基于Wireshark的网络数据包内容解析.pdf

基于 Wireshark 的网络数据包内容解析 摘 要 本课程设计是利用抓包软件 Wireshark，对网络服务器与客户端进行网络数据收发过程中产生的包进行抓取，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的。设计过程中对各种包进行抓取分析，各种包之间比较，了解每种包的传输过程与结构，通过本次课程设计，能很好的运用 Wireshark对数据包分析和 Wireshark各种运用，达到课程设计的目的。关键词 IP协议；TCP 协议；UDP 协议；ARP 协议；Wireshark；计算机网络；1 引 言 本课程设计主要是设计一个基于Wireshark 的网络数据包内容解析，抓取数据包，然后对所抓取的包进行分析，并结合的协议进行分析，达到了解各种数据包结构的目的 1.1 课程设计目的 Wireshark 是一个网络封包分析软件。可以对网络中各种网络数据包进行抓取，并尽可能显示出最为详细的网络封包资料，计算机网络课程设计是在学习了计算机网络相关理论后，进行综合训练课程，其目的是：1.了解并会初步使用 Wireshark，能在所用电脑上进行抓包；2.了解 IP数据包格式，能应用该软件分析数据包格式。1.2 课程设计要求 （1）按要求编写课程设计报告书，能正确阐述设计结果。（2）通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。（3）学会文献检索的基本方法和综合运用文献的能力。（4）在老师的指导下，要求每个学生独立完成课程设计的全部内容。1.3 课程设计背景 一、Wireshark（前称 Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。网络封包分析软件的功能可想像成 电工技师使用电表来量测电流、电压、电阻 的工作-只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Wireshark 的出现改变了这一切。在GNUGPL 通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Wireshark 是目前全世界最广泛的网络封包分析软件之一。二、网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。网络嗅探是网络监控系统的实现基础。网络嗅探需要用到网络嗅探器，其最早是为网络管理人员配备的工具，有了嗅探器网络管理员可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。嗅探器也是很多程序人员在编写网络程序时抓包测试的工具，因为我们知道网络程序都是以数据包的形式在网络中进行传输的，因此难免有协议头定义不对的。网络嗅探的基础是数据捕获，网络嗅探系统是并接在网络中来实现对于数据的捕获的，这种方式和入侵检测系统相同，因此被称为网络嗅探。网络嗅探是网络监控系统的实现基础，首先就来详细地介绍一下网络嗅探技术，接下来就其在网络监控系统的运用进行阐述。2 网络协议基础知识 2.1 IP 协议 （1）IP 协议介绍 IP 是英文 Internet Protocol（网络互连的协议）的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守 IP 协议就可以与因特网互连互通。（2）IP 协议的网络互连实现 各个厂家生产的网络系统和设备，如以太网、分组交换网等，它们相互之间不能互通，不能互通的主要原因是因为它们所传送数据的基本单元（技术上称之为“帧”）的格式不同。IP 协议实际上是一套由软件程序组成的协议软件，它把各种不同“帧”统一转换成“IP 数据包”格式，这种转换是因特网的一个最重要的特点，使所有各种计算机都能在因特网上实现互通，即具有“开放性”的特点。（3）IP 数据报 TCP/IP协议定义了一个在因特网上传输的包，称为 IP 数据报(IP Datagram)。这是一个与硬件无关的虚拟包,由首部和数据两部分组成，其格式如图2.1 所示:图 2-1 IP 数据报一般格式 IP 数据报的详细格式如图 2.2 所示：0 3 7 15 31 版本 首部长度 服务类型 总长度 标识 标志 片偏移 生存时间 协议 头校验和 源 IP地址 目的 IP地址 选项 填充域 数据部分 图 2-2 IP 数据报的详细格式 IP 数据报固定部分各字段含义：(1)版本 占 4 位，指 IP 协议的版本。通信双方使用的 IP 协议版本必须一致。目前广泛使用的 IP 协议版本号为 4（即 IPv4）。关于 IPv6，目前还处于草案阶段。(2)首部长度 占 4 位，可表示的最大十进制数值是 15。