1、实验二 网络监听实验一、实验目的1、熟悉 IP 地址与 MAC 地址的概念2、理解 ARP 协议及 ICMP 协议原理3、了解 TELNET 应用4、掌握网络监听方法二、实验原理1、IP 地址与 MAC 地址、ARP 协议数据链路层使用物理地址（即 MAC 地址） ，网络层使用 IP 地址，当数据包在网络层和数据链路层之间传输时，需要进行 MAC 地址和 IP 地址的转换。ARP 协议的功能是实现IP 地址到 MAC 地址的转换。每个主机都设有一个 ARP 高速缓存，操作系统通常会将从网络中得到的 IP 地址和MAC 地址的映射关系存放在本机的高速缓存中，使用 arp 命令，可以查看、添加和删
2、除高速缓冲区中的 ARP 表项。在 Windows 操作系统中，高速缓存中的 ARP 表项可以包含动态和静态表项，动态表项随时间推移自动添加和删除，而静态表项则一直保留在高速缓存中，直到人为删除或重启计算机。2、ICMP 协议ICMP 协议是配合 IP 协议使用的网络层协议，它的报文不是直接传送到数据链路层，而是封装成 IP 数据报后再传送到数据链路层。分组网间探测 PING 是 ICMP 协议的一个重要应用，它使用 ICMP 回送请求与回送应答报文，用来测试两个主机之间的连通性。命令格式为：ping 目的 IP 地址。ICMP 回送请求与回送应答报文格式如下：类型：8 或 0 代码：0 校验
3、和标识符 序号可选数据说明：类型为 8-回送请求，为 0-回送应答TRACERT 程序是 ICMP 协议的另一个应用，命令格式为：tracert 目的地址。Tracert 从源主机向目的主机发送一连串的 IP 数据报 P1， P1 的 TTL 设置为 1，当它到达路径上的第一个路由器 R1 时，R1 先收下它，把 P1 的 TTL 值减 1，变成 0，R1 丢弃P1，并向源主机发送一个 ICMP 超时差错报告报文。源主机接着又发送第二个 TTL 值为 2的 IP 数据报 P2，路径上的第一个路由器把 P2 的 TTL 值减小 1，当 P2 到达路径上第二个路由器时，第二个路由器把 P2 丢弃，
4、并向源主机发送一个 ICMP 超时差错报告报文。如此继续，最后一个 IP 数据报到达目的主机时，目的主机和源主机间发送 ICMP 回送请求与回送应答报文。路径上的这些路由器和目的主机向源主机发送的 ICMP 报文告诉源主机，到达目的主机所经过的路由器的 IP 地址及往返时间。3、远程终端协议 TELNETTelnet 协议基于 TCP 协议，默认端口号为 23。应用 Telnet 协议能够把本地用户所使用的计算机变成远程主机系统的一个终端。Telnet 远程登录服务分为以下 4 个过程：1）本地与远程主机建立连接。该过程实际上是建立一个 TCP 连接，用户必须知道远程主机的 Ip 地址或域名；
5、2）将本地终端上输入的用户名和口令及以后输入的任何命令或字符以 NVT（Net Virtual Terminal）格式传送到远程主机。该过程实际上是从本地主机向远程主机发送一个IP 数据报；3）将远程主机输出的 NVT 格式的数据转化为本地所接受的格式送回本地终端，包括输入命令回显和命令执行结果；4）最后，本地终端对远程主机进行撤消连接。该过程是撤销一个 TCP 连接。4、网络监听原理在共享式局域网中，位于同一网段的每台主机都可以截获在网络中传输的所有数据，正常情况下，一个网卡只响应目的地址为单播地址和广播地址的 MAC 帧而忽略其它 MAC帧，网卡接收这两种帧时，通过 CPU 产生一个硬件中
6、断，然后由操作系统负责处理该中断，对数据帧中的数据做进一步处理。如果将网卡设置为混杂（promiscuous）模式，则可接收所有经过该网卡的数据帧。交换式网络设备能将数据准确地发给目的主机，而不会同时发给其他计算机，所以在交换网络环境下，实现数据包的监听要复杂些，主要方法有：（1）对交换机实行端口镜像，将其他端口的数据全部映射到镜像端口，连接在镜像端口上的计算机就可以实施监听了。（2）将监听程序放在网关或代理服务器上，可抓取整个局域网的数据包。网络监听的防范方法主要有：从逻辑或物理上对网络分段；以交换机代替共享集线器；使用加密技术；划分 VLAN。本次上机建议采用 WireShark 软件（网
7、络协议分析器，如 WireShark 是一个能记录所有网络分组，并以人们可读的形式显示的软件） 。官方下载地址：http:/www.wireshark.org/三、实验步骤1、查看本机 IP 地址与 MAC 地址在命令行中输入命令：ipconfig /all ，记录显示结果2、操作本机高速缓存中的 ARP 表（1）查看高速缓存中的 ARP 表查看命令：arp -aARP 表项在没有进行手工配置前，通常都是动态 ARP 表项，所以不同时间运行 arp a 命令，运行结果也不大相同。运行 arp a 命令，查看运行结果。运行 WireShark 软件，选择 capture-options，在 ca
