以太網(wǎng)MAC幀和IP幀分析

1、3.-G.,E.I|0In&,nilU|.1-.W.s/.P.UIBBB.i.UU以太網(wǎng)MAC幀的分析及IP數(shù)據(jù)報格式分析一、實驗原理：利用wireshark抓包工具，結(jié)合課本和課件，對MAC幀進行分析，詳細解釋幀的格式和各字段的意義及分析IP數(shù)據(jù)報格式1、MAC幀的格式MAC幀的幀頭包括三個字段。前兩個字段分別為6字節(jié)長的目的地址字段和源地址字段，目的地址字段包含目的MAC地址信息，源地址字段包含源MAC地址信息。第三個字段為2字節(jié)的類型字段，里面包含的信息用來標志上一層使用的是什么協(xié)議，以便接收端把收到的MAC幀的數(shù)據(jù)部分上交給上一層的這個協(xié)議。MAC幀的數(shù)據(jù)部分只有一個字段，其長度在46

2、到1500字節(jié)之間，包含的信息是網(wǎng)絡(luò)層傳下來的數(shù)據(jù)。MAC幀的幀尾也只有一個字段，為4字節(jié)長，包含的信息是幀校驗序列FCS(使用CRC校驗)。如圖1所示：圖12、IP數(shù)據(jù)報格式：TCP/IP協(xié)議定義了一個在因特網(wǎng)上傳輸?shù)陌?，稱為IP數(shù)據(jù)報(IPDatagram)。這是一個與硬件無關(guān)的虛擬包,由首部和數(shù)據(jù)兩部分組成，其格式如下圖2所示。首部的前一部分是固定長度，共20字節(jié)，是所有IP數(shù)據(jù)報必須具有的。在首部的固定部分的后面是一些可選字段，其長度是可變的。首部中的源地址和目的地址都是IP協(xié)議地址。版本號首黔服務(wù)類型數(shù)據(jù)報鐵度力6比特標示標志43比特片偏移上層協(xié)議首部校驗和32比特源IP地址32比特

3、號的廬地址選項如果有的話）數(shù)據(jù)IP#4數(shù)據(jù)報格式圖2二、基本步驟：一、利用惠州學院校園網(wǎng)內(nèi)的任意一臺主機，確定該主機能接入Internet網(wǎng)后，安裝wireshark抓包工具。二、打開抓包工具，開始抓包。三、打開IE瀏覽器，訪問惠州學院的網(wǎng)絡(luò)主頁。四、停止抓包。五、找出兩個不同類型字段值的MAC幀進行分析（如：類型字段為0X0800,上層協(xié)議為IP數(shù)據(jù)報，類型字段為0X0806,上層協(xié)議為ARP數(shù)據(jù)報）三、實驗分析：抓包信息如下圖：2.113Q&72.2B38S42.3D55S32.3716422.-4DZ773.G4SQS2.6BDD3637Z.aB5T123S2.Sa-M3335s.sa-

4、n&B聞口Z.BL29051-1b29051672.9H92&291571斗2915&522.923OM222.1796.150222.1796.165Afcatel-9S:clbSAbCSti?l-_9S：Clb5AtEitel-_9iF!：Clb5Akzatel-_QS!cl.bE222.ly.BS.LSB1LB.17.US.109222.17.SO.LIiBZ22.17.SO.15B6222.17.91515S1L9-.147.14*.!&9119.147.L4*.1&9222.17.91515S1L9-.1斗7.：1呻?yún)?11占專222.1796.1&5222.

5、1796.15BBroadcastBrosdcisstBrosdCEiiSt曰廠口mdum匚匚曰廠口匚222.iy.aG.15B119.117.14&.1G9119.17.L1Q.10922217.-96.15&1L9147.146.169222.17.-96.15S222：17.uacsackBeci-Lck-7L2Wn-iWhohas222.17.9&2047Tel222176.2Whohsag222,17.96.2127Tel22217s&.2Whoh曰弓222,17.96.22&7TelZ2217,6-.2Whhas223.17.OS.B47Tfil222.37.06.35-Whoha

6、s222.17.06.2317TqI22!.i7.DS.J3umett匚http5YNISeq-OWin-&SS3SLenhetpusdtcSYNIhACKjSeq=OAck=1WfcudcTt匚http|/k匚K)幻巴口=丄Ack=1Wln=&51TCF3segment口f口reiassismbledPEMJhttpuadtcACKeq=lAizkSTSWn=3POST/query2HTTP/Lt(appiction/octethttpauadtc矗匚1ct/口詁門)uadtcnhtt口尸IhJ*ACK巴口=&47Ack=35!httpauadtcI尸IN,.ACKI兮匕口=35弓Acic=

7、64l3.-G.,E.I|0In&,nilU|.1-.W.s/.P.UIBBB.i.UU葉Frame1111onwire(OSSblti=ip121d(O&Sbits)*Erherne匚IIrSrc.:Akzatel-_93.-c1!bS00;dO:SEiSB:c1LbS)rOar:Micro-St_Oe；a7:-17(-IOlGI.E&Cra-LaZs-IZ)一IncemetFrotacol,.弓匚：i日M-日口.丄甘.曰沖(iE3ea.ifi.丄I玉匚：232.17.9&.15B(223.17.9S.1SH)i*UserDatagramFrntocaiSrcPort:rdmi(SOOO),