请注意，这个字段所数据报的数据区 数据报首部 表示数的单位是 32 位字长（1 个 32 位字长是 4 字节），因此，当 IP 的首部长度为1111 时（即十进制的 15），首部长度就达到 60 字节。当 IP 分组的首部长度不是 4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在 4 字节的整数倍开始，这样在实现 IP 协议时较为方便。首部长度限制为 60 字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长度就是 20 字节（即首部长度为 0101），这时不使用任何选项。(3)区分服务 占 8 位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998 年 IETF 把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。(4)总长度总长度指首部和数据之和的长度，单位为字节。总长度字段为 16位，因此数据报的最大长度为 216-1=65535 字节。在 IP 层下面的每一种数据链路层都有自己的帧格式，其中包括帧格式中的数据字段的最大长度，这称为最大传送单元 MTU(Maximum Transfer Unit)。当一个数据报封装成链路层的帧时，此数据报的总长度（即首部加上数据部分）一定不能超过下面的数据链路层的 MTU 值。(5)标识(identification)占 16 位。IP 软件在存储器中维持一个计数器，每产生一个数据报，计数器就加 1，并将此值赋给标识字段。但这个“标识”并不是序号，因为 IP 是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的 MTU 而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。(6)标志(flag)占 3 位，但目前只有 2 位有意义。标志字段中的最低位记为 MF(More Fragment)。MF=1 即表示后面“还有分片”的数据报。MF=0 表示这已是若干数据报片中的最后一个。标志字段中间的一位记为 DF(Dont Fragment)，意思是“不能分片”。只有当 DF=0 时才允许分片。(7)片偏移 占 13 位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以 8个字节为偏移单位。这就是说，每个分片的长度一定是 8 字节（64 位）的整数倍。(8)生存时间 占 8 位，生存时间字段常用的的英文缩写是 TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为 TTL 的单位。每经过一个路由器时，就把 TTL 减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于 1 秒，就把 TTL值减 1。当 TTL 值为 0 时，就丢弃这个数据报。(9)协议 占 8 位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的 IP 层知道应将数据部分上交给哪个处理过程。(10)首部检验和 占 16 位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。不检验数据部分可减少计算的工作量。(11)源地址 占 32 位。(12)目的地址 占 32 位。IP数据报可选部分字段含义：IP 首部的可变部分就是一个可选字段。选项字段用来支持排错、测量以及安全等措施，内容很丰富。此字段的长度可变，从 1 个字节到 40 个字节不等，取决于所选择的项目。某些选项项目只需要 1 个字节，它只包括 1 个字节的选项代码。但还有些选项需要多个字节，这些选项一个个拼接起来，中间不需要有分隔符，最后用全 0 的填充字段补齐成为 4 字节的整数倍。2.2 ARP 协议 （一）ARP 协议简介：ARP 协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC 地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC 地址。ARP 是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP 地址转换成目标MAC 地址的过程。ARP 协议的基本功能就是通过目标设备的IP 地址，查询目标设备的MAC地址，以保证通信的顺利进行。