實驗二++網(wǎng)絡(luò)流量捕獲與網(wǎng)絡(luò)設(shè)備模擬器實驗

1、實驗二 網(wǎng)絡(luò)流量捕獲與網(wǎng)絡(luò)設(shè)備模擬器實驗一、實驗?zāi)康?、掌握網(wǎng)絡(luò)流量捕獲軟件Wireshark的基本使用方法2、掌握使用Wireshark捕獲網(wǎng)絡(luò)數(shù)據(jù)、分析協(xié)議數(shù)據(jù)封裝格式3、掌握CISCO 網(wǎng)絡(luò)模擬器Packet tracer 的基本使用方法。二、實驗屬性驗證性實驗三、實驗儀器設(shè)備及器材具備Windows操作系統(tǒng)的PC機(jī)、安裝Wireshark和Packet tracer軟件。四、實驗要求1、預(yù)習(xí)報告中需解決以下問題：windows環(huán)境下常用的網(wǎng)絡(luò)命令。2、使用網(wǎng)絡(luò)命令或使用相應(yīng)應(yīng)用軟件產(chǎn)生被捕獲數(shù)據(jù)并分析協(xié)議數(shù)據(jù)內(nèi)容。3、按規(guī)定要求寫出實驗報告。五、實驗預(yù)備知識(一) windows環(huán)境下

2、常用的網(wǎng)絡(luò)命令介紹（1）IP地址與以太網(wǎng)卡硬件地址查看命令:ipconfig（2）網(wǎng)絡(luò)連接測試命令：ping（3）地址解析命令：ARP（4）文件傳輸命令:FTP（5）顯示協(xié)議及其端口信息和當(dāng)前的 TCP/IP 網(wǎng)絡(luò)連接：Netstat（6）路由跟蹤命令： Tracert（7）遠(yuǎn)程登錄命令：Telnet（1）ipconfig 命令I(lǐng)pconfig命令應(yīng)該是最最基礎(chǔ)的命令了，主要功能就是顯示用戶所在主機(jī)內(nèi)部的IP協(xié)議的配置信息等資料。 它的主要參數(shù)有： 1、all：顯示與TCP/IP協(xié)議相關(guān)的所有細(xì)節(jié)信息，其中包括測試的主機(jī)名、IP地址、子網(wǎng)掩碼、節(jié)點類型、是否啟用IP路由、網(wǎng)卡的物理地址、默認(rèn)網(wǎng)

3、關(guān)等。 2、renew all：更新全部適配器的通信配置情況，所有測試重新開始。 3、release all：釋放全部適配器的通信配置情況。 4、renew n：更新第n號適配器的通信配置情況，所有測試重新開始。 例如： C:>ipconfig ，顯示如下 Windows IP Configuration Ethernet adapter 本地連接: Connection-specific DNS Suffix . : IP Address. . . . . . . . . . . . : 4 Subnet Mask . . . . . . . . . . . :

4、 Default Gateway . . . . . . . . . : （2）ping命令PING命令是一個在網(wǎng)絡(luò)中非常重要的并且常用的命令，主要是用來測試網(wǎng)絡(luò)是否連通。該命令通過發(fā)送一個ICMP（網(wǎng)絡(luò)控制消息協(xié)議）包的回應(yīng)來看是否和對方連通，一般我們用來測試目標(biāo)主機(jī)是否可以連接，或者可以通過TTL值來判斷對方的操作系統(tǒng)的版本。 常用參數(shù)說明：-a -t -r使用舉例：Ping 計算機(jī)名 ping wangluo21 /獲取計算機(jī)IPPing IP地址 ping -a 6 /獲取計算機(jī)名Ping 域名 ping 比如你想

5、測試你和IP地址為的機(jī)器是否連通，那么就可以使用這個命令：ping ，那么如果連通就會有如下返回： C:>ping Pinging with 32 bytes of data: Reply from : bytes=32 time<1ms TTL=128 。Ping statistics for : Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip

6、 times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms 如果不連通的話，就會返回超時： Pinging with 32 bytes of data: Request timed out. 。. Ping statistics for : Packets: Sent = 4, Received = 0, Lost = 4 (100% loss), 那么就證明你和該計算機(jī)的網(wǎng)絡(luò)不通，也許是對方?jīng)]有上網(wǎng)，或者裝了防火墻。在局域網(wǎng)中，如果是同一個工作組的機(jī)器，你可以通過pin

