Übung - Mit Wireshark eine UDP-DNS-Aufzeichnung untersuchen

Größe: px

Ab Seite anzeigen:

Download "Übung - Mit Wireshark eine UDP-DNS-Aufzeichnung untersuchen"

Norbert Richter
vor 6 Jahren
Abrufe

Übung - Mit Wireshark eine UDP-DNS-Aufzeichnung untersuchen Topologie Lernziele Teil 1: Wireshark für das Erfassen von Paketen vorbereiten Auswahl einer geeigneten Netzwerk-Schnittstelle, um Pakete

1 Übung - Mit Wireshark eine UDP-DNS-Aufzeichnung untersuchen Topologie Lernziele Teil 1: Wireshark für das Erfassen von Paketen vorbereiten Auswahl einer geeigneten Netzwerk-Schnittstelle, um Pakete zu erfassen. Teil 2: Erfassen, Finden und Untersuchen von Paketen Erfassen einer Web-Session auf Suchen von geeigneten Paketen für eine Web-Sitzung Untersuchung von Informationen in Paketen, einschließlich IP-Adressen, TCP-Portnummern und TCP- Kontroll-Flags Hintergrund / Szenario In dieser Übung werden Sie Wireshark verwenden, um Pakete zu erfassen und zu untersuchen, die zwischen dem PC-Browser und einen Webserver, wie zum Beispiel mit dem Hypertext Transfer Protocol (HTTP) generiert wurden. Wenn eine Anwendung, wie HTTP oder File Transfer Protocol (FTP), zum ersten Mal auf einem Host startet, verwendet TCP den Drei-Wege-Handshake, um eine zuverlässige TCP- Sitzung zwischen den beiden Hosts einzurichten. Wenn zum Beispiel ein PC einen Webbrowser benutzt, um im Internet zu surfen, wird ein Drei-Wege-Handshake initiiert und zwischen dem Host-PC und Webserver eine Sitzung aufgebaut. Ein PC kann gleichzeitig mehrere aktive TCP-Sitzungen mit verschiedenen Webseiten haben. Hinweis: Diese Übung kann nicht mit Netlab abgeschlossen werden. Diese Übung setzt voraus, dass Sie Zugang zum Internet haben. Erforderliche Ressourcen 1 PC (Windows 7, Vista oder XP mit Zugang zur Eingabeaufforderung, Internet und installiertem Wireshark) Part 1: Wireshark für das Erfassen von Paketen vorbereiten In Teil 1 starten Sie das Wireshark-Programm und wählen Sie die entsprechende Schnittstelle, um mit der Erfassung von Paketen zu beginnen. Step 1: Adressen der PC-Schnittstelle finden In dieser Übungmüssen Sie die IP-Adresse Ihres PCs und die physikalische Adresse seiner Netzwerkkarte (NIC), auch MAC-Adresse genannt, abrufen. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 1 von 6

Die PC-Host-IP-Adresse ist: Die PC-Host-MAC-Adresse ist: Step 2: Starten von Wireshark und Wahl der passenden Schnittstelle a.

2 a. Öffnen Sie ein Fenster der Eingabeaufforderung, geben ipconfig /all ein und drücken die Eingabetaste. b. Notieren Sie sich die IP- und MAC-Adresse des ausgewählten Ethernet-Adapters, denn das ist die Absenderadresse, nach der man bei der Untersuchung der erfassten Pakete schauen muss. Die PC-Host-IP-Adresse ist: Die PC-Host-MAC-Adresse ist: Step 2: Starten von Wireshark und Wahl der passenden Schnittstelle a. Klicken Sie auf die Windows-Schaltfläche Start und doppelklicken auf dem Pop-up-Menü auf Wireshark. b. Nachdem Wireshark gestartet ist, klicken Sie auf Interface List. c. Im Wireshark-Fenster: Capture Interfaces klicken Sie auf das Kontrollkästchen neben der an das LAN angeschlossenen Schnittstelle. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 2 von 6

Hinweis: Wenn mehrere Schnittstellen aufgelistet sind und Sie unsicher sind, welche Schnittstelle auszuwählen ist, klicken Sie auf Details. Klicken Sie auf die Registerkarte 802.

