抓包实例分析实验Word文件下载.docx
- 文档编号:21338489
- 上传时间:2023-01-29
- 格式:DOCX
- 页数:11
- 大小:2.26MB
抓包实例分析实验Word文件下载.docx
《抓包实例分析实验Word文件下载.docx》由会员分享,可在线阅读,更多相关《抓包实例分析实验Word文件下载.docx(11页珍藏版)》请在冰豆网上搜索。
Wireshark(原Ethereal)是一个网络封包分析软件。
其主要功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。
其使用目的包括:
网络管理员检测网络问题,网络安全工程师检查资讯安全相关问题,开发者为新的通讯协定除错,普通使用者学习网络协议的相关知识……当然,有的人也会用它来寻找一些敏感信息。
值得注意的是,Wireshark并不是入侵检测软件(IntrusionDetectionSoftware,IDS)。
对于网络上的异常流量行为,Wireshark不会产生警示或是任何提示。
然而,仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。
Wireshark不会对网络封包产生内容的修改,它只会反映出目前流通的封包资讯。
Wireshark本身也不会送出封包至网络上。
2.实例
实例1:
计算机是如何连接到网络的?
一台计算机是如何连接到网络的?
其间采用了哪些协议?
Wireshark将用事实告诉我们真相。
如图所示:
图一:
网络连接时的部分数据包
如图,首先我们看到的是DHCP协议和ARP协议。
DHCP协议是动态主机分配协议(DynamicHostConfigurationProtocol)。
它的前身是BOOTP。
BOOTP可以自动地为主机设定TCP/IP环境,但必须事先获得客户端的硬件地址,而且,与其对应的IP地址是静态的。
DHCP是BOOTP的增强版本,包括服务器端和客户端。
所有的IP网络设定数据都由DHCP服务器集中管理,并负责处理客户端的DHCP要求;
而客户端则会使用从服务器分配下来的IP环境数据。
ARP协议是地址解析协议(AddressResolutionProtocol)。
该协议将IP地址变换成物理地址。
以以太网环境为例,为了正确地向目的主机传送报文,必须把目的主机的32位IP地址转换成为48位以太网的地址。
这就需要在互连层有一组服务将IP地址转换为相应物理地址,这组协议就是ARP协议。
让我们来看一下数据包的传送过程:
数据包No.1:
当DHCP客户端(本地PC)第一次登录网络的时候,它会网络发出一个DHCPDISCOVER封包。
因为客户端还不知道自己属于哪一个网络,所以封包的来源地址会为0.0.0.0,而目的地址则255.255.255.255,然后再附上DHCPdiscover的信息,向网络进行广播。
数据包No.2:
当DHCP服务器(本地路由器)监听到客户端发出的DHCPdiscover广播后,它会从那些还没有租出的地址范围内,选择最前面的空置IP,连同其它TCP/IP设定,响应给客户端一个DHCPOFFER封包。
数据包No.3:
客户端向网络发送一个ARP封包,查询服务器物理地址。
数据包No.4:
服务器端返回一个ARP封包,告诉客户端它的物理地址。
数据包No.5:
由于Windows7支持IPV6,所以DHCPV6协议也开始工作。
……
数据包No.51:
通过ARP协议,服务器端最终也获得了客户端的网络地址。
到此为止,我认为客户端(本地PC)的已完成网络注册。
现将客户端(本地PC)和服务器端(本地路由器)相关参数展示如下:
图二:
客户端(本地PC)相关参数
图三:
服务器端(本地路由器)相关参数
实例2:
你的密码安全吗?
