网络协议分析仪

1

实验一以太网链路层帧格式分析

一．实验目的

分析MAC层帧结构

二．实验内容及步骤

步骤一：运行ipconfig命令

在Windows的命令提示符界面中输入命令：ipconfig/all，会显示本机的网络

信息：

步骤二：编辑LLC信息帧并发送

1、打开协议数据发生器，在工具栏选择“添加”，会弹出“网络包模版”的对话框，

在“选择生成的网络包”下拉列表中选择“LLC协议模版”，建立一个LLC帧。

2

2、在“网络包模版”对话框中点击“确定”按钮后，会出现新建立的数据帧，此时

在协议数据发生器的各部分会显示出该帧的信息。

3、编辑LLC帧。

4、点击工具栏或菜单栏中的“发送”，在弹出的“发送数据包”对话框上选中“循环

发送”，填入发送次数，选择“开始”按钮，即可按照预定的数目发送该帧。在本

例中，选择发送10次。

5、在主机B的网络协议分析仪一端，点击工具栏内的“开始”按钮，对数据帧进

行捕获，按“结束”按钮停止捕获。捕获到的数据帧会显示在页面中，可以选择两

种视图对捕获到的数据帧进行分析，会话视图和协议视图，可以清楚的看到捕获

数据包的分类统计结果。

步骤三：编辑LLC监控帧和无编号帧，并发送和捕获

步骤四：保存捕获的数据帧

步骤五：捕获数据帧并分析

1、启动网络协议分析仪在网络内进行捕获，获得若干以太网帧。

2、对其中的5-10个帧的以太网首部进行观察和分析，分析的内容为：源物理地

址、目的物理地址、上层协议类型。

捕获到的数据报报文如下：

3

对所抓的数据帧进行分析：

①MACheader:

目的物理地址：00:D0:F8:BC:E7:08

源物理地址：00:13:D3:51:44:DD

类型：0800表示IP协议

②IPheader:

IP协议报文格式如下：

版本：4表示IPv4

首部长度：5表示5×4=20个字节。

服务类型：00表示正常处理该数据报。

总长度：0028表示此数据报的总长度为40字节。

4

标识：6033表示该数据报中标识为24627。

标志：40表示该报文标志为010，即不分片。

片偏移：不分片，所以为00。

生存时间：40表示该数据报的TTL为64跳。

协议：06表示该数据报使用的是TCP协议。

首部检验和：2AF1，用于检验数据报的首部。

源IP地址：DB:DB:44:C2对应为219.219.68.194

目的IP地址：71:6C:1D:A2对应为113.108.29.102

③TCPHeader：

TCP协议报文格式如下：

源端口：07E2表示此数据包源端口为2018。

目的端口：0050表示目的端口号是80，即接收方计算机上的应用程序为

HTTP协议。

序列号：4FF20151表示该报文序列号为1341260113。

确认号：401F5018表示该数据报ACK为1075793944。

首部长度：5表示首部长度为5×4=20个字节。

控制位：10表示该数据报控制位为010000，即ACK被设置为1，应答字段

有效，其他均为0，无效。

窗口：F990表示此报文窗口大小为63888。

校验和：1CEB，用于错误检查。

紧急指针：URG标志未被设置，此处为0000。

实验二基本报文分析

一．实验目的

掌握IP数据包的组成和网络层的基本功能

二．实验内容及步骤

步骤一：设定实验环境

步骤二：利用网络协议分析软件捕获并分析IP数据包。

1、在某台主机中打开网络协议分析软件，在工具栏中点击“开始”，待一段时间

5

后，点击“结束”。

2、在捕获到数据包中，选择IP数据包进行分析。

分析捕获到的IP数据包，因此在本实验中，只分析数据的的IP包头部分。

步骤三：利用网络协议编辑软件编辑并发送IP数据包

1、在主机PC1打开网络协议编辑软件，在工具栏选择“添加”，建立一个IP数据

包。

2、填写“源物理地址”：可以在地址本中找到本机的MAC地址，然后左键选择，

点击“确定”加入地址。

3、填写“目的物理地址”：可以在地址本中选择PC2的MAC地址，然后左键选

择并单击“确定”加入地址。

4、填写“类型或长度”：该字段值为0800。

点击工具栏或菜单栏中的“发送”，在弹出的对话框中配置发送次数，然后选择“开

始”按钮，发送帧序列。

在PC2中用协议分析器截获数据包并分析。

步骤四：运行ipconfig命令

步骤五：运行ping命令

6

捕获到的数据报报文如下：

7

对所抓的数据帧进行分析：

①MACheader:

目的物理地址：00:D0:F8:BC:E7:08

源物理地址：00:13:D3:51:44:DD

类型：0800表示IP协议

②IPheader:

版本：4表示IPv4

首部长度：5表示5×4=20个字节。

服务类型：00表示正常处理该数据报。

总长度：0028表示此数据报的总长度为40字节。

标识：6033表示该数据报中标识为24627。

标志：40表示该报文标志为010，即不分片。

片偏移：不分片，所以为00。

生存时间：40表示该数据报的TTL为64跳。