7、g對方的機(jī)器名稱獲得對方的IP地址，參數(shù)：-t可以不間斷的向一個機(jī)器發(fā)送包-l 包大小參數(shù)還能設(shè)定發(fā)送包的最大值，這樣差不多句有了DoS的功能了，也就是在黑客技術(shù)中的洪水攻擊，最大值為65500。如： C:>ping -t -l 65500 因為加了-t參數(shù)，ping命令本身是不會停止的，于是我們就可以使用Ctrl + C來終止該命令。ping命令還有一些別的參數(shù)，請自己參考幫助。（3）Arp命令顯示和修改“地址解析協(xié)議”(ARP) 所使用的到以太網(wǎng)的 IP 或令牌環(huán)物理地址翻譯表。該命令只有在安裝了 TCP/IP 協(xié)議之后才可用。arp -a inet_addr

8、 -N if_addrarp -d inet_addr if_addrarp -s inet_addr ether_addr if_addr參數(shù)：-a（或g）：通過詢問 TCP/IP 顯示當(dāng)前 ARP 項。如果指定了 inet_addr，則只顯示指定計算機(jī)的 IP 和物理地址。inet_addr：以加點的十進(jìn)制標(biāo)記指定 IP 地址。-N：顯示由 if_addr 指定的網(wǎng)絡(luò)界面 ARP 項。if_addr：指定需要修改其地址轉(zhuǎn)換表接口的 IP 地址（如果有的話）。如果不存在，將使用第一個可適用的接口。 -d：刪除由 inet_addr 指定的項。-s：在 ARP 緩存中添加項，將 IP 地址 i

9、net_addr 和物理地址 ether_addr 關(guān)聯(lián)。物理地址由以連字符分隔的 6 個十六進(jìn)制字節(jié)給定。使用帶點的十進(jìn)制標(biāo)記指定 IP 地址。項是永久性的，即在超時到期后項自動從緩存刪除。ether_addr：指定物理地址。（4）FTP命令 FTP命令是一個文件傳輸?shù)拿?，該命令可以在兩臺互聯(lián)的機(jī)器之間傳送文件，這跟我們常用的FTP軟件是一樣的，但是我們的軟件一般都是GUI(可視)界面的，但它是命令類型的。 格式如下：ftp -v -n -i -d -g -s:filename -a -w:windowsize computer參數(shù)解釋-v：禁止顯示遠(yuǎn)程服務(wù)器響應(yīng)。-n：禁止自動登錄到初始

10、連接。-i：多個文件傳送時關(guān)閉交互提示。-d：啟用調(diào)試、顯示在客戶端和服務(wù)器之間傳遞的所有 ftp 命令。-g：禁用文件名組，它允許在本地文件和路徑名中使用通配符字符（* 和 ?）。-s: filename：指定包含 ftp 命令的文本文件；當(dāng) ftp 啟動后，這些命令將自動運行。該參數(shù)中不允許有空格。使用該開關(guān)而不是重定向 (> )。-a：在捆綁數(shù)據(jù)連接時使用任何本地接口。-w:windowsize：替代默認(rèn)大小為 4096 的傳送緩沖區(qū)。Computer：指定要連接到遠(yuǎn)程計算機(jī)的計算機(jī)名或 IP 地址。如果指定，計算機(jī)必須是行的最后一個參數(shù)。 FTP命令主要是在網(wǎng)上進(jìn)行文件的傳輸，它

11、的子命令非常多，我們挑一些主要的來講。 一般在命令提示符下輸入FTP后，就打開如下界面： C:>ftp ftp> 那么我們輸入的命令都是在"ftp>"后面的，也就是說我們輸入ftp命令后，那么我們就進(jìn)入了FTP的平臺，所有的操作都是基于FTP上的。假如我們要打開一臺網(wǎng)絡(luò)上已經(jīng)開了FTP服務(wù)的服務(wù)器，那么我們就可以登陸到該服務(wù)器,然后上傳/下載文件,有時候我們的權(quán)限是只能下載,那么我們就不能上傳,這具體要看你有的權(quán)限。 假如我們要打開一個FTP服務(wù)器,那么我們就可以在FTP平臺下輸入： open 主機(jī)IP 端口 例如：ftp>open 192.168.