随着Internet的普及,越来越多的人开始拥有越来越多的密码。
小到QQ,MSN,E-mail等,大到支付宝,信息管理系统等,可是一个核心问题是:
让我们来看看下面几个例子。
Test1:
FTP工具软件
这里,我们采用的FTP工具软件是FlashFXPV3.7.8。
登陆时抓包如下:
图四:
FlashFXP登陆时的部分数据包
首先,我们来看一下常用到的三个协议:
SSDP、DNS和FTP。
SSDP协议是简单服务发现协议(SimpleServiceDiscoveryProtocol),该协议定义了如何在网络上发现网络服务的方法。
SSDP信息的传送是依靠HTTPU和HTTPMU进行的。
不论是控制指针,或是UPnP设备,工作中都必然用到SSDP,设备接入网络之后,要利用它向网络广播自己的存在,以便尽快与对应的控制指针建立联系。
设备利用SSDP的方式是“收听”来自网络端口的消息,从中发现与自己匹配的信息,一旦找到与自己匹配的信息,经由HTTPMU来发送一个响应信息到控制指针。
DNS是域名服务器
(DomainNameServer)。
在Internet上域名与IP地址之间可以是一一对应的,域名虽然便于人们记忆,但机器之间只能互相认识IP地址,它们之间的转换工作称为域名解析,域名解析需要由专门的域名解析服务器来完成,DNS就是进行域名解析的服务器。
FTP是文件传输协议(FileTransferProtocol),用于Internet上的文件的双向传输。
用户可以通过FTP工具软件它把自己的PC机与世界各地所有运行FTP协议的服务器相连,访问服务器上的大量程序和信息。
FTP的主要作用,就是让用户连接上一个远程计算机(这些计算机上运行着FTP服务器程序),查看远程计算机有哪些文件,然后把文件从远程计算机上下载到本地计算机,或把本地计算机的文件上传到远程计算机。
现在让我们来看看工作流程:
本地PC机(数据包中表示为ipv6地址)通过SSDP协议向本地路由器发送消息。
本地路由器通过SSDP协议向非路由地址(IANA)发送消息。
数据包No.13:
本地PC机(192.168.1.100)向DNS服务器(218.30.19.50)发送查询请求,要求解析域名。
数据包No.14:
DNS服务器返回请求,的ip地址为:
210.31.141.46。
经查,DNS服务器(218.30.19.50)在西安本地,而(210.31.141.46)在天津科技大学。
数据包No.21:
通过FTP协议,本地计算机与FTP服务器建立连接。
让人非常兴奋同时又非常沮丧的是:
Wireshark不仅抓到了登陆用户名和密码,而且还抓到了传送的文件信息。
如下图所示:
图五:
Wireshark抓取的用户名,密码和传送的文件信息。
Test2:
Koomail邮件客户端
现在来看看我们常常使用的邮件服务的安全性又如何。
首先,我们用网页方式登陆一个邮箱:
hasee126mail@,此时我们抓包如下:
图六:
以网页方式登陆邮箱时的部分数据包
DNS协议我们已经非常熟悉了,现在来看看TCP协议和TLS协议。
TCP协议是传输控制协议(TransmissionControlProtocol)。
它是一种面向连接的、可靠的、基于字节流的运输层(Transportlayer)通信协议。
在简化的计算机网络OSI模型中,它完成第四层传输层所指定的功能。
在因特网协议族(Internetprotocolsuite)中,TCP层是位于IP层之上,应用层之下的中间层。
TLS是安全传输层协议(TransportLayerSecurityProtocol),用于在两个通信应用程序之间提供保密性和数据完整性。
该协议由两层组成:
TLS记录协议(TLSRecord)和TLS握手协议(TLSHandshake)。
TLS的最大优势在于:
TLS独立于应用协议。
高层协议可以透明地分布在TLS协议上面。
由此可见,我们用网页方式登陆邮箱是比较安全的。
为什么我再三强调“用网页方式”呢?