硬件类型，ar_hrd(ARPHRD_ETHER)协议类型，ar_pro(ETHERTYPE_IP)硬件地址长度，ar_hln(6)协议地址长度，ar_pln(4)ether_dhost ether_ahost ether_type ar_op arp_sha arp_spa arp_tha arp_tpa 以太网目的地址 以太网源地址 帧类型 OP 发送者硬件地址 发 送 者IP地址 目标硬件 目标IP地址 6 bytes 6 2 2 2 1 1 2 6 4 6 4 以太网首部 ARP 首部 ether_header()arphdr（）以太网 ARP 字段 ther_arp（）图 2-3 ARP 请求回答格式 （二）ARP 协议的利用和相关原理介绍：一、交换网络的嗅探 ARP 协议并不只在发送了 ARP 请求才接收 ARP 应答。当计算机接收到 ARP 应答数据包的时候，就会对本地的 ARP 缓存进行更新，将应答中的 IP 和 MAC 地址存储在 ARP 缓存中。因此，在上面的假设网络中，B 向 A 发送一个自己伪造的 ARP 应答，而这个应答中的数据为发送方 IP 地址是 192.168.10.3（C 的 IP 地址），MAC 地址是DD-DD-DD-DD-DD-DD（C 的 MAC 地址本来应该是 CC-CC-CC-CC-CC-CC，这里被伪造了）。当 A 接收到 B 伪造的 ARP 应答，就会更新本地的 ARP 缓存，将本地的 IP-MAC 对应表更换为接收到的数据格式，由于这一切都是A 的系统内核自动完成的，A 可不知道被伪造了。ARP 欺骗的主要用途就是进行在交换网络中的嗅探。有关交换网络的嗅探不是本文的讨论内容。二、IP 地址冲突 在网络连接的时候，如果网络中存在相同 IP 地址的主机的时候，就会报告出 IP 地址冲突的警告。假设某主机 B 规定 IP 地址为 192.168.0.1，如果它处于开机状态，那么其他机器 A更 改 IP 地址为 192.168.0.1 就会造成 IP 地址冲突。其原理就是：主机 A 在连接网络（或更改 IP 地址）的时候就会向网络发送 ARP 包广播自己的 IP 地址，也就是 freearp。如果网络中存在相同 IP 地址的主机 B，那么 B 就会通过 ARP 来 reply 该地址，当 A 接收到这个 reply 后，A 就会跳出 IP 地址冲突的警告，当然 B 也会有警告。因此用 ARP 欺骗可以来伪造这个 ARPreply，从而使目标一直遭受 IP 地址冲突警告的困扰。三、阻止目标的数据包通过网关 在一个局域网内通过网关上网，那么连接外部的计算机上的 ARP 缓存中就存在网关IP-MAC 对应记录。如果，该记录被更改，那么该计算机向外发送的数据包总是发送到了错误的网关硬件地址上，这样，该计算机就不能够上网了。这里也主要是通过 ARP 欺骗进行的。以下两种办法达到这样的目的：1、向目标发送伪造的 ARP 应答数据包，其中发送方的 IP 地址为网关的地址，而 MAC地址则为一个伪造的地址。当目标接收到该 ARP 包，那么就更新自身的 ARP 缓存。如果该欺骗一直持续下去，那么目标的网关缓存一直是一个被伪造的错误记录。当然，如果有些了解的人查看 ARP-a，就知道问题所在了。2、欺骗网关。向网关发送伪造的 ARP 应答数据包，其中发送方的 IP 地址为目标的IP 地址，而 MAC 地址则为一个伪造的地址。这样，网关上的目标 ARP 记录就是一个错误的，网关发送给目标的数据报都是使用了错误的 MAC 地址。这种情况下，目标能够发送数据到网关，却不能接收到网关的任何数据。同时，目标自己查看 ARP-a 却看不出任何问题来。四、通过 ARP 检测混杂模式节点 在混杂模式中，网卡进行包过滤不同于普通模式。本来在普通模式下，只有本地地址的数据包或者广播（多播等）才会被网卡提交给系统核心，否则的话，这些数据包就直接被网卡抛弃。现在，混合模式让所有经过的数据包都传递给系统核心，然后被sniffer 等程序利用。通过特殊设计的 ARP 请求可以用来在一定程度上检测处于混杂模式的节点，比如对网络中的每个节点都发送 MAC 地址为 FF-FF-FF-FF-FF-FE 的 ARP 请求。对于网卡来说这不是一个广播地址（FF-FF-FF-FF-FF-FF），所以处于普通模式的节点就会直接抛弃该数据包，但是多数操作系统核心都认为这是一个广播地址，如果有一般的 sniffer 程序存在，并设置网卡为混杂模式，那么系统核心就会作出应答，这样就可以判断这些节点是否存在嗅探器了。可以查看，很多基于 ARP 的攻击都是通过 ARP 欺骗实现的。至于 ARP 欺骗的防范，还是尽可能使用静态的 ARP。对于 WIN，使用 arp-s 来进行静态 ARP 的设置。当然，如果能够完全使用静态的 IP+MAC 对应，就更好了，因为静态的 ARP 缓存只是相对的。可以有一些方法来实现 ARP 欺骗的检测。