《2022年网络包分析 .pdf》由会员分享，可在线阅读，更多相关《2022年网络包分析 .pdf（6页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、一、常见的网络包格式网络包后缀： cap、pcap、dat 如果没有后缀，一般是dat 格式，用 ethreal可以打开二、网络包中常见的协议：TCP ：Transfer Control Protocol，传输控制协议，提供面向连接的可靠传输服务UDP ： User Datagram Protocol，用户数据包协议，向应用程序提供一条访问IP 的无连接功能的途径FTP ： File Transfer Protocol，文件传输协议，默认端口号是20( 用于控制和建立传输通道) 和21( 用于传输 ) HTTP ：Hypertext Transfer Protocol，超文本传输协议，是客户端
2、浏览器或其他程序与Web 服务器之间的应用层通信协议，默认端口号是80 HTTPS ：Secure Hypertext Transfer Protocol,安全超文本传输协议，提供了身份验证与加密通讯方法，常见于SSL模块请求页面，默认端口号是443 DNS ： Domain Name Server ，域名服务器，将域名解析成IP地址的系统，默认端口号是53 RTSP ：Real-Time Streaming Protocol，实时流放协议，提供控制多种应用数据传送的功能，提供一种选择传送通道的方法RTP ： Real-time Transport Protocol，数据流控制协议，用于int
3、ernet上针对多媒体数据流的一种传输协议RTCP ：Real-time Transport Control Protocol,实时传输控制协议，不封装音视频数据据，而是为应用程序提供会话质量或者广播性能质量的信息。HTTP PROXY：HTTP 代理，代理网络用户去取得网络信息ARP ： Address Resolution Protocol，地址解析协议，将目标IP 地址转换成目标 MAC 地址的过程SMB ： Server Message Block，Microsoft基于 NetBIOS设定的一套文件共享协议NetBios ：NetBIOS Services Protocols，网络基
4、本输入/ 输出系统协议，提供了一套在局域网上的程序可以使用的应用程序编程接口（API），为程序提供了请求低级服务的统一的命令集NetBEUI：NetBios Enhanced User Interface，NetBios 增强用户接口，它是NetBIOS协议的增强版本，是一种短小精悍、通信效率高的广播型协议，适合于在 “ 网络邻居 ” 传送数据IGMP ：Internet Control Message Protocol，因特网控制报文协议，向数据通讯中的源主机报告错误，可以实现故障隔离和故障恢复NTP ： Network Time Protocol，网络时间协议，跨越广域网或局域网的复杂的同
5、步时间协议，它通常可获得毫秒级的精度，默认端口为123 PIM： Protocol Independent Multicast，独立组播协议，维护 IP 组播服务模式TELNET ：Terminal Emulation Protocol ，终端仿真协议，通过 TCP 建立服务器与客户机之间的连接，是Internet的远程登录协议，默认端口号是23 SSH ： Secure Shell，加密通道，专为远程登录会话和其他网络服务提供安全性的协议，默认端口号是22 SMTP ：Simple Mail Transfer Protocol，电子邮件从客户机传输到服务器或从某一个服务器传输到另一个服务器使
6、用的传输协议，默认端口号是25 POP3 ：Post Office Protocol，邮局协议，用于电子邮件的接收，现在常用的是第三版所以叫POP3 ，默认端口号是 110 DHCP ：Dynamic Host Configuration Protocol,动态主机配置协议 , 实现 IP 的自动配置而设计的协议，可以为客户机自动分配IP 地址注：使用网络包分析问题一般分析HTTP 、DNS 、RTSP 、NTP 协议的内容三、过滤规则（ethereal工具）：1、逻辑连接符：与： and、& 或： or、| 否： not 、! 其它： 、= 2、对 IP地址进行过滤ip.addr=10.88
7、.251.236 ip.addr!=10.1.10.20 3、对端口进行过滤tcp.port=80 4、对协议进行过滤直接写协议名称如：tcp 或http 或rtsp 5、对 HTTP 协议的内容过滤http.content_type0:4 = text/只显示 http 协议请求文本文件如htm、js 、css http.content_type0:5 = image/只显示 http 协议请求图片http.request.method = GET/只显示 http 协议的 get 请求http.request.method = POST/只显示 http 协议的 POST 请求名师资料总结
8、 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 6 页 - - - - - - - - - 6、搜索包内容http contains 302/搜索所有 http 协议包中包含 302 字符串的包rtsp contains npt=/搜索所有 rtsp 协议包中包含 ntp= 字符串的包四、查看 HTTP 包: 1、分析工具建议使用 OmniPeek 工具进行 HTTP 的网络包分析，在打开网和包后，在左边列表一栏可以选择WEB 的Request，可以看到所有的HTTP 请求2、保存文
9、件选择右上方列表，右键再选择“Save Payload ” ，支持批量保存多个文件，可以将HTTP 请求的页面、图片、js 、css文件都可以保存到本地，再修改页面引用的文件路径，来模拟现场的环境（如排版的问题）3、查看 HTTP 包细节信息选择右下栏的“ Details” ，可以查看 HTTP 请求的细节信息比较重要的字段主要是：response code ，一般为 200代表请求正常， 301、302代表服务端重定向url 4、查看 HTTP 包的 head信息选择右下栏的“ Headers” ，可以看到 HTTP 包请求的 head信息比较重要的字段有cookie 、set-cookie
10、 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 6 页 - - - - - - - - - 也可以选择左边列表中的Expert-Application，然后选择 ” WEB ” 一栏中的一组通信比如下图中的 ” 5810880 ” ，表示从服务端 (192.168.10.222:80)与客户端 (192.168.24.34:58108)之间的通信内容（一个socket 对应一个端口）右键再选择 ” Visual Expert” , 在新窗口中的最下方选择Payload
11、该功能类似于 ethereal中的 ” Follow TCP stream” 功能，可以读取指定的client与server 间所有的通信内容名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 6 页 - - - - - - - - - 五、查看 rtsp 包选择左边列表中的Expert-Application，然后选择 ” rtsp ” 一栏中的某组数据比如 ” 4052554 ” ，代表 server 端(10.88.252.3:554)与客户端 (10.88.251.2
12、28:4052)之间的通信名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 6 页 - - - - - - - - - 右键再选择 ” Visual Expert” , 在新窗口中的最下方选择Payload 该功能类似于 ethereal中的 ” Follow TCP stream” 功能，可以读取指定的client与server 间所有的通信内容六、查看 NTP 包选择左边列表中的Expert-Application，然后选择 ” NTP ” 一栏中的某组数据比如 ” 4
13、017123 ” ，代表 server 端(10.88.252.203:123)与客户端 (10.88.251.228:4017)之间的通信右键再选择 ” Visual Expert” , 在新窗口中的最下方选择” packetVisualizer” ( 翻译为包观察仪) 可以比较直观的查看client与server 之间的通信双击服务端的数据段，查看其pactet ，可以看到服务端返回的时间名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 6 页 - - - - - -
14、- - - 七、查看 DNS 包选择左边列表中的Expert-Application，然后选择 ” DNS ” 一栏中的某组数据比如 ” 5647253 ” ，代表 server 端(192.168.10.247:53)与客户端 (192.168.24.34:56472)之间的通信右键再选择 ” Visual Expert” , 在新窗口中的最下方选择” packetVisualizer” ( 翻译为包观察仪) 可以比较直观的查看client与server 之间的通信双击服务端的数据段，查看其pactet ，可以看到服务端返回的域名解析结果名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 6 页 - - - - - - - - -