西安郵電學院

计算机网络技术及应用实验

报 告 书

   

实验题目  Wireshark抓包分析实验

一、       实验目的

1、了解并会初步使用Wireshark，能在所用电脑上进行抓包

2、了解IP数据包格式，能应用该软件分析数据包格式

3、查看一个抓到的包的内容，并分析对应的IP数据包格式

二、       实验内容

    Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包， 并尝试显示包的尽可能详细的情况。你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级）过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。Wireshark可能算得上是今天能使用的最好的开元网络分析软件。

1、安装Wireshark，简单描述安装步骤。

  点击安装图标并进行如下步骤：

2、      打开wireshark，选择接口选项列表。或单击“Capture”，配置“option”选项。

3、      设置完成后，点击“start”开始抓包：

显示结果：

4、      选择某一行抓包结果，双击查看此数据包具体结构。

 

5、      捕捉IP数据报。

①
写出IP数据报的格式。

IP数据报首部的固定部分中的各字段含义如下：

(1)版本　占4位，指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的IP协议版本号为4（即IPv4）。

(2)首部长度　占4位，可表示的最大十进制数值是15。请注意，这个字段所表示数的单位是32位字长（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60 字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部

3)区分服务　占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。

(4)总长度　总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据报的最大长度为216-1=65535字节。长度就是20字节（即首部长度为0101），这时不使用任何选项。

(5)标识(identification)　占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。

(6)标志(flag)　占3位，但目前只有2位有意义。

　　标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。

标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。

7)片偏移　占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。

　　(8)生存时间　占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把 TTL值减1。当TTL值为0时，就丢弃这个数据报。

＃TTL通常是32或者64，scapy中默认是64

　　(9)协议　占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。（在scapy中，下层的这个protocol一般可以从上曾继承而来，自动填充，我们一般可以省略不填此项）

　　(10)首部检验和　占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。不检验数据部分可减少计算的工作量。

　　(11)源地址　占32位。

　　(12)目的地址　占32位。

IP数据报首部的可变部分

IP首部的可变部分就是一个可选字段。选项字段用来支持排错、测量以及安全等措施，内容很丰富。此字段的长度可变，从1个字节到40个字节不等，取决于所选择的项目。某些选项项目只需要1个字节，它只包括1个字节的选项代码。但还有些选项需要多个字节，这些选项一个个拼接起来，中间不需要有分隔符，最后用全0的填充字段补齐成为4字节的整数倍。

　　增加首部的可变部分是为了增加IP数据报的功能，但这同时也使得IP数据报的首部长度成为可变的。这就增加了每一个路由器处理数据报的开销。实际上这些选项很少被使用。新的IP版本IPv6就将IP数据报的首部长度做成固定的。

　②捕捉IP数据报的格式图例。

 

③针对每一个域所代表的含义进行解释。

         

三、       实验内容（续，可选）

1、捕捉特定内容

捕捉内容：http

步骤：①在wireshark软件上点开始捕捉。

      ②上网浏览网页。

     

③找到包含http格式的数据包，可用Filter进行设置，点击

中的下拉式按钮，选择http。

      ④在该数据帧中找到Get 的内容。

        

内容如下：

四、实验体会

    在这次实验中，我学到了很多，比如对软件wrieshark有了大致的了解、应用以及IP数据报的捕捉、过滤及其中的各个字段的含义有了更深的学习和了解。经过这次学习，不仅丰富了我的专业知识，还提升了自我的动手实践能力，可谓一举两得！

第二篇：wireshark数据包分析

wireshark保存的数据包文件的文件结构。

PCAP文件格式分析

（这是从网上找来的）

一、基本格式：

文件头 数据包头 数据报 数据包头 数据报......

二、文件头结构体：

sturct pcap_file_header

{

DWORD magic;

WORD version_major;

WORD version_minor;

DWORD thiszone;

DWORD sigfigs;

DWORD snaplen;

DWORD linktype;

}

说明：

1、标识位：32位的，这个标识位的值是16进制的 0xa1b2c3d4。

a 32-bit magic number ,The magic number has the value hex a1b2c3d4.

2、主版本号：16位， 默认值为0x2。

a 16-bit major version number,The major version number should have the value 2.

3、副版本号：16位，默认值为0x04。

a 16-bit minor version number,The minor version number should have the value 4.

4、区域时间：32位，实际上该值并未使用，因此可以将该位设置为0。

a 32-bit time zone offset field that actually not used, so you can (and probably should) just make it 0;

5、精确时间戳：32位，实际上该值并未使用，因此可以将该值设置为0。

a 32-bit time stamp accuracy field tha not actually used,so you can (and probably should) just make it 0;

6、数据包最大长度：32位，该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535； 例如：想获取数据包的前64字节，可将该值设置为64。

a 32-bit snapshot length" field;The snapshot length field should be the maximum number of bytes perpacket that will be captured. If the entire packet is captured, make it 65535; if you only capture, for example, the first 64 bytes of the packet, make it 64.

7、链路层类型：32位， 数据包的链路层包头决定了链路层的类型。

a 32-bit link layer type field.The link-layer type depends on the type of link-layer header that the packets in the capture file have:

以下是数据值与链路层类型的对应表

0 BSD loopback devices, except for later OpenBSD

1 Ethernet, and Linux loopback devices 以太网类型，大多数的数据包为这种类型。

6 802.5 Token Ring

7 ARCnet

8 SLIP

9 PPP

10 FDDI

100 LLC/SNAP-encapsulated ATM

101 raw IP, with no link

102 BSD/OS SLIP

103 BSD/OS PPP

104 Cisco HDLC

105 802.11

108 later OpenBSD loopback devices (with the AF_value in network byte order) 113 special Linux cooked capture

114 LocalTalk

三、数据包头结构体：

struct pcap_pkthdr

{

struct timeval ts;

DWORD caplen;

DWORD len;

}

struct timeval

{

DWORD GMTtime;

DWORD microTime

}

说明：

1、时间戳，包括：

秒计时：32位，一个UNIX格式的精确到秒时间值，用来记录数据包抓获的时间，记录方式是记录从格林尼治时间的19xx年1月1日 00:00:00 到抓包时经过的秒数；

毫秒计时：32位， 抓取数据包时的毫秒值。

a time stamp, consisting of:

a UNIX-format time-in-seconds when the packet was captured, i.e. the number of seconds since January 1,1970, 00:00:00 GMT (that GMT, *NOT* local time!);

the number of microseconds since that second when the packet was captured;

2、数据包长度：32位 ，标识所抓获的数据包保存在pcap文件中的实际长度，以字节为单位。 a 32-bit value giving the number of bytes of packet data that were captured;

3、数据包实际长度： 所抓获的数据包的真实长度，如果文件中保存不是完整的数据包，那么这个值可能要比前面的数据包长度的值大。

a 32-bit value giving the actual length of the packet, in bytes (which may be greater than the

previous number, if you are not saving the entire packet).

2.pcap文件中的数据包部分的内容，主要是根据协议层层封装的。比如，刚开始是十几字节的帧，接着是ip包，接着是tcp包，最后是http包等等。如：

Ip

| \

Tcp udp

| \

HTTP TFTP