windows网络通信分析

Windows网络通信分析实验

目标

1、用Ethereal波或两台计算机之间的通信会话

2、给定一个用Ethereal捕获的会话截屏图，表示这两个窗口的三个主要部分

3、用Ethereal的过滤器选项查看期望的协议

材料和装备

Windows XP Professional

Windows 2000 Server

实验步骤概要

1、 启动Windows XP Professional和windows 2000 server

2、 清除ARP缓存

3、 启动Ethereal并捕获一个通信会话

4、 检查捕获的会话

5、 过滤捕获的会话

实验步骤

1、 启动两个系统，登录到XP上

2、 清除ARP缓存

Arp缓存是一个内存区域，计算机在这个区域存储在arp表中发现的信息。在启动捕获会话之前清除arp缓存可以更好的控制所捕获的数据。

在XP cmd窗口中，键入arp –a执行检查ARP缓存内容，如果不为空则执行arp –d进行清除

3、 启动Ethereal并捕获一个通信会话

1） 单击Capture-----Start

2） 在Capture Options界面上，选择Intel DCa1140接口

3） 回到cmd窗口并做Ping2000server的动作

a、 观察响应，应该回收到至少4条的回复

4） 在Ethereal Capture上停止捕获

a、 观察捕获的会话

b、 在ping请求期间，发送的是什么类型的数据包（协议）？

4、 检查捕获的会话

Ethereal的主界面分为三部分：

数据包列表部分----位于顶部，这部分展示了捕获的数据包的概要。

树形视图部分-----居于中部，这部分以树型格式展示所选数据包的详细信息。

数据视图部分----位于底部，该部分以十六进制格式显示捕获的数据。任何在树型视图部分所选择的内容都将在那里高亮显示。

数据包列表部分有一些栏，每一栏都提供了特定信息：

No.---数据包被接收的序号

Time----每一个数据包被捕获的时间，相对于捕获的起始时间计量

Source-----源地址

Destination----目的地址

Protocol-----用于捕获数据包的协议

Info-----数据包正在做什么的概要

概要部分中高亮显示的帧即时显示在树型视图和数据视图部分的那一帧。注意：最先的两个被捕获的数据包是使用ARP的。第一个是广播，第二个是回复。

1） 在数型列表部分中，展开Ethernet II

2） 选中Destination行

a、 以十六进制广播的地址是什么？

b、 注意，在数据视图中也高亮显示广播地址

c、 注意，最先的两帧是ARP广播和回复。为使两台计算机通信，必须知道目的地

的MAC地址。既然清除了ARP缓存表，那马计算机就不得不在请求一次。 d、 可以想象出采用这种机制的方式吗？

3） 在数据包列表部分，单击第一个ping请求

a、 树型视图和数据视图中的信息会相应地改变，这是发出的第一个ping，注意这

里有几个ping就有几个回复

b、 Ethereal列出了什么协议以让Ping用于发送和恢复？

5、 过滤捕获的会话

即使屏幕上不会有利可有很多信息，也很容易获得成千上万的数据包。把这些数据包从头到尾进行分类会很繁琐。学习使用Ethereal中所含的过滤器可以帮助我们接近正在寻找的信息

1）单击Filter框，键入ARP并回车，注意在数据包列表部分之显示了ARP数据包。另外注意，当在过滤框中输入的时候，语法不正确，北京将变成亮红色，如果正确则是亮绿色。