利用Wireshark截取ICMP數(shù)據(jù)包，并對(duì)數(shù)據(jù)包進(jìn)行解析

Wireshark(網(wǎng)絡(luò)過濾抓包) v3.3.3 免費(fèi)安裝中文版(附使用教程)

• 類型：網(wǎng)絡(luò)監(jiān)測(cè)
• 大小：112MB
• 語(yǔ)言：簡(jiǎn)體中文
• 時(shí)間：2020-09-18

查看詳情

解壓文件之后，在\wireshark-win32-1.4.9中文版\文件夾中找到安裝文件，雙擊即可安裝。

安裝完成之后，雙擊wireshark圖標(biāo)即可啟動(dòng)，界面如下：

抓包步驟：

1、點(diǎn)擊開始按鈕列出可以抓包的接口：

2、點(diǎn)擊選項(xiàng)可以配置抓包參數(shù)：

3、配置完成點(diǎn)擊開始，即可開始抓包：

4、點(diǎn)擊停止完成抓包。

抓包界面分析：

抓包結(jié)果整個(gè)窗口被分成三部分：

1、最上面為數(shù)據(jù)包列表，用來顯示截獲的每個(gè)數(shù)據(jù)包的總結(jié)性信息；

2、中間為協(xié)議樹，用來顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；

3、最下邊是以十六進(jìn)制形式表示的數(shù)據(jù)包內(nèi)容，用來顯示數(shù)據(jù)包在物理層上傳輸時(shí)的最終形式。

數(shù)據(jù)包列表中，第一列是編號(hào)（如第1個(gè)包），第二列是截取時(shí)間（0.000000），第三列source是源地址（115.155.39.93），第四列destination是目的地址（115.155.39.112），第五列protocol是這個(gè)包使用的協(xié)議（這里是UDP協(xié)議），第六列info是一些其它的信息，包括源端口號(hào)和目的端口號(hào)（源端口：58459，目的端口：54062）。

協(xié)議樹可以得到被截獲數(shù)據(jù)包的更多信息，如主機(jī)的MAC地址（Ethernet II）、IP地址（Internet
protocol）、UDP端口號(hào)（user datagram protocol）以及UDP協(xié)議的具體內(nèi)容（data）。

分析ICMP協(xié)議數(shù)據(jù)包

實(shí)驗(yàn)原理： 
ping是用來測(cè)試網(wǎng)絡(luò)連通性的命令，一旦發(fā)出ping命令，主機(jī)會(huì)發(fā)出連續(xù)的測(cè)試數(shù)據(jù)包到網(wǎng)絡(luò)中，在通常的情況下，主機(jī)會(huì)收到回應(yīng)數(shù)據(jù)包，ping采用的是ICMP協(xié)議。

實(shí)驗(yàn)步驟：

點(diǎn)擊開始抓包,為了抓取使用ICMP的包，我們要設(shè)置過濾條件，點(diǎn)擊“選項(xiàng)”：

再點(diǎn)擊“抓包過濾”按鈕：

因此初始狀態(tài)下沒有只抓取ICMP協(xié)議包的過濾條件，因此我們點(diǎn)擊新建按鈕：

在過濾名字和過濾條件中分別輸入“ICMP only”（自定義），“icmp”,點(diǎn)擊確定：

這是可以看到抓包過濾按鈕后面的文本框出現(xiàn)了ICMP字樣，說明過濾條件設(shè)置成功：

點(diǎn)擊開始，發(fā)現(xiàn)現(xiàn)在抓取不到任何包：

打開命令行窗口，執(zhí)行命令：ping www.baidu.com:

這時(shí)可以看到數(shù)據(jù)包抓取頁(yè)面抓取到了8包，與命令行顯示的已發(fā)送和已接受的包的數(shù)量是一致的：

選擇任意一個(gè)包查看詳細(xì)信息：

可以看到ICMP報(bào)文的格式為：

在這個(gè)試驗(yàn)中，可以發(fā)現(xiàn)，icmp的報(bào)文就只有兩種，請(qǐng)求和應(yīng)答：

請(qǐng)求：

應(yīng)答：

這兩個(gè)報(bào)文的type不一樣，8代表請(qǐng)求，0代表應(yīng)答；code都為0，表示為回顯應(yīng)答；標(biāo)示符和序列號(hào)都是一樣的，表示這兩個(gè)報(bào)文是配對(duì)的