设置一个 ARP 的嗅探器，其中维护着一个本地网络的 IP-MAC 地址的静态对应表，查看所有经过的 ARP 数据，并检查其中的 IP-MAC对应关系，如果捕获的 IP-MAC 对应关系和维护的静态对应关系对应不上，那么就表明是一个欺骗的 ARP 数据包了。3 网络嗅探的工作原理与分析 3.1 基于 winpcap 捕获数据的机理 运用以太网数据捕获的原理使得信息捕获系统能够拦截到我们所要的信息，这是捕获数据包的物理基础。在网络数据包的捕获过程中，首先，数据包捕获系统必须绕过操作系统的协议栈来访问在网络上传输的原始数据包，这就要求一部分程序要运行在操作系统核心内部，直接与网络接口驱动交互。这个部分是系统依赖的，在WinPcap 的解决方案里它是由内核级的数据包监听设备驱动程序NPF 实现的。WinPcap 开发小组针对不同版本的Windows 操作系统提供了不同的驱动。这些驱动不仅提供了基本的特性，例如抓包和injection；还有更高级的特性，例如可编程的过滤器系统和监视引擎等。其次，数据包捕获系统必须有用户级的程序接口，通过这些接口，用户程序可以利用内核驱动提供的高级特性。在WinPcap 的解决方案中是由两个不同的库：Packet.dll 和Wpcap.dll 库来实现的。WinPcap 的优势在于提供了一套标准的抓包接口与libpcap 兼容，可使得原来许多UNIX 平台下的网络分析工具快速移植过来便于开发各种网络分析工具，充分考虑了各种性能和效率的优化，包括对于NPF 内核层次上的过滤器支持，支持内核态的统计模式，提供了发送数据包的能力。前者提供了一个底层API，伴随着一个独立于Windows 操作系统的编程接口，这些API 可以直接用来访问驱动的函数；后者导出了一组更强大的与libpcap 一致的高层抓包函数库（capture primitives）。这些函数使得WinPcap 在数据包的捕获过程中可以以一种与网络硬件和操作系统无关的方式进行。3.2 基于 winpcap 数据包捕获的过程 在利用WinPcap 捕获分析网络数据时，主要是调用Packet.dll 和Wpcap.dll 中提供的API 函数进行操作。以下是基于WinPcap 的网络数据包捕获流程及相应的WinPcap 库函数。(1)获取网络适配器信息 利用WinPcap 捕获数据包的第一步是要获得本地的网络适配器（网卡）列表。WinPcap 提供Pcap_findalldevs()和Pcap_findalldev_ex()这两个函数来实现些功能，这两个API 函数都返回一个pcap_if 结构列表，列表的每项内容都含有全面的网卡信息，尤其是字段名字和含有名字的描述以及有关驱动器的易读信息。(2)设置并编译过滤器 WinPcap 使用的过滤规则兼容Tcpdump 的过滤规则，它提供一种高效的方法来捕获网络数据包的某些数据，且常和系统的捕获机制相集成。函数Pcap_compile()和Pcap_setfilter()用来实现过滤数据的功能。Pcap_compile()来编译一个过滤设备，它通过一个高层的boolean 型变量和字串产生一系列的能够被底层驱动所解释的二进制编码。boolean 表示语法能够在这个文件的过滤表示语法中找到。pcap_setfilter()用来联系一个在内核驱动上过滤的过滤器，这时所有网络数据包都将流经过滤器，并拷贝到应用程序中。(3)打开网络设备 使用函数Pcap_open()或者Pcap_open_line()。函数有三个参数snaplen、promisc、to_ms。snaplen 用于指定要捕获数据包的长度，最大为65535，如果设定一个值，则捕获到大于这个设定值的数据时，后面的数据会被截断掉。Promisc 表示是否把网卡设置为混杂模式，如果是1 表示设为混杂模式，在通常情况下网卡只接受发往它的数据包而忽略发往其他主机的数据包。但网卡处于混杂模式时它将接收所有的流经它的数据包，这就意味着在共享介质的情况下我们可以捕获到其它主机的数据包；大部分的数据包捕获程序都将混杂模式设为默认。to_ms 参数指定读数据的超时控制，超时以毫秒计算，当在超时时间内网卡上没有数据到来时对网卡的读操作将返回。(4)捕获数据包 一旦网卡被打开，就可以调用Pcap_next()，Pacp_next_ex()或Pcap_loop()进行数据包的捕获。Pcap_next()和Pacp_next_ex()表示捕获一个可用数据包就返回；而Pcap_loop()表示捕获多个数据包，可以循环捕获数据包，直到出现错误为止。这三个函数都有返回一个指向Pcap_pkthdr 结构的指针，Pcap_next()与Pcap_next_ex()的功能相似，不过后者只在win32 环境下运行。(5)读取离线数据包 pcap_dump_open()被用来打开一个savefile以供写入数据包。pcap_open_offlin（）被用来打开savefile，并用pcap_next（）来逐条读取数据包。