简介这是一份面向计算机网络课程学习与实验教学场景的网络协议及应用实训任务书适合网络管理初学者通过抓包实践理解协议结构与流量分析思路也可作为教师布置实训、考核实验过程的参考蓝本。压缩包内为1个doc文档约587KB按章组织依次为实训目的、需求分析、Sniffer工作原理、数据包采集和数据分析、参考资料与正文内容要求结构紧凑便于按章节推进。文档重点讲解Sniffer Pro的杂收模式抓包原理、交换HUB下端口与MAC表机制并结合传输地图、协议分布状态、Host表与实时监控功能给出过滤抓包与逐字段解码的方法对ICMP回送请求与应答、ARP请求响应、HTTP、FTP、DNS等报文格式逐一对照说明读者可据此完成抓包、保存与解码分析的完整流程。目前已有187人学习。1. 网络协议实训任务书一份能照着复现的抓包分析清单带新人做网络协议实验最常见的翻车不是不会点软件而是抓了一屏包却讲不清哪个字段属于哪一层。这份《网络协议及应用实训任务书》的价值就在这里它没有停在概念罗列而是把 Sniffer 的监控视图、捕获过滤、逐包解码串成了一条能照着走的流程并且明确要求按 ICMP、ARP、DNS、HTTP、FTP 各抓一组报文对照字段。它适合网络运维、安全运维的入门同学拿来练“看包说话”也适合已经会抓包、但排障时习惯先猜后验的熟手用任务书里的顺序把习惯纠回来。下面按它原本的章节顺序拆开把每一步的过滤条件、参数设置和容易卡住的地方讲透。2. 先把 Sniffer 的工作原理立住网卡、杂收模式与网段边界2.1 抓包的物理前提网卡究竟能收到什么Sniffer 不是从网络里“变”出包它读的是网卡驱动在交给协议栈之前的那一份帧。理解这一点后面所有“抓不到”的问题都能自己推出来。网卡默认只接收三类帧目的 MAC 是自己的、广播帧、以及自己加入的组播组。任务书里说的杂收模式promiscuous mode就是让驱动把物理链路上能看到的帧都上交而不是只挑自己的。注意这里有个前提——“能看到的”。共享式 Hub 环境下同一冲突域里所有帧都会到达每块网卡所以杂收模式确实能拿到整个网段交换式环境下交换机只把帧转发到对应端口网卡连“看到”的机会都没有开不开杂收结果一样。从软件层面看还要确认抓包驱动是否绑定到了正确的网卡上。Sniffer Pro 这类工具依赖底层的抓包驱动把网卡切到杂收模式并在内核里开一块缓冲区。我一般会先做三件事确认实验机的有线网卡是唯一启用的物理网卡关掉虚拟机桥接、回环、蓝牙一类的虚拟接口避免选错确认抓包驱动安装后网卡属性里能看到绑定项把捕获缓冲区调到能覆盖一次实验流量的量级默认值在高速流量下很容易被填满。网卡工作状态能收到的帧典型适用场景普通模式目的 MAC 为本机、广播、已加入组播日常办公只关心自己的通信杂收模式物理链路上能到达该网卡的全部帧共享式 Hub 网段、镜像口、本机回环实验组播/广播过滤指定组播组或广播域分析 ARP 广播、服务发现类协议提示杂收模式改变的是网卡驱动的交付策略不改变交换机转发策略。在交换式网络里抓不到同网段其他主机的单播流量是拓扑决定的不是软件设置问题。2.2 共享式与交换式环境的差别为什么你抓不到隔壁的包任务书原文用了一段篇幅讲 Hub 与交换 Hub 的差异这段是整份实训里最容易被跳过、但最影响结论的部分。共享式 Hub 工作在物理层所有端口同属一个冲突域任何一台主机发出的帧都会电气扩散到所有端口所以每块网卡都能收到只是默认会丢掉不是自己的。交换机则维护一张“端口—MAC”表收到帧时先记录源 MAC 与入端口的对应关系再查目的 MAC 决定从哪个口转发查不到就泛洪查到了就只发那一个口。这张表是动态学习的主机换端口、老化超时都会让表项变化。这就解释了一个常见现象实验里用两台机器接同一台交换机A 抓不到 B 和网关之间的单播流量只能看到广播和发往自己的帧。要在交换环境里看到别人的流量合规且稳定的做法只有两类一是交换机端口镜像把被观察端口或 VLAN 的流量复制到抓包口这需要设备管理权限任务书里提到的“设置一个口监听别的口”本质就是这类能力二是在自己可控的链路上做观察点比如把抓包机放在网关位置、或者抓自己主机进出的流量。