12、0.39 21，那么就會顯示下面的效果： C:>ftp ftp> open 9 Connected to 9. 220 Serv-U FTP Server v4.2 for WinSock ready. User (9none): 到這里就需要我們輸入用戶名，如果是對方的服務(wù)器是支持匿名的，那么我們就可以輸入像ftp之類的用戶，如： User (9none): ftp 331 User name okay, please send complete E-mail address as passw

13、ord. Password: 密碼也是輸入ftp，那么就會顯示登陸成功，如下： Password: * 230-(歡迎你來到FTP9服務(wù)器!） 230 User logged in, proceed. ftp> 顯示230就代表代表登陸成功，如果顯示別的，比如530，那么就是用戶名或密碼錯誤，登陸失敗。 登陸后就可以使用一些命令，包括上傳/下載，執(zhí)行外部命令等。要獲得FTP的所有命令，可以鍵入help命令，它所有命令列表如下：ftp> help 我們把常用的命令解釋一下： 1!：執(zhí)行一個非FTP平臺下的外部命令，如：!cls，那么將清除屏幕。 2delete：

14、刪除一個文件，比如在你的當(dāng)前FTP根目錄下有一個dir1.txt的文件，你需要刪除它，就輸入 delete dir1.txt。 3ls：列出現(xiàn)在有的文件列表，該命令是Unix/Linux下的一個命令，主要是列出該目錄下的文件，而不管文件夾 4put：從本地計算機(jī)上傳一個文件到FTP服務(wù)器上，例如：put cmd.exe，那么就會把當(dāng)前目錄下有的cmd.exe傳的FTP服務(wù)器5上的當(dāng)前目錄,該命令是最常用的。 6ascii：該命令可以使上傳的文件是按照ASCII碼來傳輸?shù)摹?7get：該命令也比較常用，也是把對方FTP服務(wù)器上的文件下載到自己的當(dāng)前目錄。如：get cmd.exe，就會把FTP服

15、務(wù)器上的 8cmd.exe文件下載到當(dāng)前目錄。 9mdelete/rmdir：刪除一個目錄/文件夾,比如：mdelete a ，那么該文件夾將被刪除。 10pwd：顯示當(dāng)前所處在FTP的那個目錄下，相當(dāng)于顯示當(dāng)前路徑。例如： ftp> pwd 257 "/SOFTWARE/safe_tools" is current directory. 11quit/bye：結(jié)束當(dāng)前的FTP連接，并且退出FTP。 12type：設(shè)定文件傳輸類型，類型有： ascii | binary | image | tenex ,如果你是傳文本文件之類的就使用ascii碼，如果是應(yīng)用程序的話，

16、就使用binary，如果是圖片就使用image。FTP默認(rèn)的是ascii碼，如果你要傳應(yīng)用程序，就要使用binary。例如我們要上傳一個lk.exe的文件，那么我們先設(shè)置傳輸模式為binary，然后再上傳,如： ftp> type binary （ 200 Type set to I. ） ftp> put lk.exe （200 PORT Command successful. ）13mget：同時下載多個文件。 14mput：同時上傳多個文件。 15user：向遠(yuǎn)程主機(jī)器表示自己的身份，如： ftp> user Username: ftp 331 User name ok

17、ay, please send complete E-mail address as password. Password: * 230 User logged in, proceed. 16cd：切換目錄，進(jìn)入一個目錄使用cd 目錄,退到上一個層目錄使用cd .（注意中間有一個空格)，該命令比較常用。 17help/?：顯示幫助，主要是顯示在FTP下可以用的命令。 18rename：重命名，給文件重新命名。 19close：關(guān)閉當(dāng)前的FTP連接，但是不退出FTP，和quit/bye命令不一樣。如： ftp> clos 221 Goodbye! 20open 打開一個FTP連接。如： f

18、tp> open 9 Connected to 9. 220 Serv-U FTP Server v4.2 for WinSock ready. User (9none): FTP中比較常用的命令就這些，當(dāng)然還設(shè)計一些別的命令，而且也要因不同的FTP服務(wù)器支持的命令不一樣而定，所以如果碰到實際應(yīng)用中不同，請參考相關(guān)的資料。（5）Netstat顯示協(xié)議統(tǒng)計和當(dāng)前的 TCP/IP 網(wǎng)絡(luò)連接。該命令只有在安裝了 TCP/IP 協(xié)議后才可以使用。netstat -a -e -n -s -p protocol -r interval

19、參數(shù)說明：-a：顯示所有連接和偵聽端口。服務(wù)器連接通常不顯示。-e：顯示以太網(wǎng)統(tǒng)計。該參數(shù)可以與 -s 選項結(jié)合使用。-n：以數(shù)字格式顯示地址和端口號（而不是嘗試查找名稱）。-s：顯示每個協(xié)議的統(tǒng)計。默認(rèn)情況下，顯示 TCP、UDP、ICMP 和 IP 的統(tǒng)計。-p ：選項可以用來指定默認(rèn)的子集。 -p protocol：顯示由 protocol 指定的協(xié)議的連接；protocol 可以是 tcp 或 udp。如果與 -s 選項一同使用顯示每個協(xié)議的統(tǒng)計，protocol 可以是 tcp、udp、icmp 或 ip。-r：顯示路由表的內(nèi)容。Interval：重新顯示所選的統(tǒng)計，在每次顯示之間暫

