java如何抓取网络数据包

**大学

计算机科学与技术学院

实验报告

（ 2007 ~2008 学年度 第 一 学期 ）

课程名称

项目名称

网络编程技术 网络抓包

姓名

学号

专业 计算机

班级

地点

教师

一实验目的：

1. 通过学习，使大家熟练掌握JAVA的安装，配置及其运行环境。 2. 初步掌握如何连接JAVA和数据库。

3．从网络上采集至10万个数据包分别存入TXT文件和数据库中。 4．完成协议统计、包长统计。

5．实现数据包流量的时间变化（10分钟为单位）直观的统计图。

二．软硬件环境

操作系统：Windows xp 数据库：SQL Server 2000

开发环境：JDK_1_5-0-07, WinPcap_4_0_1，JCreator Pro 3.5

三 实验原理：

1. Java语言具有以下特点：简单、面向对象、分布式、解释执行、安全、 跨平台、高性能、多线程等特点。首先安装上述开发环境中的各个软件，Winpcap 是一个第三方类库，为Jpcap提供基础类Jpcap是一个静态库，可以被包截获程序直接调用，它应用Packet.dll导出的服务向上层应用程序提供强有力的截获界面。它是应用程序的一部分。 1）建立获取网络数据包的程

**大学

计算机科学与技术学院

实验报告

（ 2007 ~2008 学年度 第 一 学期 ）

课程名称

项目名称

网络编程技术 网络抓包

姓名

学号

专业 计算机

班级

地点

教师

一实验目的：

1. 通过学习，使大家熟练掌握JAVA的安装，配置及其运行环境。 2. 初步掌握如何连接JAVA和数据库。

3．从网络上采集至10万个数据包分别存入TXT文件和数据库中。 4．完成协议统计、包长统计。

5．实现数据包流量的时间变化（10分钟为单位）直观的统计图。

二．软硬件环境

操作系统：Windows xp 数据库：SQL Server 2000

开发环境：JDK_1_5-0-07, WinPcap_4_0_1，JCreator Pro 3.5

三 实验原理：

1. Java语言具有以下特点：简单、面向对象、分布式、解释执行、安全、 跨平台、高性能、多线程等特点。首先安装上述开发环境中的各个软件，Winpcap 是一个第三方类库，为Jpcap提供基础类Jpcap是一个静态库，可以被包截获程序直接调用，它应用Packet.dll导出的服务向上层应用程序提供强有力的截获界面。它是应用程序的一部分。 1）建立获取网络数据包的程

计算机网络 课程设计报告

课程设计题目：TCP数据包的抓取与分析

专 业： 班 级： 姓 名： 学 号: 指导教师:

年 月 日

1

目 录

1.摘要.........................................................................................3 2.引言.........................................................................................4 3.目录.........................................................................................2 4.TCP数据包抓取....................................................................5 5.TCP数据包分析.............................

网络数据包协议分析

一、实验目的

1. 学习网络协议分析工具Ethereal的使用方法； 2. 截获数据并对它们观察，分析其中2中协议（arp&tcp）数据包包头各数据位的含义，

了解协议的运行机制。

二、实验步骤

1. 安装并打开Ethereal软件；

2. 利用”运行cmd”打开命令提示符，输入“ping”确认网络连接是否完成； 3. 点击capture->options选择网卡（默认有线）； 4. 点击capture开始抓包；

5. 打开浏览器，访问一个网站，这样才可以抓到tcp的数据包； 6. 点击stop停止抓包。

三、实验结果分析

1. Arp---address resolution protocol，地址解析协议的缩写，就是主机在发送帧前将目

标IP地址（32位）转换成目标MAC地址（48位）的过程。它属于链路层的协议。

ARP协议数据包包头数据位分析： 1. 第一栏显示帧信息。

Frame 280 （60 bytes on wire，60 bytes capture）是指该数据包含有60个字节，ethereal软件截获了60个字节。点击打开，里面包括了到达时间、相对前一个包的时间延迟、传输时间、帧号280、包长度（60字节

网络层数据包抓包分析

一.实验内容

（1）使用Wireshark软件抓取指定IP包。

（2）对抓取的数据包按协议格式进行各字段含义的分析。 二.实验步骤

（1）打开Wireshark软件，关闭已有的联网程序（防止抓取过多的包），开始抓包；

（2）打开浏览器，输入http://www.sina.com.cn/网页打开后停止抓包。

（3）如果抓到的数据包还是比较多，可以在Wireshark的过滤器（filter）中输入http，按“Apply”进行过滤。过滤的结果就是和刚才打开的网页相关的数据包。

（4）在过滤的结果中选择第一个包括http get请求的帧，该帧用

于向http://www.sina.com.cn/网站服务器发出http get请求 （5）选中该帧后，点开该帧首部封装明细区中Internet Protocol前的”+”号，显示该帧所在的IP包的头部信息和数据区：

（6）数据区目前以16进制表示，可以在数据区右键菜单中选择“Bits View”以2进制表示：

（注意:数据区蓝色选中的数据是IP包的数据，其余数据是封装该IP包的其他层的数据） 回答以下问题：

1、该IP包的“版本”字段值为_0100_(2进制表示)，该值代表该IP包的协

网络层数据包抓包分析

一.实验内容

（1）使用Wireshark软件抓取指定IP包。

（2）对抓取的数据包按协议格式进行各字段含义的分析。 二.实验步骤

（1）打开Wireshark软件，关闭已有的联网程序（防止抓取过多的包），开始抓包；

（2）打开浏览器，输入http://www.sina.com.cn/网页打开后停止抓包。

（3）如果抓到的数据包还是比较多，可以在Wireshark的过滤器（filter）中输入http，按“Apply”进行过滤。过滤的结果就是和刚才打开的网页相关的数据包。