第一种方式在实验室里要先确认镜像会话的方向和 VLAN 范围配错方向会得到只有单向流量的捕获文件后面对 TCP 握手的分折就会缺一半。实际做实训时我建议把“抓包点”当成一个需要写进报告的变量你是在本机抓自己的流量还是在镜像口抓整个网段决定了报告里能下什么结论。本机抓包只能说明“本机看到的通信”不能推断全网流量分布镜像口抓包才能谈协议占比和主机流量排名。这一点在写分析结论时经常被混淆。2.3 搭一个可复现的实验拓扑三台角色一张表任务书要求观察局域网内节点流量、ICMP、ARP、DNS、HTTP、FTP 等报文格式。要一次把这些抓齐拓扑不需要复杂三台角色就够一台抓包机跑 Sniffer一台服务机同时提供 HTTP、FTP、DNS一台客户机发起访问。如果只有一台物理机用虚拟机做服务端、宿主机做客户端也能完成但要把虚拟网卡模式设对桥接模式下抓包机才能看到虚拟机的流量NAT 模式下流量被虚拟网关改写抓到的地址和预期对不上。角色地址规划示例运行内容主要抓什么抓包机192.168.10.10/24Sniffer Pro、抓包驱动全部实验报文服务机192.168.10.20/24HTTP 静态页、FTP 服务、DNS 服务被访问端客户机192.168.10.30/24ping、nslookup、curl、ftp 客户端发起端步骤上先固定地址不要用 DHCP否则每次实验 IP 变化过滤条件要跟着改。然后关掉不用的网卡尤其是虚拟网卡和无线网卡避免 Sniffer 默认选中错误接口。接着在服务机上把三个服务起起来HTTP 可以先放一个纯文本页面FTP 建一个测试账号和一个小文件DNS 建一条内网 A 记录。最后在抓包机上打开 Sniffer选中连接实验网段的网卡把缓冲区调大开始捕获。# 服务机上起一个临时 HTTP 服务端口 8080根目录放一个纯文本页面 cd /srv/lab/www python3 -m http.server 8080 --bind 192.168.10.20这段命令只是把 HTTP 链路先跑通方便快速验证抓包点是否有效。--bind指定监听地址避免服务只绑在回环上导致客户机访问不到端口用 8080 是为了和后面“非标准端口解码”的坑形成对照。等链路验证完再换回任务书要求的 Apache 服务重抓一遍两份捕获文件对比着看能看出服务端实现差异对报文的影响。命令执行后不要急着抓包先在客户机上用浏览器访问一次确认页面能打开再回到 Sniffer 开始捕获否则会把 TCP 重传和连接失败也混进实验数据里。3. 数据包采集过滤器怎么设才抓得到你要的那一个3.1 捕获前先定问题地址、协议、端口三个维度Sniffer Pro 的过滤器分两层捕获过滤和显示过滤。捕获过滤在抓包前生效决定哪些帧进入缓冲区显示过滤只影响你看哪一部分文件里其实都存着。任务书里“设置过滤器过滤出指定 IP 地址的数据”说的是捕获过滤位置在 Define Filter 的 Address 页。这一页最容易设错的是方向Station 1 和 Station 2 填两个地址方向有 Both、In、Out 等选项选 In 表示只抓从 Station 1 进入 Station 2 的包选错方向就会出现“过滤条件明明填了一个包都没有”的情况。过滤维度Sniffer Pro 设置位置典型写法注意点地址过滤Define Filter → Address两个 Station 填 IP 或 MAC方向选 Both方向选错会得到空捕获协议过滤Define Filter → Advanced选 IP/ARP/ICMP/TCP/UDP 模板模板有偏移和值改错会滤掉全部端口过滤Advanced 里 TCP/UDP 模板源端口或目的端口等于指定值只写目的端口会漏掉响应方向显示过滤Display Filter抓完后按条件筛不影响文件内容可反复改我的习惯是“先宽后窄”第一轮不加捕获过滤只按协议在显示层筛确认链路和抓包点没问题第二轮再针对具体实验加捕获过滤减少缓冲区压力。