实验报告报文分析

使用Etherea工具分析网络TCP/IPRIP、RIPV2，OSPF1、EtherealUnixWindows2、Ethereal3、EtherealEtherealEtherealEtherealCaptureoptionsCapturepacketsinpromiscuousmode：与否打开混杂模式。如果打开，抓取全部的数据包。Limiteachpacket：限制每个包的大小，缺省状况不限制。ringbuffer：与否使用循环缓冲。缺省状况下不使用，即始终抓包。注意，循环缓冲只有其它项libcap过滤器tcpdump的手册中有具体的解释，基本构造是：[not]primitive[and|or[not]primitive...]，以下：Ethereal在抓包迈进行过滤设立，是在抓包选项设立对话框中进行的（见上图。只需在Filter栏中填入特定的设立语句。Ethereallibpcapfilter语言来进行抓包的过滤设立。过滤体[not]primitive[and|or[not]primitivetelnettcpport23andhost10.0.0.5telnet数据包。抓取除了来自/telnet数据包的过滤设立tcpport23andnothost在过滤设立字符串中，primitive、[src|dst]hostIP地址/srcdst选择源/目的srcdst，则将抓到流向/流出该主机的全部数据包。172.18.66.66srchost、ether[src|dst]host00：04：76：42：24：80etherdsthost、[src|dst]net<net>[{mask<mask>}|{lennet172.18.0.0mask、[tcp|udp][src|dst]port此体现式能够设立过滤来自/tcp/udp合同端口的数据包。SNMP合同数据包udpport、less|greater400byte的数据包less、ip|etherprotoIP层/数据链路层（Ethernet层）上特定的合同数据包。IPUDP数据报ipproto、ether|ip此体现式用于过滤IP/Ethernet、<expr>relopbyte的数据或者某一段filterFilterEthereal不允许的，是错误的。Protocol)（1）实验171MACMACMACMAC46-EtherealEthernetMACarp-EtherealEtherealcapturefilterfilterstringFilter2、IPIPIPInternetIPIPIPIPIPIPEtherealIPEtherealIP192.168.0.1033、ARPARPProtocolARPARP缓存，包含一种或多个表，用IPMAC地址。WindowsXP的命令提示符窗口中键入“arpa”或“arpgARP缓存中的内容；键入“arpdIPaddressIP地址项（IPaddressIP地址。arp命令的其它使用方法能够键入“arp/?”查看到。3.2ARPPING例子。ICMPICMP数据包。该过程需要通过下面的环节：ICMP包，被提交给内核（网络驱动程序IP地址为MACARP缓存中查看IP-IP-MAC7IP-MAC对应关系，、内核进行ARP广播，目的地的MAC地址是FF-FF-FF-FF-FF-FF，ARP命令类型为REQUEST（1MAC地址；192.168.1.2ARPARPREPLY（2）命令，MAC地址；192.168.1.2IP-MACARPIPMAC使用arp-a命令就能够查看本地的ARP缓存内容PING命令后IP的统计了。固然，如果你的数据包是发送到不同网段的目的地，IP-MAC地址对应的统计。4、ICMPICMPIPIP合同能够借助其它合同来实现ICMP。ICMP（InternetControlMessagesProtocol,网际控制报文合同允许主机或路由器报告差TTL超时后，路由器就会丢弃此分组，ICMP报文。ICMPICMPICMPICMPICMPICMPIP头部（20ICMP80000ICMPPingPingICMPEtherealwindows命令行输入