TCP

協(xié)議，所以此次實(shí)驗(yàn)選取

FTP

DHCP數(shù)據(jù)包分析           

使用DHCP獲取IP地址：

（1）打開命令窗口,啟動(dòng)Wireshark。 

（2）輸入“ipconfig  /release”。這條命令會(huì)釋放主機(jī)目前的IP地址，此時(shí)，主機(jī)IP地址會(huì)變?yōu)?.0.0.0 

（3）然后輸入“ipconfig  /renew”命令。這條命令讓主機(jī)獲得一個(gè)網(wǎng)絡(luò)配置，包括新的IP地址。 

（4）等待，直到“ipconfig  /renew”終止。然后再次輸入“ipconfig  /renew” 命令。 

（5）當(dāng)?shù)诙€(gè)命令“ipconfig  /renew” 終止時(shí)，輸入命令“ipconfig /release” 釋放原來的已經(jīng)分配的IP地址 

（6）停止分組俘獲。如下圖：

五．實(shí)驗(yàn)分析

由截圖可知，本機(jī)發(fā)起DHCP Discover包，用來尋找DHCP服務(wù)器，源ip是0.0.0.0，因?yàn)閯傞_始還不知道，目的地址是255.255.255.255的廣播地址，廣播到整個(gè)網(wǎng)段。

Message type為1表明是請(qǐng)求包，由客戶端發(fā)出。

Hardware address length為6表示本機(jī)的網(wǎng)絡(luò)硬件地址長(zhǎng)度為6bytes

Hops為0表示跳數(shù)，此處為0 表示沒有經(jīng)過網(wǎng)關(guān)。

此字段表示DHCP報(bào)文類型：

此字段表示DHCP客戶端的報(bào)文類型。

這是UDP上的DHCP，本機(jī)發(fā)起的端口是68，目標(biāo)端口是67.

2.提供

DHCP服務(wù)器收到客戶端發(fā)的DHCP Discover之后，會(huì)在自己的地址池中拿出一個(gè)沒有分配的地址以及配套的參數(shù)（如：掩碼、DNS、網(wǎng)關(guān)、域名、租期……），然后以一個(gè)DHCP Offer包發(fā)送出去。

此時(shí)源IP是DHCP服務(wù)器的IP，目的IP是255.255.255.255的廣播。這時(shí)候本機(jī)還無(wú)法獲得IP，所以DHCP服務(wù)器只能用廣播來回應(yīng)。

此截圖表明通過UDP傳輸，客戶端端口號(hào)68，服務(wù)器是67。

Message type為2表明是回復(fù)包。

Hops為1不標(biāo)明經(jīng)過了一個(gè)中繼。

表明給客戶端的IP地址，但是現(xiàn)在還沒有確認(rèn)。

這是中斷的地址，就是網(wǎng)關(guān)

DHCP服務(wù)器地址

3.選擇

客戶端收到這個(gè)DHCP Offer后，會(huì)再發(fā)出一個(gè)DHCP Request給服務(wù)器來申請(qǐng)這個(gè)Offer中包含的地址。
這個(gè)時(shí)候，客戶端還沒有正式拿到地址，所以還需要向DHCP服務(wù)器申請(qǐng)。

此時(shí)客戶端的源IP還是0.0.0.0，目的IP還是255.255.255.255。

將這些都廣播出去，告訴其他DHCP服務(wù)器和分配給本機(jī)的服務(wù)器。

4.確認(rèn)

被客戶機(jī)選擇的DHCP服務(wù)器在收到DHCPREQUEST廣播后，會(huì)廣播返回給客戶機(jī)一個(gè)DHCPACK消息包，表明已經(jīng)接受客戶機(jī)的選擇，并將這一IP地址的合法租用以及其他的配置信息都放入該廣播包發(fā)給客戶機(jī)。

服務(wù)， 

本次抓包過程將采用顯示過濾器的方法來過濾數(shù)據(jù)包。

最新評(píng)論