高速流量下捕获过滤能显著降低丢包但过滤条件写得太窄容易把响应方向的包漏掉最后只看到请求看不到应答分析 TCP 时非常难受。判断标准很简单如果一条会话的请求和响应不在同一个文件里就说明过滤方向设窄了。3.2 五类报文的构造步骤ICMP、ARP、HTTP、FTP、DNSICMP 最好抓也最适合用来验证抓包点。在客户机上 ping 服务机先把 ARP 缓存清掉这样一次操作能同时产生 ARP 请求/应答和 ICMP 请求/应答两类报文在一个文件里后面解码时对照着看。Linux 下用ip neigh flushWindows 下用arp -d清完立刻 ping中间不要做别的访问避免缓存又被填回去。# 清 ARP 缓存后 ping 四次保证 ARP 与 ICMP 都能抓到 ip neigh flush dev eth0 2/dev/null || arp -d 192.168.10.20 ping -c 4 192.168.10.20-c 4限定发送四个请求方便数请求与应答的配对清理缓存是为了强制触发 ARP 解析否则 ARP 表里已有记录抓不到请求报文。Windows 下对应ping -n 4参数含义一致。抓完后先看 ICMP 的 Identifier 和 Sequence 两个字段四个请求的序列号应该是递增的应答里的序列号要与请求一一对应这是后面判断丢包的基础。DNS 抓包要用nslookup指定内网 DNS 服务器地址不要让查询走外部解析否则抓到的目的地址和你实验规划对不上。HTTP 抓包时直接访问 IP 加端口不要用域名否则一个页面请求里会混入 DNS 查询解码窗口看起来会很乱。FTP 分控制连接和数据连接登录、dir、get三步分别对应不同的命令与数据通道抓的时候要确保两步都完成别只抓了登录就停。# 指定内网 DNS 查询确保目的地址是实验用的 DNS 服务器 nslookup www.lab.local 192.168.10.30 # 直接访问 IP避免 HTTP 抓包里混入 DNS 解析 curl -v http://192.168.10.20:8080/index.html # FTP 控制连接登录后执行 dir 与 get分别对应 LIST 与 RETR ftp -n 192.168.10.40 EOF user labuser labpass dir get test.bin bye EOFnslookup的第二个参数指定服务器不加就会用系统默认 DNS这是抓不到内网应答的常见原因。curl -v会把请求行和响应头打印到终端方便和抓包结果对照。ftp -n表示不自动登录后面用user命令显式提交账号这样登录过程在抓包里是完整的明文交互能看清 USER、PASS、SYST 这几条命令的先后顺序。注意实验账号只用于本地测试不要在真实环境里抓取他人凭据。3.3 抓包文件的保存与命名把复现成本降下来一次实训下来往往有十几个捕获文件命名混乱会让后面的分析变成考古。我一般按“协议-构造方式-序号”命名比如icmp-ping-01.pcap、arp-flush-01.pcap、http-8080-01.pcap文件里只放这一类实验的流量。保存前先看捕获缓冲区有没有丢包计数有丢包就重抓不要拿不完整的文件做分析。时间字段也要留意抓包机和服务器时钟不同步时报文时间戳和服务器日志对不上写报告时会被质疑。文件名示例构造方式关键过滤预期观察点icmp-ping-01清 ARP 后 ping 四次协议 ICMP ARP类型 8/0 配对、序列号连续arp-flush-01清缓存后访问同网段硬件地址过滤请求目标 MAC 全 0应答携带 MACdns-lab-01nslookup 指定内网 DNSUDP 目的端口 53查询与响应 ID 一致http-8080-01curl 访问静态页TCP 目的端口 8080三次握手、请求行、状态码ftp-login-01命令行登录并下载TCP 目的端口 21命令与响应码交替出现文件名里带上端口和构造方式半年后回头看也知道当时在验证什么。