Приложение.
Окно настройки параметров захвата представлен на рис. 2
Рисунок 2. Окно настройки параметров захвата
− Interface — сетевой адаптер/
− Buffer size — размер буфера захвата (по умолчанию 1 Мб)/
− Capture packets in promiscuous mode — использование режима беспорядочного захвата.
− Limit each packet to — запись только нескольких первых байт (определяется установленным значением параметра) каждого кадра.
− Capture Filter — фильтр захвата.
− Capture File(s) — файл захвата.
− Stop Capture — условия автоматического завершения захвата.
− Display Options — отображение пакетов в реальном времени и автоматический скроллинг окна информации.
− Name Resolution — разрешение имен на физическом, сетевом и транспортном уровнях.
Общий вид окна приложения представлен на рисунке 3.
Рисунок 3. Общий вид приложения Wireshark
Пользовательский интерфейс программы содержит следующие компоненты:
− меню команд и панель инструментов;
− фильтр отображения пакетов;
− список пакетов в буфере;
− панель отображения декодера протоколов;
− панель отображения пакета в шестнадцатеричном коде и символах ASCII.
Панель со списком пакетов построчно отображает характеристики того или иного пакета (номер по порядку в буфере, время захвата, адреса источника и получателя, тип протокола и общая информация о нем). Перемещение по списку осуществляется с помощью мыши или клавиатуры, причем информация на двух других панелях обновляется автоматически. На панели декодера протоколов, нажимая указателем мыши на символы «+» или «–», можно отображать информацию о полях заголовков протоколов с требуемым уровнем детализации. При выборе того или иного служебного поля в заголовке оно автоматически выделяется на нижней панели, где отображается текущий пакет в шестнадцатеричном виде.
С помощью фильтра отображения можно быстро убрать «мусор». Выражение фильтрации может представлять собой просто название протокола, который присутствует в пакете на том или ином уровне вложенности. Например: arp — для отображения пакетов протокола ARP, tcp — для отображения пакетов, в которых присутствует заголовок протокола TCP.
Более сложные выражения фильтрации строятся с помощью зарезервированных слов, обычно представляющих собой названия полей заголовков того или иного протокола, знака операции сравнения и конкретного значения в шестнадцатеричном или десятичном виде.
Например, выражение с операцией сравнения «Равно» записывается с помощью двойного знака равенства «==» (допустимо использование «eq»). Другие операции сравнения записываются с помощью следующих операторов:
a. != (ne)— не равно, пример: eth.type != 0x0800;
b. > (gt)— больше, пример: tcp.srcport > 1023;
c. < (lt)— меньше, пример: frame.pkt_len lt 60;
d. >= (ge)— больше или равно, пример: frame.pkt_len ge 60;
e. <= (le)— меньше или равно, пример: tcp.dstport <=1023.
Значение любого выражения фильтрации возвращает переменную булевского типа. Таким образом, выражение udp означает присутствие в кадре заголовка протокола UDP, по аналогии с этим выражение tcp.flags.syn означает присутствие в заголовке протокола TCP бита синхронизации сессии в установленном состоянии (значение 1). К любому из выражений можно применить операцию логического отрицания, заключив его в скобки и поставив перед ним знак отрицания «NOT» или «!». Например, выражение !(ip.addr == 10.0.0.1) означает, что из буфера отображения необходимо убрать все пакеты, в которых встречается IP-адрес 10.0.0.1.
При необходимости создания сложного выражения фильтрации в меню «Apply as Filter» (рис.4) выбирайте команды, начинающиеся с многоточия, при этом новое выражение будет добавлено к результирующему выражению фильтрации.
Рисунок 4. Контекстное меню создания фильтра
Поиск кадров в буфере, удовлетворяющих тем или иным критериям, осуществляется с помощью команды меню Edit → Find Packet. Диалоговое окно определения критериев поиска пакетов изображено на рис.5.
Рисунок 5. Диалоговое окно определения критериев поиска кадров
Критерии поиска можно определять в виде выражения фильтрации (Display filter), шаблона в шестнадцатеричном виде (Hex value) и текстовой строки (String) в кодировке ASCII и (или) Unicode. В первом случае можно использовать все допустимые выражения фильтрации и их логические комбинации. Во втором случае указывается шаблон для поиска в шестнадцатеричном коде. Поиск в строке может осуществляться в области общей информации о пакете (Packet list), в панели декодера протоколов (Packet details) и непосредственно в самом пакете (Packet bytes). Поиск может производиться вверх или вниз по списку пакетов (Direction).
Лабораторная работа № 2
Анализ протоколов Ethernet и ARP
Цель работы
анализ протокола ARP.
ознакомиться с иерархией протоколов для пакетного трафика;
ознакомиться с протоколами Ethernet и ARP;
получение навыков выработки правил фильтрации на основе анализа заголовков пакетов протокола ARP;
освоение возможностей программы Wireshark.
Методика выполнения работы
1. Запустите программу Wireshark.
Выполните команду меню Capture → Options.
При анализе протоколов Ethernet и ARP, которые находятся в иерархии протоколов ниже IP, для выключения отображения «лишней» информации на панелях программы целесообразно отключить в программе анализ заголовка IP. Это реализуется с помощью команды «Enabled Protocols…» меню «Analyze» программы «Wireshark». В диалоговом окне данной команды необходимо найти протоколы IPv4 и IPv6, убрать соответствующие маркеры, затем последовательно нажать кнопки «Apply» и «OK» (рис.1).
Рисунок 1. Окно выбора протоколов для анализа
2. Отключите анализ заголовка IP.
3. Уберите маркер напротив опции «Capture packets in promiscuous mode» для захвата только «своих» кадров (кадры с широковещательным адресом также будут захватываться). В таком режиме работы число захваченных пакетов будет существенно меньше, что облегчит выполнение заданий.
Очистите кэш протокола ARP.
Для этого выполните команду: Пуск → Выполнить. В окне наберите cmd и нажмите ОК. В командной строк наберите arp –d и нажмите Enter.
В Wireshark для запуска процесса захвата нажмите кнопку «Start». В командной строке выполните команду ping ya.ru .
В ряде случаев при отключении анализа заголовка IP отображаемые в списке буфера IP-адреса источника и получателя могут измениться!
Примените к захваченным пакетам фильтр «arp» (Сбор пакетов ARP может занять некоторое время!).
Получится примерно следующее (рис. 2.)
Рис.2. Захваченные пакеты протокола ARP
Отобразите в отдельных окнах пакеты запроса и ответа протокола ARP и ответьте на следующие вопросы:
Какое значение поля «тип протокола» в кадре Ethernet указывает на протокол ARP?
По какому MAC-адресу отправлен запрос ARP?
По какому MAC-адресу отправлен ответ ARP?
Каким полем идентифицируются запрос и ответ ARP?
В каких полях заголовка ARP передан запрос вашего узла?
В каких полях заголовка ARP передан ответ вашему узлу?
В отчете привести:
схему рабочего места с проставленными IP-адресами всех задействованных интерфейсов устройств (IP-адреса вашего компьютера, маршрутизатора, и т.д.),
вид окон с пакетами запроса и ответа протокола ARP, и ответы на вопросы пункта 5,
приведите заголовок Ethernet одного из пакетов в шестнадцатеричном представлении, выделив каждое поле, опишите назначение полей,
выводы.