以太网链路层帧格式分析实验 -Ethereal

本文主要是介绍以太网链路层帧格式分析实验 -Ethereal，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、Ethereal抓包

打开“命令提示符”窗口，使用“Ping”命令测试本机与另外一台电脑的连通性。在使用“Ping”命令测试本机与另外一台电脑的连通性时，本地计算机向它发送4个ICMP数据包，它也会向本地计算机发送四个应答报文。因此，这8个报文将被网络协议分析软件捕获。

单击Capture-按默认过滤器-Start-抓包-Stop。

二、以太网帧结构解析

8个字节的前同步码分为7字节的前导符和1个字节的帧首定界。最后的的四个字节是帧尾检验字段。

前同步码：

在帧中设置前导码和帧前定界符，以便于帧的识别。前7字节都是10101010，最后一个字节是10101011。用于将发送方与接收方的时钟进行同步，主要是有不同的以太网类型，同时发送接收速率也不会完全精确的帧速率传输，因此需要在传输之前进行时钟同步。

目的地址与源地址：

目的地址与源地址分别表示帧的接收结点与发送结点的硬件地址，又称为MAC地址，长度为6个字节。

类型字段：

类型字段长度为2个字节，在本程序中，它作为长度字段使用，表示数据段的长度。

数据字段：

数据字段是高层待发送的数据部分，数据字段的最小长度为46B。如果帧的数据字段值小于46B则应将其填充至46B，填充字符是任意的，不计入长度字段中。数据字段的最大长度为1500B。

校验字段：

校验字段采用32位FCS校验，俗称帧尾，即计算机网络数据链路层的协议数据单元（帧）的尾部字段，是一段4个字节的循环冗余校验码。源节点发送数据帧时，由帧的帧头和数据部分计算得出FCS，目的节点接收到后，用同样的方式再计算一遍FCS，如果与接收到的FCS不同，则认为帧在传输过程中发生了错误，从而选择丢弃这个帧。

三、实例分析

以下是抓包后的报文：

其中分为三个部分，最上面的黄色部分是报文列表窗口，显示的是对抓到的每个数据报文进行分析后的总结型信息，包括编号，时间，源地址，目标地址，协议，信息。

中部是数据报文协议信息。

下部是十六进制报文窗口。

分开来看第二个窗口。

第一行，Frame 397（），frame就是帧的意思，397是抓到的包的编号，因为对包进行了过滤所以，只显示了所需要的包。第一行也就是对这个包的一些总结性的信息。

第二行，Ethernet II表示MAC帧的地址。目的地址（destination），源地址(source)，协议类型(type)。

第三行，表示ip地址。Internet Protcol就是ip协议。

第四行：UDP协议（数据报协议），源端口号，目的端口号，长度，检验和。

源端口号：在需要对方回信的时候选用。不需要时可用全0
目的端口号：这在终点交付报文时必须要用到
16位UDP长度表示：整个数据报（UDP首部+UDP数据）的最大长度。其最小值为8（仅有首部）
校验和：检测UDP用户数据报在传输中是否有错。有错就丢弃。在计算校验和的时候要在UDP用户数据报之前增加12个字节的伪首部。UDP的校验和是把首部和数据部分一起都校验。

第五行：NetBIOS协议。

第六行：SMB协议。

主要是作为Microsoft网络的通讯协议。SMB 是在会话层（session layer）和表示层（presentation layer）以及小部分应用层（application layer）的协议。

第七行：SMB Mailslot协议（命令行send发送的数据）。这里包含了发送的数据。也就是data。

四、实验问题

1、列出报文中的协议类型：

IP协议，UDP协议，NetBIOS协议，SMB协议，SMB Mailslot协议。

在报文中直接可以看到这些协议。

2、EthernetV2 规定以太网的 MAC 层的报文格式分为 7 字节的前导符、1 字节的帧首定界、6 字节的目的 MAC 地址、6 字节的源 MAC 地址、2 字节的类型、 46～ 1500 字节的数据字段和 4 字节的帧尾校验字段。分析一个 Ethernet V2 帧，查看这个帧由几部分组成，缺少了哪几部分？为什么？

这个帧由 6 字节的目的 MAC 地址、6 字节的源 MAC 地址、2 字节的类型、 46～1500 字节的数据字段组成。 1字节的帧首定界和 4 字节的帧尾校验字段。

缺少了 7 字节的前导符、1 字节、还有 4 字节的 FCS 帧尾检验。这三部分用过后都会在适配器上被丢弃，不会提交给上一层。因此我们抓的包中没有这些信息。

这道题是要查看帧的信息，也就是第二行。（Ethernet II表示MAC帧的地址）。

3、