如果要做对比实验比如标准端口和自定义端口的解码差异就在文件名里加std和alt后缀不要用“新建文件夹”这类命名。4. 逐字段解码ICMP、ARP、DNS、HTTP、FTP 五组报文怎么读4.1 ICMP类型 8 与类型 0 的一问一答ICMP 报文头只有 8 个字节前四个字段是类型、代码、校验和后四个字段随类型变化。ping 请求的类型是 8代码 0ping 应答的类型是 0代码 0。抓包里看到类型 8 就是回送请求看到类型 0 就是回送应答这两个值记不住解码窗口里就只剩一堆十六进制。校验和覆盖整个 ICMP 报文抓包工具显示校验和错误时先别急着怀疑链路很多网卡开启了校验和卸载抓到的包在网卡发出前还没算校验和属于正常现象。字段长度请求报文取值应答报文取值说明类型8 位80区分请求与应答代码8 位00ping 场景固定为 0校验和16 位随报文计算随报文计算可能因卸载显示异常标识符16 位进程相关与请求一致用来匹配同一组 ping序列号16 位递增与请求一致判断丢包与乱序数据可变时间戳填充原样返回可用来算往返时延读 ICMP 时把请求和应答放在一起看标识符相同、序列号相同才是一对。如果只有类型 8 没有类型 0要么是对方没回要么是过滤器只放行了请求方向。TTL 字段也值得看一眼请求和应答的 TTL 不一样说明中间经过了路由跳数同网段实验里两边 TTL 应该接近差太多就说明流量没走你以为的那条链路。4.2 ARP请求与应答的字段差异ARP 报文固定 28 字节以太网 IPv4 场景字段顺序是硬件类型、协议类型、硬件长度、协议长度、操作码、发送方硬件地址、发送方协议地址、目标硬件地址、目标协议地址。请求报文里目标硬件地址全 0因为发送方还不知道对方 MAC应答报文里这个字段才填上。操作码 1 是请求2 是应答这是区分两类报文最快的方法。字段长度请求应答备注硬件类型16 位11以太网协议类型16 位0x08000x0800IPv4硬件长度8 位66MAC 地址 6 字节协议长度8 位44IPv4 地址 4 字节操作码16 位12请求/应答发送方 MAC/IP64 字节本机应答方请求里已填目标 MAC6 字节全 0请求方 MAC请求里未知目标 IP4 字节被查询地址请求方 IP一一对应抓 ARP 时容易忽略的是免费 ARP 和 ARP 探测这两类报文的操作码也是 1 或 2但发送方和目标地址相同出现在主机刚上线或地址冲突检测时。如果实验里只想要普通请求应答看到源和目的 IP 相同的记录可以直接跳过不要把它当成异常。另外ARP 表有老化时间清缓存后立刻 ping 才能稳定复现隔几分钟再抓表项可能已经被系统重新学习。4.3 UDP 与 DNS一次 nslookup 里的查询与响应DNS 查询走 UDP目的端口 53UDP 头只有 8 个字节源端口、目的端口、长度、校验和。源端口是客户端随机选的高位端口每次查询都可能不同所以过滤时只认目的端口 53不要试图记住源端口。DNS 报文头 12 个字节关键字段是事务 ID、标志位、问题数、回答数。事务 ID 用来匹配查询和响应响应里的 ID 必须和查询一致标志位的 QR 位为 0 表示查询为 1 表示响应。DNS 字段长度查询响应读法事务 ID16 位随机值与查询相同配对依据QR1 位01查询/响应Opcode4 位00标准查询RD1 位11期望递归RA1 位01服务器支持递归RCODE4 位00 或错误码0 表示成功问题数16 位11通常一条回答数16 位0大于等于 1A 记录条数查询名采用长度前缀的标签编码比如www.lab.local会被编码成3www3lab5local0解码窗口一般会自动展开成可读域名但看原始字节时要知道这个规则否则会以为报文里是一串乱码。回答部分常见的是 A 记录和 CNAMEA 记录里携带 4 字节 IPv4 地址CNAME 里是别名。实验里如果发现响应 RCODE 为 3说明域名不存在先检查 DNS 服务器的区域文件不要先怀疑抓包。