时供给牢靠的面对连接的效劳。2。BUDP数据包局部使用CUDP数据包程序。UDP首部和伪首部构造体定义/*/*UDP首部*/structudphdr{//UDP中校验使用的伪首部structpseudo_header｛｝;｝;2〕UDP报文数据intintbuild_udp_Package(structsocket_pair*sp，constunsignedchar*buf，intlen，unsignedchar［，t＊｝协议分析试验目的PCWeb协议的工作过程。试验设备和连接WWW站点来进展试验。试验步骤步骤1：在PCWireshark,开头截获报文，为了只截获和我们要访问的网站相关的数据报，将截获条件设置为“ttandt2Web“://25/“://25。翻开网页，待扫瞄器的状态栏消灭“完毕”信息后关闭网页。步骤3：停顿截获报文，将截获的报文命名为“—学号”保存。分析截获的报文,答复以下几个问题：综合分析截获的报文，查看有几种报文？答:恳求报文和对应的应答报文，认真2021.20恳求报文格式方法方法URL首部字段名AcceptAccept—LanguageUser-Agent版本字段值字段所表达的信息HostConnection21应答报文格式版本版本短语首部字段名Date状态码字段值字段所表达的信息ServerEtageAccept—RangesLast—Modified分析在截获的报文中,客户机与效劳器建立了几个连接？效劳器和客户机分别使用了哪几个端口号？答：4)协议的工作过程，将结果填入表22中。22协议工作过程客户机端口号效劳器端口号所包括的报文号步骤说明试验小结PCRCMSWeb协议的报文格式和协议的工作过程。是一个面对事务的客户效劳器协议。尽管TCP作为底层传输协议，但每个事务都是独立地进展处理.当一个事务开头时，就在万维网客户和效劳器之间建立一个TCP连接，而当事务完毕时就释放这个连接。协议分析器程序设计4.1定义报文头部数据构造4。1。1UDP首部和伪首部构造体定义/*/*UDP首部＊/structudphdr｛//UDP中校验使用的伪首部structpseudo_header｛；｝;4.1。2IPv4根本定长首部构造体定义structstructiphdr{；4.1。3以太网帧首部构造体定义structethhdr｛unsignedcharunsignedcharunsignedshort

h_dest［6]；/＊destinationethaddr ＊/； *eraddr h_proto; /＊packettypeIDfield＊/};4。1.45元组封装为构造体数据structstructsocket_pair{unsignedcharunsignedshortunsignedshortunsignedcharunsignedchar｝;proto_type;/*IP头部字段的协议取值*/d_port；/*目的端口＊/s_port; /＊源端口*/d_ip［4］; /IP地址*/；/*IP地址＊/4。2分析显示报文头部信息函数设计4。2。1以太网帧首部信息显示intintprint_eth_frame〔constunsignedchar＊frame_data,intlen)｛structethhdr*frame；frame= 〔structethhdr＊〕frame_data;”n该帧报类型D为％,〔；if(ntohs〔frame—〉h_proto〕==0x0800)｛printf(IP.\n“〕;return0；}4。2.2IPv4根本定长首部信息显示intintprint_ip_pkt〔constunsignedchar*pkt_data,intlen){｝4.2.3UDP首部信息显示intintprint_udp_pkt〔constunsignedchar＊pkt_data，intlen){}4。3Winpcap中翻开网络接口捕获数据〔参考资料〔中文)：：///WinPcap/html/index。html〕猎取设备列表翻开适配器并捕获数据包不用回调方法捕获数据包发送数据包例程：分析数据包〔：///WinPcap/html/group wpcap tut6。html)Winpcap编程根底当应用程序需要访问原始数据包，即没有被操作系统利用网络协议处理过的数据包时，socket无法满足需要，WinPcapWin32应用程序供给这种访问方式。WinPcap(WindowsPacketCapture)WindowsWindows应用程序供给访问网络底层的力气。WinPcapWinpcapWin32LibpcapWindows版本。5。1Winpcap开发环境的安装配置1〕C语言编程(编译)环境forWindowsDesktop〕;CodeLite；Code：Blocks；Dev-C++。WinPcap驱动WinPcap驱动程序、Dll文件〔假设系统已经安装了Wireshark，则应当默认已经安装了“:///install/bin/WinPcap_4_1_2“。exe。下载并安装。Developer”sPack库文件、头文件、简洁的例如程序代码和帮助文件。WinPcapV4。1。2Developer’sPack:：///install/bin/WpdPack_4_1_2.zip。下载到本地并解压缩到某个名目，如“d:/”LIB和Include名目，5.2中配置环境需要使用。帮助参考网址WinPcap技术手册V412〔anofflineversioncanbefoundinthedeveloper’spack)：：///docs/docs_412/index.htmlWinPcap中文技术手册V4。01〔翻译版)：“://ferrisxu/WinPcap/“://ferrisxu/WinPcap/5.2配置环境5。2。1VC++6。0环境下的配置1〕“://w