Wireshark網(wǎng)絡(luò)抓包實驗記錄一、實驗?zāi)康亩嶒灜h(huán)境*硬件：一臺運行Windows10操作系統(tǒng)的個人計算機(jī)，具備有線或無線網(wǎng)卡。實驗中使用有線以太網(wǎng)連接至家庭路由器，路由器接入互聯(lián)網(wǎng)。*軟件：*操作系統(tǒng)：Windows10專業(yè)版*網(wǎng)絡(luò)分析工具：Wireshark3.6.2(v3.6.2-0-g5f2a6bf1d55a)*瀏覽器：GoogleChrome版本99.0.4844.51*命令行工具：Windows內(nèi)置命令提示符(cmd.exe)三、實驗內(nèi)容與步驟3.1Wireshark的安裝與啟動3.2選擇捕獲接口啟動Wireshark后，主界面會顯示當(dāng)前計算機(jī)上可用的網(wǎng)絡(luò)接口列表。觀察各接口名稱旁的實時流量指示（以每秒數(shù)據(jù)包數(shù)為單位），選擇當(dāng)前正在使用的有線以太網(wǎng)接口（通常命名中包含“Ethernet”或具體網(wǎng)卡型號）。點擊該接口名稱，或選中后點擊工具欄上的“開始捕獲分組”按鈕（藍(lán)色鯊魚鰭圖標(biāo)），開始數(shù)據(jù)包捕獲。3.3設(shè)置捕獲選項與開始捕獲在開始捕獲前，可以點擊“捕獲選項”按鈕對捕獲參數(shù)進(jìn)行配置。本實驗保持默認(rèn)設(shè)置，如不設(shè)置捕獲過濾器，捕獲所有經(jīng)過該接口的數(shù)據(jù)包。確認(rèn)設(shè)置后點擊“開始”。此時，Wireshark主窗口的數(shù)據(jù)包列表區(qū)域?qū)㈤_始滾動顯示捕獲到的實時數(shù)據(jù)包。3.4產(chǎn)生網(wǎng)絡(luò)流量為了捕獲到有分析價值的數(shù)據(jù)包，需要主動產(chǎn)生一些網(wǎng)絡(luò)行為：3.保持瀏覽器頁面打開約10秒，然后關(guān)閉瀏覽器。3.5停止捕獲與保存捕獲文件觀察到Wireshark已捕獲到一定數(shù)量的數(shù)據(jù)包（通常數(shù)百至上千個）后，點擊工具欄上的“停止捕獲分組”按鈕（紅色方形圖標(biāo)）。為便于后續(xù)分析，選擇“文件”->“保存”，將捕獲到的數(shù)據(jù)包保存為`.pcapng`格式的文件，命名為“BasicNetworkCapture.pcapng”，保存路徑選擇桌面。3.6數(shù)據(jù)包列表與詳細(xì)信息分析停止捕獲后，仔細(xì)觀察Wireshark主窗口的布局：*數(shù)據(jù)包列表面板（PacketListPane）：顯示所有捕獲到的數(shù)據(jù)包，每行代表一個數(shù)據(jù)包，包含編號、時間戳、源IP、目的IP、協(xié)議類型、長度、信息等概要信息。*數(shù)據(jù)包詳情面板（PacketDetailsPane）：選中某一數(shù)據(jù)包后，此面板以樹形結(jié)構(gòu)顯示該數(shù)據(jù)包的協(xié)議層次和各層協(xié)議字段的詳細(xì)信息。*數(shù)據(jù)包字節(jié)面板（PacketBytesPane）：以十六進(jìn)制和ASCII碼形式顯示數(shù)據(jù)包的原始字節(jié)內(nèi)容，與詳情面板中的字段選擇聯(lián)動。3.7應(yīng)用顯示過濾器由于原始捕獲的數(shù)據(jù)包數(shù)量較多，且包含多種協(xié)議，需使用顯示過濾器進(jìn)行篩選。在主窗口頂部的“Filter”輸入框中輸入過濾條件，按回車應(yīng)用：2.清除過濾器（點擊過濾器輸入框右側(cè)的“清除”按鈕或輸入`=`），輸入`icmp`，觀察之前`ping`命令產(chǎn)生的ICMPEchoRequest和EchoReply報文。3.清除過濾器，輸入`ip.addr==[本機(jī)IP地址]`，其中`[本機(jī)IP地址]`替換為實驗機(jī)的實際IP（可通過`ipconfig`命令獲?。?，過濾出所有源或目的IP為本機(jī)的數(shù)據(jù)包。4.嘗試組合過濾條件，如`tcpandip.src==[本機(jī)IP地址]`，查看本機(jī)發(fā)起的TCP連接。四、實驗結(jié)果與分析*以太網(wǎng)層（EthernetII）：源MAC地址為本機(jī)網(wǎng)卡MAC，目的MAC地址為路由器MAC。類型字段為`0x0800`，指示上層為IP協(xié)議。*網(wǎng)絡(luò)層（InternetProtocolVersion4）：版本為IPv4，首部長度20字節(jié)（5*32位），總長度為XXX字節(jié)。源IP地址為本機(jī)IP，目的IP地址為目標(biāo)網(wǎng)站服務(wù)器的IP。協(xié)議字段為`0x06`，指示上層為TCP協(xié)議。TTL值為64（Windows系統(tǒng)默認(rèn)）。4.2ICMP協(xié)議分析（ping命令）應(yīng)用顯示過濾器`icmp`，可以看到成對出現(xiàn)的ICMPEcho(ping)Request和Echo(ping)Reply報文。*ICMPEchoRequest：類型（Type）為8，代碼（Code）為0。包含一個標(biāo)識符（Identifier）和序列號（SequenceNumber），用于匹配請求和響應(yīng)。數(shù)據(jù)部分為發(fā)送時填充的隨機(jī)字節(jié)。*ICMPEchoReply：類型（Type）為0，代碼（Code）為0。標(biāo)識符和序列號與對應(yīng)的Request報文相同，數(shù)據(jù)部分也原樣返回。通過分析時間戳，可以計算出往返時間（RTT），這與`ping`命令顯示的結(jié)果一致。4.3TCP協(xié)議三次握手過程分析在過濾器中輸入`tcp.flags.syn==1`以篩選出TCPSYN報文，找到瀏覽器訪問網(wǎng)站時建立TCP連接的三次握手過程：1.第一次握手（SYN）：由本機(jī)（客戶端）發(fā)送至網(wǎng)站服務(wù)器（服務(wù)器）。TCP標(biāo)志位SYN置1，序列號為X。2.第二次握手（SYN-ACK）：由服務(wù)器響應(yīng)。TCP標(biāo)志位SYN和ACK均置1，序列號為Y，確認(rèn)號為X+1。3.第三次握手（ACK）：由客戶端發(fā)送。TCP標(biāo)志位ACK置1，序列號為X+1，確認(rèn)號為Y+1。五、實驗總結(jié)與思考此次實驗不僅鞏固了課堂上學(xué)到的計算機(jī)網(wǎng)絡(luò)理論知識，更將其與實際網(wǎng)絡(luò)現(xiàn)象聯(lián)系起來，提升了動手能力和問題分析能力。未來，我將嘗試使用Wi