4.4 TCP 与 HTTP三次握手之后才看得到明文请求TCP 头比 UDP 复杂得多分析 HTTP 之前至少要能读出源端口、目的端口、序号、确认号、标志位和窗口大小。三次握手的标志位顺序是 SYN、SYNACK、ACK序号和确认号的配合关系是客户端初始序号为 X服务端回复确认号 X1 并带上自己的初始序号 Y客户端再确认 Y1。抓包里如果只看到 SYN 没有 SYNACK说明服务端没响应或响应被过滤掉了这时候不要往下看 HTTP先把握手补齐。TCP 字段长度作用HTTP 分析时的关注点源端口16 位客户端临时端口区分同一主机的多个连接目的端口16 位服务端口80/8080 决定是否按 HTTP 解码序号32 位字节流位置判断重传与乱序确认号32 位期望收到下一个字节配合序号看双向进度标志位6 位SYN/ACK/PSH/FIN/RST握手、结束、复位窗口16 位接收能力零窗口说明接收端处理不过来HTTP 请求报文是纯文本结构为请求行、请求头、空行、可选请求体。请求行里看方法、URI、版本常见方法是 GET 和 POST请求头里 Host 字段在虚拟主机场景下很关键同一个 IP 不同域名靠它区分。响应报文看状态行200 表示成功301/302 是重定向404 是资源不存在500 是服务端错误。抓 HTTP 时如果解码窗口只显示 TCP 而没有 HTTP先看端口是不是 80 或 8080非标准端口需要手动指定解码协议否则工具不会自动识别。4.5 FTP控制连接与数据连接分开看FTP 的特殊之处在于它有两条连接控制连接固定走 21 端口传命令和响应码数据连接用来传文件内容或目录列表主动模式下由服务端从 20 端口发起被动模式下由客户端连服务端给出的临时端口。抓包时如果只过滤 21 端口能看到登录和命令交互但看不到文件内容这不是抓包失败是数据走了另一条连接。阶段方向典型命令/响应观察点登录客户端到服务端USER、PASS明文传输实验账号环境客户端到服务端SYST、PWD、TYPE响应码 215/257/200被动模式客户端到服务端PASV响应 227 携带地址端口目录列表数据连接LIST150 后跟 226文件下载数据连接RETR传输完成后 226读 FTP 抓包时把命令和响应码按时间顺序排开USER对应 331PASS对应 230PASV对应 227RETR先回 150 再回 226。响应码首位数代表类别2 开头是成功3 开头是中间状态4 开头是暂时失败5 开头是永久失败。邮箱协议也是同样的命令响应模式SMTP 看 25 端口的 HELO、MAIL FROM、RCPT TO、DATAPOP3 看 110 端口的 USER、PASS、RETR字段读法可以照着 FTP 的思路迁移。5. 常见问题与排查抓不到、解不开、对不上这三类坑5.1 抓不到包从选网卡到过滤方向逐项排除现象过滤条件里已经填了两个实验地址开始捕获后客户机也在访问但捕获窗口一直是空的丢包计数也是零。 原因Address 页的方向选项设成了单向而实验流量是双向的或者 Station 1 和 Station 2 填反了工具只放行了一个方向。另一个常见原因是网卡选错抓包机上有多块虚拟网卡Sniffer 默认选中的不是接实验网段的那块。 解决先把捕获过滤清空确认能看到流量再逐条加过滤方向选 Both地址用实验规划表核对一遍。选网卡时看接口的 MAC 和链路状态不确定就逐个试抓一次 ping哪个接口能看到 ICMP 就用哪个。现象本机抓包正常换到交换机镜像口后只能看到广播和自己的流量看不到两台实验主机之间的单播。 原因镜像会话的方向或 VLAN 范围配错或者抓包口接在了普通接入端口上交换机根本没有把被观察端口的流量复制过来。 解决登录交换机核对镜像源端口、目的端口、方向入向/出向/双向和 VLAN 列表配完后在抓包机上先看 ARP 广播是否能收到再看单播。镜像口只收不发抓包机不要在这块网卡上配默认网关避免自己产生流量干扰观察。5.2 解不开码解码树缺层与校验和异常现象抓到的 TCP 报文校验和显示错误但应用层内容完整HTTP 请求也能正常解析。 