4 基于 Wireshark 的网络数据包内容解析 4.1 捕获数据包 运行 Wireshark 软件，点击，点击开始如图：图 4-1 对数据包进行捕获 一段时间后，捕获到网络数据包，如图：图 4-2 捕获到的数据包 4.2 数据包解析 运用 Wireshark 捕获的数据包，如图 图 4-3 捕获数据包 如上图所示，可看到很多捕获的数据。第一列是捕获数据的编号；第二列是捕获数据的相对时间，从开始捕获算为 0.000 秒；第三列是源地址，第四列是目的地址；第五列是数据包的信息。选中其中 7 号数据包，双击，得到整体 Wireshark的窗口，主要被分成三部分，如图：图 4-4 数据帧整体图 上面部分是所有数据帧的列表；中间部分是数据帧的描述信息；下面部分是帧里面的数据。各层数据包解析：帧号 时间 源地址 目的地址 高层协议 包内信息概况No.Time Source Destination Protocol Info1 0.000000 202.203.44.225 202.203.208.32 TCP 2764 http SYN Seq=0 Len=0 MSS=1460 源端口目的端口请求建立 TCP 链接（一）、物理层的数据帧：Frame 1(62 bytes on wire,62 bytes captured)/1 号帧，线路 62 字节，实际捕获62 字节 Arrival Time:Jan 21,2008 15:17:33.910261000 /捕获日期和时间 Time delta from previous packet:0.00000 seconds /此包与前一包的时间间隔 Time since reference or first frame:0.00 seconds /此包与第 1 帧的间隔时间 Frame Number:1 /帧序号 Packet Length:62 bytes /帧长度 Capture Length:62 bytes /捕获长度 Frame is marked:False /此帧是否做了标记：否 Protocols in frame:eth:ip:tcp /帧内封装的协议层次结构 Coloring Rule Name:HTTP /用不同颜色染色标记的协议名称：HTTPColoring Rule String:http|tcp.port=80 /染色显示规则的字符串：（二）数据链路层以太网帧头部信息：Ethernet II,Src:AcerTech_5b:d4:61(00:00:e2:5b:d4:61),Dst:Jetcell_e5:1d:0a(00:d0:2b:e5:1d:0a)/以太网协议版本 II，源地址：厂名_序号（网卡地址），目的：厂名_序号（网卡地址）Destination:Jetcell_e5:1d:0a(00:d0:2b:e5:1d:0a)/目的：厂名_序号（网卡地址）Source:AcerTech_5b:d4:61(00:00:e2:5b:d4:61)/源：厂名_序号（网卡地址）Type:IP(0 x0800)/帧内封装的上层协议类型为 IP（十六进制码 0800）（三）互联网层 IP包头部信息：Internet Protocol,Src:202.203.44.225(202.203.44.225),Dst:202.203.208.32(202.203.208.32)/互联网协议，源 IP地址，目的 IP地址 Version:4 互联网协议 IPv4（IPv4数据报字段结构），如图 图 4-5 IP 数字报结构 Header length:20 bytes /IP包头部长度 Differentiated Services Field:0 x00(DSCP 0 x00:Default;ECN:0 x00)/差分服务字段（四）传输层 TCP 数据段头部信息：Transmission Control Protocol,Src Port:2764(2764),Dst Port:http(80),Seq:0,Len:0 /传输控制协议TCP 的内容Source port:2764(2764)源端口名称（端口号）Destination port:http(80)/目的端口名 http（端口号 80）Sequence number:0 (relative sequence number)/序列号（相对序列号）Header length:28 bytes /头部长度 Flags:0 x02(SYN)/TCP 标记字段（本字段是 SYN，是请求建立 TCP 连接）Window size:65535 /流量控制的窗口大小 Checksum:0 xf73b correct /TCP 数据段的校验和 Options:(8 bytes)/可选项 4.3 数据帧内容分析 在下图中 Filter 的编辑框中输入 ARP，选中其中一个 ARP 的数据帧内容解析。