8、OstPart:terabsse(-ADOO1)UUO3COL?0D2a0030-1061S*M374700dO959&clb5Q&0045QDOD6bOOoa-IOOD36113ddeb73C10bsdeIt6D*IF40DfbC1OO57cb73022F59DOSiSB50a6cb5500OODObdft7e69ff55SSc71、MAC幀分析:332.371M2Alcatel-_98：cl：b&BroadcastARPWhohas12?Tel222.17.%.254U740777卜才4QRrlhFRrnadrac.tARPWhnhacm17QATpII7Y)17Qfi州4田-Ethern

9、et11(Ere:Alcatel-98:cl：35(C0:d0:95:98:cl:b5)(Dst:Broaccast+Desthation:Broadcast+Source:Alcate-_9fl:cl:b5(00:d0:95:98:d.:b5)Type:ARP(0 x0BD6)Treier:OOOOOOOOOOOOOOOOOOOOOODOOOOOOOOOOOOO-AddressREmhtknPratocorecLest)Hardwarety阻EthernetOxOOOlPhrtocoltype:IP(OxOBOO)Hardwaresee:tPfiotocolsize:4Opcode:requ

10、est(0 x0001)Isgratutous:FalseSenderMACaddress:Alcatel-_98:cL:b5(00:d0:95:9&:cl:b5)SenderIPaddress:54(54)TargetMACaddress:00:00:00_00:00:&0(DO:00:00:00:00:DO)TargetIPaddress:12(12)OOOOffffffffffffOOdO9598clb0806000L.7D01DOB0006(M0001OOdO%98clb5de1160iem000000DO0000de1160d40000&0000000”川冊(odoonoaaftom

11、ooocoonoao由抓包信息可以知道這是一個廣播幀接收方(目的地址)為：ff：ff：ff：ff：ff：ff發(fā)送方(SenderMACaddress)的MAC地址是：OO:dO:95:98:cl:b5類型(Type)為0X806表示上層是一個ARP數(shù)據(jù)報發(fā)送方的IP地址(SenderIPaddress)是：54接收方的IP地址是：12由于本抓包沒有抓到類型(Type)字段為0X800的上層協(xié)議的IP數(shù)據(jù)報的幀但其含意基本和上述的MAC幀相同。2、IP數(shù)據(jù)報的分析：+Frame37:6&bytesonv/re(E28bit5)f66bytescaptured528bits)EthernetII,

12、Src:METD-St_t)9:a7:47(40:61:86:O9:a7:475rDst:AlcateL98:cl:b5(00:d0:95:98:cl:bS十Destination：Alcatel-_98：cl：b5(00:d0:95:58:cl:b5)十Source:Micro-St_&9:a7;47(40:&1:8S:09:a7:47)Type:IP(OxOSDO)-InternetProtocol,Src:2221796158(2221796158),Dst:119.147.146169(119.147.14616)Verson;斗Headerength:20bytes-Diffiere

13、ntiatedServiaesFeld:OxOO(DSCPOxDO:Defaut;ECTM:OxDD)TotalLengtti：52Identificatm:0 x3552(13650)4-Flags:0 x02(DontFragmentJFragmentoffset:Tnietolive;訊Protocol:TCP(&)-Headerchecksum:匚眄correctSou匚已port:uadtc(2767)Destinationport;http(00)|Streamndex:21SequenuEnumber:0(relativesequenoenumber)Headerlength:3

14、2bytes十Flags:0 x02(5YN)Wndawsize:65535-匚hecksum:OrSLlavaidationdsabledIOptions;12b/tes)3010OD343552400040O&be85ISaWaiiB77g3,45R.Yoncd=on=rfrYitiih70r?mnnrY；fwiann?。丄“由幀的內(nèi)容得：版本(Version)：占4位，指IP協(xié)議的版本，通信雙方的版本必須一致。其值為4說明用的的是IPV4版本協(xié)議。首部長度(HeaderLength):占4位其值為：20B區(qū)分服務(wù)(DifferentiatedServicesField)：占8位一般不用總

15、長度(TotalLength)：占16位，表示首部和數(shù)據(jù)之和為52個字節(jié)標識(Identification)：占16位，其值為0X3552(13650)表示這是發(fā)送第13560個IP數(shù)據(jù)標志(Flags)：占3位，其值為0 x02二進制表示為：010MF=0表示這已經(jīng)是若干數(shù)據(jù)報片中的最后一個。DF=1表示不能分片。片偏移(Fragmentoffset)：占13位其值是0由于標志和片偏移得這是一個沒有分片的IP數(shù)據(jù)報。生存時間(Timetolive):占8位表示數(shù)據(jù)報在網(wǎng)絡(luò)中的壽命(數(shù)據(jù)報每次在路由中轉(zhuǎn)發(fā)一次其值減一)其值為64表示可以在路由中轉(zhuǎn)發(fā)64次。協(xié)議(Protocol)：占8位其值為6表示此數(shù)據(jù)攜帶的數(shù)據(jù)是使用TCP協(xié)議首部檢驗和(Headerchecksum)：占16位這字段只檢驗數(shù)據(jù)報的首部，但不檢驗數(shù)據(jù)部分，為0 xbc85correct表明是正確的源地址(Source)：占32位58目的地址(Destinat