网络抓包分析
目录
一、应用层
二、传输层
三、网络层
四、数据链路层
五、总结
一、应用层
1.www.baidu.com
先更改ip为学号相关ip地址：192.168.0.33，并成功通过连通性检验，再打开wireshark选中wlan, 再打开浏览器输入网络地址https://www.baidu.com.
第5行的TLS协议是应用层的协议。
2.ftp：//10.5.1.5
214-216号包是tcp三次握手，建立连接，可见ftp是基于tcp的。217号包，服务器向客户端发送自己的相关信息，后面的状态码220表示服务准备就绪。218-231号包应该是登录的过程。(因为只有内网能登录该ftp，而内网ip无法更改，故仅此处使用分配ip)
二、传输层
1.TCP协议的连接管理（TCP的三次握手）
在wireshark中输入http过滤， 选中一条http记录，右键点击选中 追踪流 > tcp流。
第一次握手：
客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图：
第二次握手：
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的ISN加1以.即0+1=1, 如下图
第三次握手：
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图
HTTP：
紧接着是一次Http请求，说明Http的确是使用Tcp建立连接的。 PUSH置1，ACK置1，PUSH置1说明开始发送数据，同时发送数据ACK要置1，因为需要接收到这个数据包的端给予确认。PUSH为1的情况，一般只出现在 DATA内容不为0的包中，也就是说PSH为1表示的是有真正的TCP数据包内容被传递。
2.UDP协议
UDP报文格式
|
16位源端口（62906） |
16位目的端口（53） |
|
16位UDP长度（42） |
16位UDP校验和 |
由下图可知：源地址：192.168.0.33 目的地址：182.232.98.208
源端口：59247 目的端口：8000
长度：434 校验和：11100000 11100010
三、网络层
1.IP报文
IP报文格式
|
版本号 |
头部长度 |
8位服务类型 |
16位总长度 |
|
|
16位标识字段 |
标志 |
13位片偏移 |
||
|
8位生存时间 |
8位协议 |
16位头部校验和 |
||
|
32位源IP地址 |
||||
|
32位目的IP地址 |
||||
|
IP选项 |
||||
|
数据 |
||||
版本号：0100 头部长度：0101 8位服务类型：00000000
标志：00000001 01001011 8位协议：00000110 16位头部校验和：00100101 10011111
32位源IP地址：192.168.0.33 32位目的IP地址：123.125.80.93
16位总长度：由于该字段长为16比特，所以IP数据报最长为65535字节。此报文长度为448。
16位标识字段：唯一标识每一份数据包，每发一份报文它的值加1，IP把MTU与数据包的长度进行比较，若需要则进行分片。本报为10001010 01101111。
13位片偏移：指该片偏移原始数据包开始的位置。此包片偏移为0。
生存时间：设置了数据报可以经过的最多路由器数量。此报生存时间为291。
3.ARP报文
ARP报文格式
由上图分析可知：目的地址为00101000 11110011 01100110 10011001 10111000 01101100；
源地址：10100000 01010111 11100011 01000001 00001010 10011100
硬件类型是以太网。协议类型为0x0800，表示使用ARP的协议类型为IPV4。硬件地址长度为6。协议地址长度为4，操作类型为1，表示报文类型为ARP请求。发送方硬件地址为a0:57:e3：41：0a:9c，定义了发送方的硬件地址。发送方协议地址为192.168.0.1，定义发送方的协议地址。目的硬件地址为00:00:00:00:00:00，表示是广播地址。目的协议地址为192.168.0.33，定义目的设备的协议地址
四、数据链路层
- MAC帧格式
2.MAC地址分析
类型字段 （2个字节）：用来标志上一层使用的是什么协议，以便把收到的MAC帧的数据上交给上一层的这个协议
数据字段 （46-1500）：正式名称是MAC客户数据字段最小长度64 字节-18字节的首部和尾部 = 数据字段的最小长度
FCS字段 （4 字节）：当数据字段的长度小于 46 字节时，应在数据字段的后面加入整数字节的填充字段，以保证以太网的MAC帧长不小于64 字节
在帧的前面插入的 8 字节中的第一个字段共 7 个字节，是前同步码，用来迅速实现 MAC帧的比特同步。第二个字段是帧开始定界符，表示后面的信息就是MAC帧
MAC地址分析
Mac源地址为Shenzhen_99:b8:6c(2b:f3:66:99:b8:6c)
目的mac地址；HuaweiTe_41:0a:9c(a0:57:e3:41:0a:9c)
五、总结
在刚开始做抓包分析时，我是十分迷茫的，不知道具体要怎么做，要做什么，甚至软件如何使用都不懂。于是，我开始在网上找视频，开始学如何用wireshark。接着按着应用层、传输层、网络层、数链层逐步回顾知识，上网查找相关资料等来解读抓取的数据包的信息，再结合所学知识来完成这篇分析报告。期间，在做访问ftp时，因为无法使用外网登录ftp，在这两部分使用了以太网进行抓包。在这过程中我更深入的理解了所学的这些协议的作用和含义，对这学期所学的IP基础有了一个初步的链接意识，同时也初步学会使用wireshark这个功能强大的软件。
