工业互联网网络互联技术课件 任务七 分析网络协议- 理论.pptxVIP

任务2.7分析网络协议

学习目标理解Wireshark的工作原理。

分析网络协议数据包分析，通常也被称为数据包嗅探或协议分析，指的是捕获和解析网络上在线传输数据的过程，通常是为了能更好地了解在网络上正在发生的事情。数据包分析过程通常由数据包嗅探器来执行，而数据包嗅探器则是一种用来在网络媒介上捕获原始传输数据的工具。数据包分析技术可以用来达到如下目标。数据包分析与数据包嗅探器了解网络特征。查看网络上的通信主体。确认谁或是哪些应用在占用网络带宽。识别网络使用高峰时间。识别可能的攻击或恶意活动。寻找不安全以及滥用网络资源的应用

分析网络协议混杂模式网卡在对接收到的数据包进行处理之前，会先对它们的目的地址进行检查，如果目的地址不是本机的话，就会丢弃这些数据，相反就会将这些数据包交给操作系统，操作系统再将其分配给应用程序。如果启动了Wireshark的话，操作系统会将经过网卡的所有数据包都复制一份并提供给它，这样我们就可以在Wireshark中查看到本机所有进出的数据包了。但是我们有时要查看的不仅仅是本机的数据包，还会查看其他计算机上的数据包，这时如果网卡按照上面一段讲到的方式进行工作的话，那么其他计算机上的数据包在到达网卡时，都会被丢掉，而无法显示。所以我们必须调整网卡的工作方式，目前的网卡除了前面提到的那种普通模式之外，还提供了一种混杂模式。默认情况下，网卡只会将发给本机的数据包传递给操作系统，其他的一律丢弃。而混杂模式下，网卡则会将所有通过它的数据包（不管是不是发给本机）都传递给操作系统。

分析网络协议Wireshark的工作流程（1）捕获：Wireshark将网卡调整为混杂模式，在该模式下捕获网络中传输的二进制数据。（2）转换：Wireshark将捕获到的二进制数据转换为我们容易理解的形式，同时也会将捕获到的数据包按照顺序进行组装。（3）分析：最后Wireshark将会对捕获到的数据包进行分析。这些分析包括识别数据包所使用的协议类型、源地址、目的地址、源端口和目的端口等。Wireshark有时也会根据自带的协议解析器来深入地分析数据包的内容。

分析网络协议BPF过滤语法1.抓包过滤器（1）语法说明类型Type:host、net、port方向Dir:src、dst协议Proto:ether、ip、tcp、udp、http、ftp逻辑运算符：与、||或、！非BPF语法（BerkeleyPacketFilter）基于libpcap/wincap库，在抓包的过程中过滤掉某些类型的协议，不抓取过滤掉的协议（建议在流量特别大的情况下使用）

分析网络协议（2）例子srchostdstport80抓取源地址为，目的端口为80的流量host||host抓取和的流量！broadcast不抓广播包过滤IP地址案例hostsrchostdsthost过滤端口案例port80!port80dstport80srcport80过滤协议案例arpIcmp综合过滤案例hostport8080

分析网络协议2.显示过滤器抓包的时候没有做任何过滤，显示过滤器可以在抓完包后过滤，抓包过滤器语法与显示过滤器语法是不一样的。只需要研究某一种协议，不需要全局流量的，可以使用抓包过滤器。在流量很小的时候建议使用显示过滤器。

分析网络协议语法比较操作符==、！=、、、=、=等。==eq等于ip.addr==ip.addreq逻辑操作符and逻辑与ip.src==andtcp.flags.syn=1||or逻辑或ip.addr==orip.addr==！not逻辑非notarpandnoticmp除了arp和icmp之外的包

分析网络协议过滤IP地址案例ip.addr==ip.src==ip.dst==过滤端口案例tcp.port==80tcp.srcport==80tcp.dstport==80过滤协议案例tcpnothttpnotarp综合过滤案例ip.src==00andudp.port==4000案例

分析网络协议什么是ARP？ARP（AddressResolutionProtocol，地址解析协议）是用来将IP地址解析为MAC地址的协议。主机或三层网络设备上会维护一张ARP表，用于存储IP地址和MAC地址的映射关系，一般ARP表项包括动态ARP表项和静态ARP表项。

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

分析网络协议

小结在本次任务中，我们介绍了如何使用Wireshark工具来进行网络协议分析。实操的例子是对ARP（地址解析协议