Wireshark抓包实例分析
通信工程学院  010611班  赖宇超  01061093
一．实验目的
1.初步掌握Wireshark的使用方法，熟悉其基本设置，尤其是Capture Filter和Display Filter
的使用。
2.通过对Wireshark抓包实例进行分析，进一步加深对各类常用网络协议的理解，如：TCP、
UDP、IP、SMTP、POP、FTP、TLS等。
3.进一步培养理论联系实际，知行合一的学术精神。
二．实验原理
1.用Wireshark软件抓取本地PC的数据包，并观察其主要使用了哪些网络协议。
2.查资料，了解相关网络协议的提出背景，帧格式，主要功能等。
3.根据所获数据包的内容分析相关协议，从而加深对常用网络协议理解。
三．实验环境
1.系统环境：Windows 7 Build 7100
2.浏览器：IE8
3.Wireshark：V 1.1.2
4.Winpcap：V 4.0.2
四．实验步骤
1.Wireshark简介
Wireshark（原Ethereal）是一个网络封包分析软件。其主要功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。其使用目的包括：网络管理员检测网络问题，网络安全工程师检查资讯安全相关问题，开发者为新的通讯协定除错，普通使用者学习网络协议的相关知识……当然，有的人也会用它来寻一些敏感信息。
值得注意的是，Wireshark并不是入侵检测软件（Intrusion Detection Software,IDS）。对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。然而，仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。 Wireshark本身也不会送出封包至网络上。
2.实例
实例1：计算机是如何连接到网络的？
一台计算机是如何连接到网络的？其间采用了哪些协议？Wireshark将用事实告诉我们真相。如图所示：
图一：网络连接时的部分数据包
如图，首先我们看到的是DHCP协议和ARP协议。
天津科技大学怎么样DHCP协议是动态主机分配协议 (Dynamic Host Configuration Protocol)。它的前身是 BOOTP。BOOTP可以自动地为主机设定TCP/IP环境，但必须事先获得客户端的硬件地址，而且，与 其对应的IP地址是静态的。DHCP是 BOOTP 的增强版本，包括服务器端和客户端。所有的IP网络设定数据都由DHCP服务器集中管理，并负责处理客户端的 DHCP 要求；而客户端则会使用从服务器分配下来的IP环境数据。
ARP协议是地址解析协议 (Address Resolution Protocol)。该协议将IP地址变换成物理地址。以以太网环境为例，为了正确地向目的主机传送报文，必须把目的主机的32位IP地址转换成为48位以太网的地址。这就需要在互连层有一组服务将IP地址转换为相应物理地址，这组协议就是ARP协议。
让我们来看一下数据包的传送过程：
数据包No.1：当 DHCP 客户端（本地PC）第一次登录网络的时候，它会网络发出一个 DHC
P DISCOVER 封包。因为客户端还不知道自己属于哪一个网络，所以封包的来源地址会为0.0.0.0，而目的地址则255.255.255.255，然后再附上 DHCP discover 的信息，向网络进行广播。
数据包No.2：当 DHCP 服务器（本地路由器）监听到客户端发出的 DHCP discover 广播后，它会从那些还没有租出的地址范围内，选择最前面的空置 IP ，连同其它 TCP/IP 设定，响应给客户端一个 DHCP OFFER 封包。
数据包No.3：客户端向网络发送一个 ARP 封包，查询服务器物理地址。
    数据包No.4：服务器端返回一个ARP 封包，告诉客户端它的物理地址。