请看下面的抓包:
图七:
用Koomail邮件客户端接收邮件时的部分数据包
现在又涉及到了POP协议,哎,网络协议真是层出不穷啊。
POP3是邮局协议的第3个版本(PostOfficeProtocol3),它是规定怎样将个人计算机连接到Internet的邮件服务器以及如何下载电子邮件的电子协议。
POP3允许用户从服务器上把邮件存储到本地主机上,同时删除保存在邮件服务器上的邮件。
显而易见地问题是:
Koomail邮件客户端在连接到邮件服务器时,被Wireshark抓取到了用户名和密码。
然而,更触目惊心的问题在下面:
图八:
TCPStream分析
看见了吧,在quoted-printable编码模式下,英文明文是可见的,还好中文明文是让人看不懂的。
现在我们用Koomail邮件客户端回复一封邮件,抓包如下:
图九:
用Koomail邮件客户端回复邮件时的部分抓包及数据分析
还是先来看看SMTP协议吧。
SMTP协议是简单邮件传输协议(SimpleMailTransferProtocol)。
它是一组用于由源地址到目的地址传送邮件的规则,由它来控制信件的中转方式。
通过SMTP协议所指定的服务器,我们就可以把E-mail寄到收信人的服务器上。
SMTP是一种提供可靠且有效电子邮件传输的协议,它是建模在FTP文件传输服务上的一种邮件服务。
再来看看我们从抓取的数据包中都获得了哪些信息。
发件人:
lycmip@
收件人:
hasee126mail@
发送时间:
2009/6/217:
58:
52星期二时区是+0800。
(好像是东八区吧)
邮件客户端:
KoomailV5.50
MIME(多功能邮件扩充服务)版本:
1.0
编码方式:
base64
看来信息是相当的丰富啊。
不过邮件内容经过编码了,而不是像上文中的明文那样。
综上所述,FTP、POP3和SMTP协议在安全性方面还有一定的不足之处。
我们的网络安全是如此的脆弱!
实例3:
看看小企鹅(QQ)每天都做了些什么
直接上图:
图十:
腾讯QQ登陆和使用时的部分数据包
这些协议我们都已经非常熟悉了,而且wireshark把qq所用到的相关协议都称作oicpprotocol。
经查,登陆时的服务器219.133.60.23和58.61.34.85都在深圳市——腾讯的大本营。
当我们进行聊天应用时,比如给重庆,成都的同学发送信息,信息还得先跑去深圳绕一圈。
搞不懂腾讯为什么不在每个城市都设立服务器。
实例4:
其实数据包是这个样子的
说了这么久,但数据包的结构是怎么样的呢?
谜底即将揭开,真相将大白于天下。
下面,我们随机抓取了一个数据包,看看它的结构。
图十一:
数据包的结构part1
我们可以获取如下信息:
到达时间:
2009年6月2日17:
22:
44
帧号(相对):
7
帧长度:
74字节
捕获帧长度:
74字节
包含协议:
TCP/IP
图十二:
数据包的结构part2
这应该是物理层的相关信息,包含了源端和目的端的物理地址。
图十三:
数据包的结构part3
这是IP协议,我们可以获取如下信息:
源地址:
121.32.173.112
目的地址:
192.168.1.100
版本号:
IPv4
头部长度:
20字节
区分服务域:
0x00
分段策略:
不分段
TTL:
117
传输协议:
TCP
头部校验和:
0x8ble(接收正确)
图十四:
数据包的结构part4
这是TCP协议,我们可以获取如下信息:
源端端口号:
38843
目的端端口号:
80
40字节
综上所述,数据包的结构是相当复杂的,值得我们深究。
5.实验总结
本次wireshark抓包实验,我一共分析了五个实例,包括:
计算机是如何在网络上注册的,FTP客户端的工作流程,邮件客户端的工作流程,腾讯QQ的工作流程,数据包的结构。
学习或加深学习了如下协议:
DHCP、ARP、SSDP、DNS、FTP、TCP、TLS、POP3和SMTP等。
诚然,每一个协议的提出都有它的必然性。
正如黑格尔所述:
凡是存在的,都是合理的。
正是有了各种各样协议的存在,人们的网络生活才会变得如此的丰富。
然而,学习一种协议是一件相当枯燥的事,这一点我已经深有体会,更不用说编写协议了。
所以我们在享受丰富多彩的网络生活的同时,不能忘记那些协议工作者,正所谓要“饮水思源”。
Wireshark是一款基于winpcap的抓包软件,它的界面是友好的,功能是强大的,上手是容易的,掌握是困难的。
通过近几天来的学习研究,我发现wireshark之于我们学生的主要功能便是帮助我们更好地学习和理解协议。
正如你知道西瓜是甜的,但只有当你吃过了西瓜,你才能体会到西瓜特有的味道。
而Wirkshark就给我们提供了吃西瓜所需的西瓜刀。
实验是理论联系实际的桥梁。
自古以来,古人就教导我们要“知行合一”。
只有通过实验,我们才能更好地理解知识,掌握知识,运用知识。
所以这次wireshark抓包实验让我受益匪浅!
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 实例 分析 实验