8、pture filter 文本框中输入：arp and host 本机 IP 地址，例如： arp and host 172.31.69.21，这个过滤条件的意思是指只监听进出主机 172.31.69.21 的 arp 数据包。点击 start 开始监听。用 ping 命令去 ping 局域网中的其它主机 B（172.31.69.25） ，且主机 B 的 IP 地址不在本机的 ARP 高速缓存中。 WireShark 中开始监听到数据包，当没有数据包到来后，停止监听并保存监听记录为 2-1.pcap。示例监听结果如下图：对监听到的数据进行分析：结合 arp 协议工作原理对监听记录进行分析；选择
9、第一条监听记录，分析 ARP 报文格式。再次用命令 arp -a 查看 ARP 表项的变化情况，可以发现多了 B 的表项。此时，在 WireShark 中设置 capture filter 为：host 172.31.69.21 and arp or icmp。点击start 按钮进行监听。用 ping 命令再去 ping 主机 B，保存监听记录为 2-2.pcap。对监听结果进行分析：结合 ICMP 协议的工作原理对监听记录进行分析；选择一条监听记录，分析 IP 报文和 ICMP 询问报文的格式；查看 ICMP 询问报文的数据部分。与上一次监听结果进行比较，两次监听结果的不同说明了什么问题？
10、隔 2 分钟后，再次使用 arp a，记录 ARP 表项的变化情况，并分析原因。用 ping 命令去 ping 局域网中的一台没有开机的主机（172.31.69.200 ） ，再查看 ARP 表。保存监听记录为 2-3.pcap（2）添加 ARP 静态表项命令：arp s IP 地址 MAC 地址把第（1）步中找到的一个合法 IP 地址（如：172.31.69.25）和对应 MAC 地址添加进ARP 表中，命令为：arp s 172.31.69.25 00-21-97-60-62-e9。查看 ARP 表项，可发现增加了一个类型为 static 的表项；隔 2 分钟后，再次使用 arp a，看看
11、 static 表项是否存在。（3）删除 ARP 静态表项的命令：arp d IP 地址例如：arp d 172.31.69.25（4）清空 ARP 高速缓存的命令：arp d *3、ICMP 的应用 tracert（该项目不用在机房完成）（1）监听准备运行 WireShark 软件，选择 capture-options，在 capture filter 文本框中输入 icmp，点击 start 开始监听。（2）运行命令 tracert打开命令行程序，输入命令：tracert ，观察返回信息。并且可以发现WireShark 中收集了一连串记录。保存监听记录为 2-4.pcap。表示我没监听出数
12、据.所以就没保存文件了。（3）分析监听结果利用监听结果，分析 ICMP 超时差错报告报文： 选择一条“Time to live exceeded”记录，分析 ICMP 超时差错报告报文的格式； 选择一条“Time to live exceeded”记录，其中的两个 IP 首部是一样的吗？为什么？； 针对“Echo(ping) request”记录，观察每个 IP 数据报的初始 TTL 值及数据部分内容； 记录源主机到目的主机所经过的路径及花费的时间。4、远程登录 Telnet 应用本实验需要局域网环境下的两台 PC 机，主机 A（设 IP 地址为：169.254.104.2）充当客户端，主机
13、B（设 IP 地址为： 169.254.240.102）充当服务器。（1）在主机 B 中创建管理员用户在主机 B 上创建一个新的用户名，并让它属于管理员组，用来进行登录测试。创建新用户的方法为： “管理”-“管理工具”-“本地用户和组”- “用户” ； 在“操作”菜单中选择“新用户” ，设置用户名为 testuser，密码为 fortest；把新用户添加进管理员组的方法：右击“testuser” 项，选择“属性”-“隶属于”-“添加”-“高级”- “立即查找“- 选择“Administrators ”组-“确定”，即可把用户 testuser 添加到管理员组中。（2）在主机 B 上启动 tel
14、net 服务启动方法：右击我的电脑，选择“管理”-“服务和应用程序 ”-“服务” ，在列表中找到 Telnet 选项。右击 Telnet 属性，在启动类型中改禁用为手动，点击应用。最后再点击服务状态下的启动按钮，确定退出。（3）在主机 A 上监听启动监听软件 WireShark，过滤条件（capture filters）设置为：port 23，点击 start，开始监听。（4）在主机 A 上登录主机 B“开始”-“运行”输入命令 cmd，打开命令行窗口。输入命令： telnet 169.254.240.102，出现欢迎界面，并提示安全信息（如图所示） ，输入 y 后回车，进入登录界面，在 login：处输入登录用户名 testuser，在 password：处输入密码 fortest。（5）操作主机 B 中的数据主机 B 验证用户名和密码正确无误后，主机 A 可以进入主机 B 的目录 c:Documents and Settingstestuser中，此时主机 A 即可任意操作主机 B 中所有的数据资料，包括创建、