如图：图 4-6 filter筛选出来的 ARP 数据帧 选择第一个帧进行内容分析：这个帧分为三部分，先展开第一部分，如图：图 4-7 帧的基本信息 在上图中我们看到这个帧的一些基本信息：帧的编号：1（捕获时的编号）帧的大小：60 字节。再加上四个字节的 CRC 计算在里面，就刚好满足最小 64 字节的要求。帧被捕获的日期和时间：2012.14.06.58 因为是第一个帧，所以捕获前一个帧跟第一个帧的时间都为0；帧装载的协议：ARP 展开帧的第二部分，如图：图 4-8 帧的网络信息 目的地址（Destination）：ff:ff:ff:ff:ff:ff（这是个 MAC地址，这个 MAC地址是一个广播地址，就是局域网中的所有计算机都会接收这个数据帧）源地址（Source）：Compalin_20：49：b6（70:5a：b6:20:49：b6）帧中封装的协议类型：0 x0806，这个是 ARP 协议的类型编号 Trailer：是协议中填充的数据，为了保证帧最少有 64 字节 展开帧的第三部分，如图：图 4-9 帧的地址信息 硬件类型：以太网 协议类型：IP 硬件大小：6 协议大小：4 发送方 MAC地址 Compalin_20:49:b6（70:5a:b6:20:49:b6）发送方 IP地址 10.6.24.94 目的 MAC地址 Broadcast(ff:ff:ff:ff:ff:ff)目的 IP地址 10.6.24.254 4.4 ARP协议作用分析 如图 3-6，ARP 帧的本机发出的信息：Who has 10.6.24.254 /本主机向同一个网段内各个主机询问 Tell 10.6.24.94 /请求回复本主机，地址为 10.6.24.94 Broadcast(ff:ff:ff:ff:ff:ff)/目标 MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“10.6.24.254 的 MAC地址是什么 Compalin_20:49:b6（70:5a:b6:20:49:b6）/等到目的主机 10.6.24.254 收到本主机发出请求后，发出目标主机地址 目标主机发出回复，如图：图 4-10 目的主机发送的回复 00:03:of:00:ed:00 /目的主机回应目标 MAC 地址 这样，本主机就知道了目的主机的MAC地址，它就可以向目的主机发送信息了。同时它还更新了自己的 ARP缓存表，下次再向目的主机发送信息时，直接从 ARP缓存表里查找就可以了，这样双方就建立了通信。5 结束语 经过两个星期的课程设计实习，我有了很大的感受。不同于平时学习，做作业，课程设计每个人都有一个自己的题目，完全得靠自己，不能有依赖心理。把平时书本的知识应用在了实践中。通过本次课程设计，真正加强了我对课本知识的理解，有机会去把课本中的知识运用到实践中，我了解很多关于专业的知识，以前每次学这些时，总是不知道这些东西具体拿来有什么用，我这才发现，原来身边有个这么好的工具，而且通过这么些天的研究我知道了关于更多 Wireshark的知识与用途。巩固了所学理论，培养了初步的实际工作能力和设计技术能力。学生在学习这门课程时,普遍感到计算机网络的概念抽象,对其中的分析方法与基本理论不能很好地理解与掌握。因此,如何帮助学生理解与掌握课程中的基本概念、基本原理、基本分析方法以及综合应用所学知识解决实际问题的能力,是本课程教学中所要解决的关键问题。Wireshark无疑是一款功能超强的运用软件，基于它可实现多领域的科学研究和开发。在本次课程设计中,收获最多的是如何看待问题以及如何解决问题。一个很现实的问题就是搞科研开发，遇到问题是必不可免，关键是如何看待这样的问题，持怎样的心态，持怎样的目的。再就是问题是遇到了，要如何解决以及用怎样最优的方案去处理，都得下心思去思考和摸索。再一个很现实的问题是，要学会学习，学会自学。毕竟社会日新月异，科技蓬勃发展，新领域新知识不断涌现，怎么样才能在社会保持有效的立足，怎样才能翻弄潮流，面对社会变迁做到运筹帷幄之中呢？在我看来，关键要保持良好心态，保持一种积极永不妥协永不放弃的信念，不断进取不断开拓。在此我要特别感谢我们的指导老师们，还有各位同学的帮助，你们的教诲让我受益非浅，我也将更加努力进步学习和完善自己。最后向老师和同学们表示最真诚的谢意。参考文献 1 雷震甲计算机网络管理M第 1 版西安：西安电子科技大学出版社，2006 2 雷震甲计算机网络管理及系统开发M第 1 版北京：电子工业出版社，2004 3 谢希仁计算机网络M第 5 版北京：电子工业出版社，2009 4 蔡学军.网络互联技术M.北京：高等教育出版社，2004 5 闵军.SolarWinds Orion 网管系统的建设和管理精解M.北京：清华大学出版社，2009