原因网卡开启了校验和卸载抓包点在协议栈把报文交给网卡之前此时校验和字段还是未计算状态抓包工具按原始字节校验就报错。 解决在抓包机上临时关闭对应网卡的校验和卸载功能再抓一次或者在接受这个现象的前提下只用校验和字段判断“是否经过中间设备改写”不要用它判断报文是否损坏。分析应用层内容时以解码结果为准。现象明明访问的是 Web 服务解码窗口只显示 TCP展开后是一串十六进制看不到请求行。 原因服务端口不是 80抓包工具默认只按知名端口识别应用层协议8080 这类端口不会自动按 HTTP 解码。 解决在解码窗口里手动指定协议把该 TCP 流按 HTTP 解析或者抓包前在协议模板里加一条端口规则。分析前先确认端口号再决定要不要手动解码不要因为看不到明文就判断服务没响应。5.3 对不上时间戳、丢包与命名混乱现象抓包文件里 TCP 序号不连续HTTP 响应只看到一半服务器日志显示请求已经完成。 原因捕获缓冲区太小高速流量下新包覆盖了旧包工具统计里有丢包计数但抓包时没注意看。 解决抓包前把缓冲区调大开启循环文件并按大小切分抓完后先看丢包统计有丢包就缩短单次抓包时长或加捕获过滤。分析 TCP 流时先看序号是否连续不连续就不要下“丢包发生在网络”的结论可能只是抓包机自己没接住。现象抓包文件的报文时间和服务器访问日志差了几十秒按时间对齐会话时对不上。 原因抓包机和服务器没有统一时间源或者抓包机时区设置与日志系统不一致。 解决实验前把两台机器指向同一个内网时间源抓包文件保留完整时间戳报告里注明时区。对齐会话时优先用端口和序号匹配时间只作为辅助不要用绝对时间做唯一依据。6. 从抓包到结论三个监控视图加一次交叉验证Sniffer Pro 的监控视图不是装饰它解决的是“单包看完之后整体结论怎么下”的问题。传输地图看的是当前活跃的点对点连接绿线表示正在发生、蓝线表示历史连接适合快速判断哪两个节点在通信Protocol Distribution 用色块展示协议占比适合回答“这个网段里到底是 HTTP 多还是 DNS 多”Host Table 按通信量给主机排序适合定位流量大户。三者配合的顺序我一般是从 Host Table 找到异常主机再看传输地图确认它对端是谁最后用协议分布判断这类流量占整体多大比例。视图看什么能回答的问题常见误读传输地图节点连线与颜色谁和谁在通信、连接是否活跃蓝线是历史连接不是当前流量协议分布协议色块占比各协议流量结构占比按包数还是字节数要看清Host Table主机通信量排名流量集中在哪台主机排序基准是 IP 还是 MAC 要确认单靠视图容易得出“看起来流量很大”这种结论要落到具体会话还得回到捕获文件。我习惯用命令行工具做一次交叉验证把 Sniffer 的统计结果和独立解析结果对一遍数字对得上报告里的结论才站得住。# 按协议分层统计和 Sniffer 的 Protocol Distribution 对照 tshark -r http-8080.pcapng -q -z io,phs # 只取 ICMP 类型 8 的请求核对请求与应答的序列号配对 tshark -r icmp-ping.pcapng -Y icmp.type 8 -T fields -e ip.src -e ip.dst -e icmp.seq-r指定读取的捕获文件-q只输出统计结果不逐包打印-z io,phs按协议分层输出包数和字节数-Y是显示过滤表达式-T fields -e用来只取需要的字段方便粘贴到表格里做配对核对。两条命令的统计口径要和 Sniffer 保持一致比如都按包数统计否则数字对不上会白折腾半天。还有一个具体技巧先看专家分析里的异常条目再回到具体会话。专家系统会把校验和错误、重传、零窗口、连接复位这类问题单独列出来但它给的是线索不是结论。看到大量重传先确认是抓包机丢包还是网络真丢包回到 TCP 流里看序号间隔和确认号推进才能区分是链路问题还是接收端处理慢。从那以后我每次做协议分析都强制走一遍“定问题—选网卡—设过滤—存文件—对字段—交叉验证”这六步少一步就会在报告里留下说不清的地方。希望帮到你。本文还有配套的精品资源点击获取