（4）在过滤的结果中选择第一个包括http get请求的帧，该帧用

于向http://www.sina.com.cn/网站服务器发出http get请求 （5）选中该帧后，点开该帧首部封装明细区中Internet Protocol前的”+”号，显示该帧所在的IP包的头部信息和数据区：

（6）数据区目前以16进制表示，可以在数据区右键菜单中选择“Bits View”以2进制表示：

（注意:数据区蓝色选中的数据是IP包的数据，其余数据是封装该IP包的其他层的数据） 回答以下问题：

1、该IP包的“版本”字段值为_0100_(2进制表示)，该值代表该IP包的协

利用数据包大小分析网络故障

当前网络中日益盛行的碎片攻击和超长数据包攻击，使网络中流通的数据包越来越受到网络管理人员的重视。在以太网中，数据包的长度在64～1518字节之间，多数是几百字节。所以，如果网络中出现过多小于等于64字节或大于等于1518字节的数据包，表示网络可能遭受攻击，网络管理人员应立即对网络进行检测分析，以确保网络的安全。

在以太网中，如果数据包小于64字节，称为碎片；大于1518字节，称为特大数据包。而碎片和特大数据包都是非正常的以太网数据包，它们将影响网络的正常运行，如过多的碎片将增加网络的负载，过多特大数据包导致网络瘫痪等。为避免网络遭受碎片或特大数据包的攻击，网络管理人员应该对网络中传输的数据包进行检查，以确定它们的合法性。 具体分析实例

我们使用科来网络分析系统5.0对网络中传输的数据包进行检查。图1所示的是系统捕获到的当前网络内传输的数据包信息。

（图1 在科来网络分析系统5.0查看数据包分布情况）

查看图1中的数据包大小分布和最常见数据包大小中的内容，可以知道当前网络中传输最多的是64字节和1518字节的数据包，其中64字节的数据包有30446个，占总数据包的73.903%，1518字节的数据包有10000个，占

数据包处理的一些建议

前言

我们大部分功能都需要解析数据，进行一系列的包匹配完成，但是目前，我们没有一个很好的框架来简化这个过程，大家处理数据包都是采用原生的linux内核接口，并且没有统一的规范要求如何使用这些接口，所以，存在大量的陷阱，一不留神就造成宕机。

获取IP头部

iph = ip_hdr(skb); struct sk_buff { ...... sk_buff_data_t sk_buff_data_t sk_buff_data_t ...... } transport_header; network_header; mac_header; /* Transport layer header */ /* Network layer header */ /* Link layer header */ 1）__netif_receive_skb()在进入三层处理前就对network_header进行了设置。 2）ip_rcv()中详细的检查保证了IP头部到netfilter后是完整的。 3）netfilter可以尽情使用ip头部。

获取tcp头部

错误1：

tcph = tcp_hdr(skb);

介绍etheral捕获数据包的用法

内容二 数据包捕获与分析

一、实验环境搭建：

1) 运行Windows 2000/2003 Server/XP操作系统的PC一台

2) 每台PC具有一块以太网卡，通过双绞线与局域网相连

3) Ethereal程序、WinPcap程序

二、实验目的：

1）学会正确安装和配置网络协议分析仪软件Ethereal。

2）掌握使用Ethereal分析各种网络协议的技能，加深对帧格式、协议格式、协议层次 的理解。

三、实验步骤：

Ethereal是一个图形用户接口（GUI）的网络嗅探器， Ethereal和其它图形化的网络嗅探器都使用相同的界面模式，如果能熟练地使用Ethereal，那么其它图形用户界面的嗅探器基本都可以操作。

1. Ethereal的安装

由于Ethereal需要WinPcap库, 所以先安装WinPcap_2_3.exe, 再安装Ethereal.exe。

2. 查看Ethereal的捕获接口

图1-1 Capture Interfaces

打开Ethereal，在菜单Capture 下点击Interfaces， 选取要抓包的网卡， 这里选取地址为172.20.12.47 的所在本主机的网卡抓取数据包，接口选择Broadcom

通俗易懂

ARP数据包格式分析

ARP报文格式

本文将对ARP报文加以分析，让大家对ARP报文有个初步的了解。ARP地址解析协议，如图1所示：

图1

先说ARP报文的格式（如图2）：

图2

①硬件类型：指明硬件的类型，以太网是1。

②协议类型：指明发送者映射到数据链路标识的网络层协议的类型；IP对应0x0800。 ③硬件地址长度：也就是MAC地址的长度，单位是字节，这里是6。

④协议地址长度：网络层地址的长度，即IP地址长度，单位是字节，这里为4。 ⑤操作：指明是ARP请求（1）还是ARP响应（2）。

⑥剩下的字段都很简单啦，不具体说了。

ARP请求包

如图3所示，arp的request包，包含了9个字段，它的Opcode为1,代表了这是一个请求包。包含有重要的信息是发送方的IP address、MAC address以及 接收方IP address。来以此获得接收方的MAC address。

通俗易懂

图3

ARP响应包

如图4所示，arp的reply包，也包含了9个字段，它的Opcode2,代表了这是一个响应包。包含有重要的信息是它会根据收到的请求包，来填补上自己的MAC address发送给对方。这样双方都获得了对方的MAC address。

图4

ARP欺骗

在这里我说下