协议：06表示该数据报使用的是TCP协议。

首部检验和：2AF1，用于检验数据报的首部。

源IP地址：DB:DB:44:C2对应为219.219.68.194

目的IP地址：71:6C:1D:A2对应为113.108.29.102

③TCPHeader：

源端口：07E2表示此数据包源端口为2018。

目的端口：0050表示目的端口号是80，即接收方计算机上的应用程序为

HTTP协议。

序列号：4FF20151表示该报文序列号为1341260113。

8

确认号：401F5018表示该数据报ACK为1075793944。

首部长度：5表示首部长度为5×4=20个字节。

控制位：10表示该数据报控制位为010000，即ACK被设置为1，应答字段

有效，其他均为0，无效。

窗口：F990表示此报文窗口大小为63888。

校验和：1CEB，用于错误检查。

紧急指针：URG标志未被设置，此处为0000。

实验三ARP地址解析协议分析实验

一．实验目的

掌握ARP协议的作用和格式

二．实验内容及步骤

步骤一：设定实验环境

步骤二：捕获ARP报文并进行分析

1、在主机PC1中用命令arp–a可以查看ARP缓存表中的ARP记录，用arp–d

命令删除ARP缓存中的记录。

2、在PC1中开启协议分析仪进行数据包捕获。

3、在PC1中用命令ping172.16.1.253。

4、捕获ARP报文进行分析。

捕获的ARP请求报文；捕获的ARP应答报文。

在PC1中用命令arp–d删去ARP缓存中的ARP记录。

在PC1上开启协议分析仪捕获ARP包进行分析。

在PC1上pingPC3地址172.16.2.2。

对捕获的数据包进行分析。

步骤三：编辑发送ARP报文请求报文（同网段）

1、在命令提示符下运行：arp–d，清空ARP高速缓存。

2、编辑并发送ARP报文。

3、在PC1上开启协议分析软件，进行数据包捕获分析。

4、在PC1中用命令arp–a可以查看到ARP缓存中的PC2的ARP记录。

步骤四：编辑发送ARP报文请求报文（不同网段）

1、在命令提示符下运行：arp–d，清空ARP高速缓存。

2、在PC1上编辑并发送ARP请求，目标地址为PC3主机的地址。

3、在PC1上开启协议分析软件，进行数据包捕获分析。

9

对所抓的ARP数据报分析：

ARP请求报文如下：

10

①MACheader:

目的地址：FF:FF:FF:FF:FF:FF，ARP请求时是广播地址。

源地址：00:13:D3:51:44:DD

帧类型：0806表示ARP协议。

②ARP报文：

ARP协议报文格式如下：

硬件类型：0001表示以太网。

协议类型：0800表示IP协议，指明发送方提供的高层协议地址为IP地址。

硬件地址长度：06表示以太网。

协议地址长度：04表示IPv4。

操作类型：0001表示ARP请求。

发送方硬件地址:：00:13:D3:51:44:DD

发送方IP地址：.44.C2对应为219.219.68.194

目标硬件地址：00:00:00:00:00:00

目标IP地址:：DB:DB:44:7A对应为219.219.68.122

ARP应答报文如下：

11

①MACheader:

目的地址：00:13:D3:51:44:DD

源地址：44:37:E6:0D:4F:13

帧类型：0806表示ARP协议。

②ARP报文：

硬件类型：0001表示以太网。

协议类型：0800表示IP协议，指明发送方提供的高层协议地址为IP地址。

硬件地址长度：06表示以太网。

协议地址长度：04表示IPv4。

操作类型：0002表示ARP应答。

发送方硬件地址:：44:37:E6:0D:4F:13

发送方IP地址：.44.7A对应为219.219.68.122

目标硬件地址：00:13:D3:51:44:DD

目标IP地址:：DB:DB:44:C2对应为219.219.68.194

填充：该报文使用了填充，占用了18个字节。

实验四TCP传输控制协议分析

一．实验目的

掌握TCP协议的报文形式；掌握TCP连接的建立和释放过程；掌握TCP数据传

12

输中编号与确认的过程；理解TCP重传机制。

二．实验内容及步骤

步骤一：设定实验环境

步骤二：查看分析TCP三次握手

1、在PC2中安装FTP服务端程序。

2、在PC1中开启协议分析软件，进行数据包抓包。

3、在PC1中的协议分析软件中利用工具栏中的TCP连接工具对PC2发起连接。

在IP地址中填入PC2地址172.16.1.253，端口填入FTP服务端口21，然后点击

连接。

分析PC2中捕获到的三次握手报文：

TCP三次握手过程中第一个报文；

TCP三次握手过程中第二个报文；

TCP三次握手第三个报文。

步骤三：查看分析TCP确认机制

1、在PC1中开启协议分析软件进行数据包捕获。

2、在PC1协议分析软件工具栏中的TCP连接工具中连接到PC2的FTP服务器

并发送dir命令。

3、分析捕获到的FTP数据包。

步骤四：查看TCP连接超时重传过程

1、查看PC1中ARP缓存记录，确保有PC2中ARP记录，如下图所示。

2、将PC2从网络中断开，确保PC2不会对PC1发送的TCP连接请求进行回应。

3、在PC1中开启协议分析软件，进行数据包捕获。

4、在PC1中用工具栏中的TCP连接工具对PC2的FTP服务发起连接，如下图

所示。

5、在PC1中分析捕获的TCP数据段

利用HTTP协议三次握手报文如下：

TCP第一次握手：

13

TCP第二次握手：

14

TCP第三次握手：

TCP协议报文格式如下：

对所抓的数据报MAC、IP协议分析同上实验，对于三次握手的分析，需要比较

这三次握手数据报的相同点与不同点。

相同点：

本机物理地址：219.219.68.194

15

本机逻辑地址：00:13:D3:51:44:DD

远地物理地址：220.181.124.13

远地逻辑地址：00:D0:F8:BC:E7:08

端口：0050表示端口号为80，即TCP三次握手使用的是HTTP协议。

不同点：

主要分析序列号SEQ与确认号ACK的不同。

第一次握手：SEQ值为1223281629，ACK值为0

第二次握手：SEQ值为1150084763，ACK值为1223281630，是第一次的

SEQ+1,即表示第二次握手是对第一次的确认。

第三次握手：SEQ值为1223281630，ACK值为1150084764，是第二次的

SEQ+1,即表示第三次握手是对第二次的确认。

实验五FTP协议分析

一．实验目的

理解FTP协议的工作原理；了解FTP协议的常用命令；了解应用层协议与传输

层协议的关系。

二．实验内容及步骤

步骤一：登录FTP服务器，捕获数据报文并进行分析

1、确认FTP服务器工作正常，记录FTP服务器的IP地址。

2、在实验主机上启动网络协议分析仪，设置过滤条件并进行数据捕获。

3、登录FTP服务器。

4、暂停协议分析器的捕获，可以通过捕获的数据报文看到刚才的交互过程中，

FTP客户端和服务器端的工作详细情况，FTP报文的格式和命令的使用，以及

服务器端的响应代码。

5、记录这个过程中客户端和服务器端的TCP报头和数据信息，填写下表。

6、根据标志字段分析FTP的两个端口的连接建立、会话和断开连接的全部过程，

分析该过程中的源、目的端口号。

步骤二：使用TCP连接工具连接FTP服务器

1、打开协议分析仪，准备好进行数据包的捕获，然后打开协议分析仪。

2、在发送区输入FTP命令，与FTP服务器进行交互。

步骤三：编辑一个FTP报文

1、在主机上打开协议数据发生器，在工具栏上选择“添加”，会弹出“网络包模版”

对话框，选择“FTP协议模版”，建立一个FTP数据报文。

2、填写其中以太网帧头、IP首部、TCP首部和FTP报文的内容。

3、点击工具栏上的“发送”按钮，将编辑好的FTP数据报文发送，可设置循环发

送。

4、在实验主机上运行网络协议分析仪，捕获数据，捕获结果如所示，从中可以

看到这是一个FTP报文，携带的命令是USERwelcome。

16

对所抓的FTP数据报分析：

FTP报文如下：

FTP是TCP/IP网络上两台计算机传送文件的协议，FTP是在TCP/IP网络和

17

INTERNET上最早使用的协议之一，它属于网络协议组的应用层。FTP客户机

可以给服务器发出命令来下载文件，上载文件，创建或改变服务器上的目录。FTP

服务一般运行在20和21两个端口。端口20用于在客户端和服务器之间传输数

据流，而端口21用于传输控制流，并且是命令通向ftp服务器的进口。当数据

通过数据流传输时，控制流处于空闲状态。

FTP协议使用的是TCP连接，所以FTP数据报由MAC头部、IP报头以及TCP

报头组成。因此对FTP协议数据报的分析与上述实验数据报分析相同。

①MACheader:

目的物理地址：00:D0:F8:BC:E7:08

源物理地址：00:E0:4C:0C:52:29

类型：0800表示IP协议

②IPheader:

版本：4表示IPv4

首部长度：5表示5×4=20个字节。

服务类型：00表示正常处理该数据报。

总长度：0028表示此数据报的总长度为40字节。

标识：6B53表示该数据报中标识为27475。

标志：40表示该报文标志为010，即不分片。

片偏移：不分片，所以为00。

生存时间：40表示该数据报的TTL为64跳。

协议：06表示该数据报使用的是TCP协议。

首部检验和：AFB2，用于检验数据报的首部。

源IP地址：DB:DB:44:A5对应为219.219.68.165

目的IP地址：DB:DB:23:6E对应为219.219.35.110

③TCPHeader：

源端口：0936表示此数据包源端口为2358。

目的端口：0015表示目的端口号是21，即接收方计算机上的应用程序为FTP

协议。

序列号：D9C62066表示该报文序列号为3653640294。

确认号：7B8D0DF7表示该数据报ACK为2072841719。

首部长度：5表示首部长度为5×4=20个字节。

控制位：10表示该数据报控制位为010000，即ACK被设置为1，应答字段

有效，其他均为0，无效。

窗口：F949表示此报文窗口大小为63817。

校验和：1FE5，用于错误检查。

紧急指针：URG标志未被设置，此处为0000。

18

实验六SMTP协议分析

一．实验目的

理解SMTP协议的基本原理；理解SMTP协议的工作过程；了解SMTP的基本

命令格式；了解应用层协议与传输层协议的关系。

二．实验内容及步骤

步骤一：利用Outlook发送电子邮件，捕获数据包并分析

1、打开邮件工具：OutlookExpress，按照已经申请的邮箱信息进行配置。

2、在主机上打开协议分析仪，点击工具栏上的“过滤器”，“类型过滤器”的下拉

列表中选择“SMTP协议”。

3、在Outlook中创建一封邮件，发送出去。

4、进行数据捕获，并分析数据包内容，可以看到SMTP的命令和参数。

5、分析其中发送邮件的过程传输层采用什么协议？发送端的目的端口号是多

少？代表什么协议？

步骤二：利用“TCP工具”和SMTP命令编辑邮件并发送

1、首先要与某个邮件服务器建立一个TCP连接。

2、用SMTP命令编辑发送邮件，捕获数据包并进行分析。

步骤三：编辑一个SMTP报文

1、在主机上打开协议数据发生器，在工具栏上选择“添加”，会弹出“网络包模版”

对话框，选择“SMTP协议模版”，建立一个SMTP数据报文。

2、填写其中以太网帧头、IP首部、TCP首部和SMTP报文的内容。

3、点击工具栏上的“发送”按钮，将编辑好的SMTP数据报文发送，可设置循环

发送。

4、在实验主机上运行网络协议分析仪，捕获数据。

对所抓的SMTP数据报分析：

SMTP报文如下：

19

SMTP即简单邮件传输协议,是一种常用的应用层协议,它是一组用于由源地址

到目的地址传送邮件的规则，由它来控制信件的中转方式。SMTP协议属于

TCP/IP协议族，它帮助每台计算机在发送或中转信件时找到下一个目的地。通

过SMTP协议所指定的服务器,就可以把E－mail寄到收信人的服务器上了，整

个过程只要几分钟。SMTP服务器则是遵循SMTP协议的发送邮件服务器，用来

发送或中转发出的电子邮件。

20

SMTP协议使用的是TCP连接，所以FTP数据报由MAC头部、IP报头以及TCP

报头组成。因此对SMTP协议数据报的分析与上述实验数据报分析相同。

①MACheader:

目的物理地址：00:D0:F8:BC:E7:08

源物理地址：00:E0:4C:0C:52:29

类型：0800表示IP协议

②IPheader:

版本：4表示IPv4

首部长度：5表示5×4=20个字节。

服务类型：00表示正常处理该数据报。

总长度：0028表示此数据报的总长度为40字节。

标识：7651表示该数据报中标识为30289。

标志：40表示该报文标志为010，即不分片。

片偏移：不分片，所以为00。

生存时间：40表示该数据报的TTL为64跳。

协议：06表示该数据报使用的是TCP协议。

首部检验和：F5FC，用于检验数据报的首部。

源IP地址：DB:DB:44:A5对应为219.219.68.165

目的IP地址：7B.7D.32.84对应为123.125.50.132

③TCPHeader：

源端口：0A18表示此数据包源端口为2584。

目的端口：0019表示目的端口号是25，即接收方计算机上的应用程序为

SMTP协议。

序列号：6B5FA1B5表示该报文序列号为1801429429。

确认号：F5297359表示该数据报ACK为4113134425。

首部长度：5表示首部长度为5×4=20个字节。

控制位：10表示该数据报控制位为010000，即ACK被设置为1，应答字段

有效，其他均为0，无效。

窗口：F990表示此报文窗口大小为63888。

校验和：CE9C，用于错误检查。

紧急指针：URG标志未被设置，此处为0000。

实验体会：

通过这两次抓包实验，我将课堂所学的知识和这次实践有机的结合起来，初

步掌握了各种协议报文的分析方法，提高了分析和解决实际问题的能力。在知识

方面，这次实验给我最大的收获就是学会了如何分析IP、TCP、ARP等协议的

报文结构。抓包实验期间虽然出现了很多大大小小的问题，但在老师和同学的帮

助下最后都成功解决了这些问题。总的来说这次实验收获很大，不仅掌握了更多

的知识，其中的过程也让我获益匪浅，对我以后的学习有很大的帮助。