20、停 interval 秒。按 CTRL+B 停止重新顯示統(tǒng)計。如果省略該參數(shù)，netstat 將打印一次當(dāng)前的配置信息。（6）Tracert命令tracert命令主要用來顯示數(shù)據(jù)包到達(dá)目的主機(jī)所經(jīng)過的路徑，顯示數(shù)據(jù)包經(jīng)過的中繼節(jié)點清單和到達(dá)時間。該命令的使用格式：tracert 主機(jī)IP地址或主機(jī)名該診斷實用程序?qū)煌鏁r間 (TTL) 值的 Internet 控制消息協(xié)議 (ICMP) 回顯數(shù)據(jù)包發(fā)送到目標(biāo)，以決定到達(dá)目標(biāo)采用的路由。要在轉(zhuǎn)發(fā)數(shù)據(jù)包上的 TTL 之前至少遞減 1，必需路徑上的每個路由器，所以 TTL 是有效的躍點計數(shù)。數(shù)據(jù)包上的 TTL 到達(dá) 0 時，路由器應(yīng)該將“IC

21、MP 已超時”的消息發(fā)送回源系統(tǒng)。Tracert 先發(fā)送 TTL 為 1 的回顯數(shù)據(jù)包,并在隨后的每次發(fā)送過程將 TTL 遞增 1，直到目標(biāo)響應(yīng)或 TTL 達(dá)到最大值，從而確定路由。路由通過檢查中級路由器發(fā)送回的“ICMP 已超時”的消息來確定路由。不過，有些路由器悄悄地下傳包含過期 TTL 值的數(shù)據(jù)包，而 tracert 看不到。tracert -d -h maximum_hops -j computer-list -w timeout target_name/d：指定不將地址解析為計算機(jī)名。-h maximum_hops：指定搜索目標(biāo)的最大躍點數(shù)。-j computer-list：指定沿

22、computer-list 的稀疏源路由。-w timeout：每次應(yīng)答等待 timeout 指定的微秒數(shù)。target_name：目標(biāo)計算機(jī)的名稱。執(zhí)行結(jié)果返回數(shù)據(jù)包到達(dá)目的主機(jī)前所歷的中斷站清單，并顯示到達(dá)每個繼站的時間。該功能同ping命令類似，但它所看到的信息要比ping命令詳細(xì)得多，它把你送出的到某一站點的請求包，所走的全部路由均告訴你，并且告訴你通過該路由的IP是多少，通過該IP的時延是多少。 該命令參數(shù)有： -d：不解析目標(biāo)主機(jī)的名稱 -h： maximum_hops 指定搜索到目標(biāo)地址的最大跳躍數(shù) -j：host_list 按照主機(jī)列表中的地址釋放源路由 -w：timeout

23、指定超時時間間隔，程序默認(rèn)的時間單位是毫秒 使用tracert命令可以很好的連接和目標(biāo)主機(jī)的連接通道，一般為下一不的入侵或者測試獲得詳細(xì)的網(wǎng)絡(luò)信息打好基礎(chǔ)，例如中途經(jīng)過多少次信息中轉(zhuǎn)，每次經(jīng)過一個中轉(zhuǎn)站時花費了多長時間。通過這些時間，我們可以很方便地查出用戶主機(jī)與目標(biāo)網(wǎng)站之間的線路到底是在什么地方出了故障等情況。如果我們在tracert命令后面加上一些參數(shù)，還可以檢測到其他更詳細(xì)的信息。例如使用參數(shù)d，可以指定程序在跟蹤主機(jī)的路徑信息時，同時也解析目標(biāo)主機(jī)的域名。 我們簡單的使用該命令來測試到達(dá)的時間和經(jīng)過的IP地址： C:>tracert Tracing route to 202.10

24、8.250.228 over a maximum of 30 hops: 1 <1 ms <1 ms <1 ms 2 1 ms <1 ms 1 ms 3 * 5 ms 3 ms 53 4 3 ms 3 ms 3 ms 6 5 3 ms 9 ms 4 ms 13 6 6 ms 5 ms 7 ms 28 Trace complete. 看信息我們知道我們通過了6個IP節(jié)點和使用的時間。第一個一般是我們的機(jī)器是從該IP出去的，第二個

