西安郵電學院 计算机网络技术及应用实验 报 告 书 "系部名称 "： "管理工程学院 " "学生姓名 "： "*** " "专业名称 "： "********* " "班 级 "： "**** " "学号 "： "******** " "时间 "： "2012年04月01日 " 实验题目 Wireshark抓包分析实验 1. 实验目的 1.了解并会初步使用Wireshark，能在所用电脑上进行抓包 2.了解IP数据包格式，能应用该软件分析数据包格式 3.查看一个抓到的包的内容，并分析对应的IP数据包格式 二．实验内容 1.安装Wireshark，简单描述安装步骤。 安装过程：点击安装图标 接着出现如图所示： 点击next后按如下步骤： 在"License Agreement"窗口下点击'I Agree'，弹出"Choose Components"窗口，点'next' 后弹出"Select Additional Tasks"窗口，点'next'又弹出"Choose Install Location"窗口后再点'next'，弹出"Install Winpcap"窗口（选'Install Winpcap4.12'）点击'Install'，接着弹出"Installing"窗口（在运行时弹出"Winpcap4 .12 Set up"窗口，点击'确定'，且在接下来弹出的窗口下按如下步骤点击：next—next—I Agree—Install—finsh），接着点击'next'弹出如下窗口： 并选择'Run Wireshork1.6.3(32bit)'并点击'Finsh'： 2.打开wireshark，选择接口选项列表。或单击"Capture"，配置"option"选项。 3.设置完成后，点击"start"开始抓包. 显示结果： 4.选择某一行抓包结果，双击查看此数据包具体结构如下： 三．捕捉IP数据包。 数据包信息： 1. 写出IP数据包的格式如下： 2. 将捕捉的IP数据包的分析得出格式图例如下： 3. 针对每一个域所代表的含义进行解释。 IP数据报首部各部分含义： 版本 占4位，指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的 IP协议版本号为4（即IPv4）。 首部长度 占4位，可表示的最大十进制数值是15。请注意，这个字段所表示数的单位是 32位字长（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15） ，首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的 填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为 方便。首部长度限制为60 字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部 区分服务 占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上 一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。 总长度 总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据 报的最大长度为216- 1=65535字节。长度就是20字节（即首部长度为0101），这时不使用任何选项。 标识(identification) 占16位。IP软件在存储器中维持一个计数器，每产生一个数据 报，计数器就加1，并将此值赋给标识字段。但这个"标识"并不是序号，因为IP是无连接 服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时， 这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片 后的各数据报片最后能正确地重装成为原来的数据报。 标志(flag) 占3位，但目前只有2位有意义。标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面"还有分片"的数据报。MF=0表示这已是若干数据报片中的最 后一个。标志字段中间的一位记为DF(Don't Fragment)，意思是"不能分片"。只有当DF=0时才允许分片。 片偏移 占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也 就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这 就是说，每个分片的长度一定是8字节（64位）的整数倍。 生存时间 占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防 止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计 是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一
Wireshark是一款强大的网络封包分析软件，常用于网络故障排查、网络安全分析和协议学习等。在本实验中，学生通过Wireshark进行数据包抓取和分析，以理解网络通信的基本原理，特别是IP数据包的结构。
实验的首要任务是安装Wireshark。安装过程包括点击安装图标，然后按照提示依次进行，同意许可协议，选择组件，设定安装路径，安装Winpcap驱动，最后启动Wireshark。Winpcap是Windows平台上的一个网络数据包捕获和网络封包构造库，对于Wireshark来说是必要的。
在Wireshark启动后，需要选择合适的网络接口进行数据包捕获，或者配置捕获选项。点击“Capture”菜单，然后选择“Start”开始捕包。捕获到的数据包会在主界面中显示，每一行代表一个独立的数据包。
对于IP数据包的分析，首先了解其基本格式。一个IP数据包主要包括以下几个字段：
1. 版本（Version）：4位，如实验中提到，通常为4，代表IPv4。
2. 首部长度（Header Length）：4位，最大值15，以32位字长计算，对应60字节的首部。
3. 区分服务（Differentiated Services, DS）：8位，旧称为服务类型，用于提供不同的服务质量。
4. 总长度（Total Length）：16位，表示整个数据包的长度，包括头部和数据部分，最大65535字节。
5. 标识（Identification）：16位，用于区分不同数据报，但不是顺序号。
6. 标志（Flags）：3位，MF表示是否还有后续分片，DF表示是否允许分片。
7. 片偏移（Fragment Offset）：13位，指示分片在原始数据报中的位置。
8. 生存时间（Time To Live, TTL）：8位，限制数据包在网络中的生命周期，防止无限循环。
9. 协议（Protocol）：8位，标识上层协议，如TCP、UDP等。
10. 首部校验和（Header Checksum）：16位，用于检验首部的完整性。
11. 源地址（Source Address）：32位，发送数据报的主机IP地址。
12. 目标地址（Destination Address）：32位，接收数据报的主机IP地址。
13. 可选字段（Options）：根据首部长度字段决定是否存在，用于扩展功能。
通过对这些字段的分析，可以深入理解IP数据包的结构和网络传输过程。例如，TTL字段有助于追踪数据包的路由，MF和DF标志控制了分片行为，片偏移则用于重组分片数据。通过Wireshark，学生可以实际操作，观察各种网络通信场景下的IP数据包，从而增强对网络协议的理解。
