实验12 Wireshark 工具的使用与TCP数据包分析.pdfVIP

Wireshark工具的使用与TCP数据包分析(SEC-W07-007.1)

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是捕捉网络

数据包，并尽可能显示出最为详细的数据包内容。在过去，网络数据包分析软件或者非常昂

贵，或者专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证

的保障下，使用者可以免费取得软件及其源代码，并拥有对源代码修改的权利。Wireshark

是目前全世界最广泛的网络封包分析软件之一。

传输控制协议（TransmissionControlProtocol），简称TCP协议，是一种面向连接（连接导

向）的、可靠的、基于字节流的运输层（Transportlayer）通信协议，由IETF的RFC793说

明（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，基

于TCP的常见应用如TELNET，SSH，HTTP，FTP等。

实验目的

学习Wireshark工具的使用。

学习TCP协议及其TCP头部结构。

利用Wireshark分析TCP数据包内容。

实验准备

获取Windows远程桌面客户端工具mstsc压缩包并解压。

获取服务器Windows操作系统Administrator管理员口令。

获取服务器IP地址。

实验步骤

学习Wireshark工具使用

步骤说明：

使用Wireshark工具，熟悉常见功能配置。

准备一台win20003和winxp电脑。

服务器（win2003）：

1．设置IP地址为7

2．选择控制面板下的添加/删除程序添加/删除windows组件对话框中的应用程序服务器

Internet信息服务文件传输协议(FTP)服务。

3．右击我的电脑，选择管理，选择本地用户和组用户administrator,设置其密码为123456

4．右击我的电脑，选择属性远程选项卡，勾选远程桌面下的允许用户远程连接到这台计

算机。（开启了3389端口，通过netstat–an可以查看）

5．在该服务器上安装Wireshark软件。

Winxp(设置其ip地址为8)

1.运行远程桌面客户端程序mstsc.exe，输入服务器端IP地址，点击Connect连接，如图1：

图1

2.以Administrator（管理员）身份登陆服务器桌面。

注：

服务器Administrator用户的登陆密码为123456。

3.在远程桌面中，单击桌面Wireshark程序快捷图标，弹出Wireshark程序如图2：

图2

4.在Wireshark程序点击查看本机网卡状态配置按钮：InterfaceList，弹出如图3对话框，图

例中可以看出本机的网卡信息。

图3

5.在Wireshark主程序界面中，点击配置详细条件按钮：CaptureOptions，弹出如图4对话框，

配置捕捉的详细条件。

图4

注：

这里我们选择了本地local的网卡，实验环境不同可能会使用不同的网卡。

6.在图4的配置界面中，可以通过在CaptureFilter输入框中输入捕捉数据包的条件，样例中

的host的意思为：程序只捕捉IP地址为的数据包。

7.下面举例了几种常见过滤条件：

tcp

只捕捉tcp数据包

port80

捕捉tcp或udp协议且端口为80的数据包

nottcpport3389

不捕捉tcp端口为3389的数据包

srcanddst

捕捉源地址为且目的地址为的数据包

8.这里我们选择过滤条件为nottcpport3389，点击对话框下方的start按钮开始捕捉网络数

据包，捕捉现象如图5所示：

图5

学习TCP协议及头部结构

步骤说明：

了解TCP/IP协议，学习TCP数据包头部结构。

1.TCP/IP是一个协议集，它包含了IP、TCP、UDP一系列协议，TCP协议意为Transmission

ControlProtocol传输控制协议，

它是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transportlayer）通信

协议，由IETF的RFC79