25、開始就是經(jīng)過的路由，最后一個當(dāng)然就是我們的目的地了。在入侵中，如果你肯對這些地址層曾追查的話，一定會有大收獲啦。（7）Telnet命令Telnet命令是一個遠(yuǎn)程登陸的命令，就可以通過這個命令來遠(yuǎn)程登陸網(wǎng)絡(luò)上已經(jīng)開發(fā)了遠(yuǎn)程終端功能的服務(wù)器，來達(dá)到像本地計算機(jī)管理遠(yuǎn)程計算機(jī)。 該命令格式：telnet 遠(yuǎn)程主機(jī)IP 端口例如:telnet 23 如果我們不輸入端口,則默認(rèn)為23端口。一般登陸后，對方遠(yuǎn)程終端服務(wù)就會要求你輸入用戶名和密碼，正確就讓你登陸。 一般出現(xiàn)如下消息： Welcome to Microsoft Telnet Service login: root pa

26、ssword: * 如果登陸成功后將出現(xiàn)如下信息： *= Welcome to Microsoft Telnet Server. *= C:Documents and Settingsroot> 這就表示已經(jīng)telnet到了對方的系統(tǒng)，就可以做在你用戶權(quán)限內(nèi)的所有操作。 (二) Wireshark軟件介紹與應(yīng)用案例下載、安裝Wireshark設(shè)用戶計算機(jī)的網(wǎng)卡（以太網(wǎng)適配器）本地連接配置如下: 物理地址. . . . . . . . . . . . . : 74-D4-35-79-68-65 DHCP 已啟用 . . . . . . . . . . . : 是 自動配置已啟用. . .

27、. . . . . . . : 是 本地鏈接 IPv6 地址. . . . . . . . : fe80:d843:50ba:8a23:5524%11(首選) IPv4 地址 . . . . . . . . . . . . : (首選) 子網(wǎng)掩碼 . . . . . . . . . . . . : 獲得租約的時間 . . . . . . . . . : 2014年12月3日 14:50:51 租約過期的時間 . . . . . . . . . : 2014年12月3日 22:50:51 默認(rèn)網(wǎng)關(guān). . . . . . . . . . . . . :

28、54 DHCP 服務(wù)器 . . . . . . . . . . . : 75 DHCPv6 IAID . . . . . . . . . . . : 242537525 DHCPv6 客戶端 DUID . . . . . . . : 00-01-00-01-1B-CF-E0-67-74-D4-35-79-68-65 DNS 服務(wù)器 . . . . . . . . . . . : 6 30 TCPIP 上的 NetBIOS . . . . . . . : 已啟用Wireshark啟動后，如圖所示：抓包步驟：

29、1） 點擊Capture菜單，選Interfaces項。2）3） 打開如下圖所示窗口。4）5）6） 選擇要抓包的接口右邊的Start按鈕，本例選擇了抓取IP地址為的接口。點擊Start按鈕后將啟動抓包過程。注意：為配合抓包，需要進(jìn)行網(wǎng)絡(luò)通信。1） 要抓ARP分組的包、ICMP報文的包、UDP數(shù)據(jù)報，可以在CMD窗口中，使用命令A(yù)RP -D刪除當(dāng)前ARP緩存，使用PING命令PING某臺主機(jī)IP地址。使用TRACERT命令跟蹤分組從源點到終點的路徑（如下圖）。2）要抓取TCP報文段，需打開IE瀏覽器，訪問一個WWW網(wǎng)站（例如）。將窗口切換到Wireshark，可以看到抓到了TCP

30、、UDP、ICMP、ARP的包，如下圖所示。下面分析所用到的包，其抓包的環(huán)境是：1） 實驗計算機(jī)所安裝操作系統(tǒng)為Windows 7(2)在CMD窗口運行“ARP D”命令刪除ARP緩存，用以抓取ARP分組;(3)在CMD窗口運行“PING 54”，用以抓取ICMP報文；(4)在CMD窗口運行“TRACERT 54”，用以抓取UDP數(shù)據(jù)報和ICMP報文；(5)在瀏覽器窗口打開HTTP:/WWW.BAIDU.COM網(wǎng)站，用以抓取TCP報文段。點擊Stop按鈕完成抓包。如下圖所示。(三) Packet Tracer軟件使用介紹Packet Tracer是與新版CCNA Discovery和CCNA Exploration并行發(fā)布的一個網(wǎng)絡(luò)模擬器。PT提供可視化、可交互的用戶圖形界面，來模擬各種網(wǎng)絡(luò)設(shè)備及其網(wǎng)絡(luò)處理過程，使得實驗更直觀、更靈活、更方便。PT提供兩個工作區(qū)：邏輯工作區(qū)（Logical）與物理工作區(qū)（Physical）。n 邏輯工作區(qū)：主要工作區(qū)，在該區(qū)域里面完成網(wǎng)絡(luò)設(shè)備的邏輯連接及配置。n 物理