Part 2: Erfassen, Finden und Untersuchen von Paketen Step 1: Klicken Sie auf die Schaltfläche Start, um die Datenerfassung zu starten. a. Gehen Sie auf www.google.com.

3 Hinweis: Wenn mehrere Schnittstellen aufgelistet sind und Sie unsicher sind, welche Schnittstelle auszuwählen ist, klicken Sie auf Details. Klicken Sie auf die Registerkarte (Ethernet) und überprüfen, ob die MAC-Adresse mit dem übereinstimmt, was Sie in Schritt 1b notiert haben. Schließen Sie das Fenster Interface Details nach der Überprüfung. Part 2: Erfassen, Finden und Untersuchen von Paketen Step 1: Klicken Sie auf die Schaltfläche Start, um die Datenerfassung zu starten. a. Gehen Sie auf Minimieren Sie das Google-Fenster und gehen zu Wireshark zurück. Stoppen Sie die Datenerfassung. Sie sollten erfassten Verkehr, ähnlich wie unter Schritt b dargestellt, sehen. Hinweis: Ihr Instruktor könnte eine andere Website bestimmen. Wenn ja, geben Sie den Namen der Website oder die Adresse hier ein: b. Das Capture-Fenster ist jetzt aktiv. Suchen Sie die Spalten Source, Destination und Protocol. Step 2: Suchen Sie entsprechende Pakete für die Web-Session. Wenn der Computer erst vor kurzem gestartet wurde und nicht auf das Internet zugegriffen hat, können Sie den gesamten Prozess in der erfassten Ausgabe sehen, inklusive Address Resolution Protocol (ARP), Domain Name System (DNS) und TCP-Drei-Wege-Handshake. Die Bildschirmerfassung in Teil 2, Schritt 1 Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 3 von 6

zeigt alle Pakete, die der Computer erhalten muss, um www.google.com zu erreichen.

4 zeigt alle Pakete, die der Computer erhalten muss, um zu erreichen. In diesem Fall hatte der PC bereits einen ARP-Eintrag für das Default Gateway; daher begann er mit der DNS-Anfrage, um aufzulösen. a. Frame 11 zeigt die DNS-Anfrage vom PC an den DNS-Server, um zu versuchen, den Domain-Namen in die IP-Adresse des Webservers aufzulösen. Der PC muss die IP-Adresse haben, bevor er das erste Paket an den Webserver senden kann. Welche IP-Adresse hat der DNS-Server, den der Computer abgefragt hat? b. Frame 12 ist die Antwort des DNS-Servers mit der IP-Adresse von c. Finden Sie das entsprechende Paket für den Start des Drei-Wege-Handshakes. In diesem Beispiel ist Frame 15 der Beginn des TCP-Drei-Wege-Handshakes. Welche IP-Adresse hat der Google Web-Server? d. Wenn Sie viele Pakete haben, die nichts mit der TCP-Verbindung zu tun haben, kann es notwendig sein, die Wireshark-Filter-Fähigkeit zu nutzen. Geben Sie tcp in den Filter-Eingabebereich in Wireshark ein und drücken Sie die Eingabetaste. Step 3: Untersuchung von Informationen in Paketen, einschließlich IP-Adressen, TCP- Portnummern und TCP-Kontroll-Flags a. In unserem Beispiel ist Frame 15 der Beginn des Drei-Wege-Handshake zwischen dem PC und dem Google Webserver. Im Paketlistenfeld (oberer Teil) des Hauptfensters wählen Sie den Frame aus. Dies hebt die Zeile hervor und zeigt die entschlüsselten Informationen aus diesem Paket in den beiden unteren Fenstern. Untersuchen Sie die TCP-Informationen im Paket Detailbereich (Mittelteil des Hauptfensters). b. Klicken Sie auf das Symbol + links neben dem Transmission Control Protocol im Paketdetailbereich, um die Ansicht der TCP-Information zu erweitern. c. Klicken Sie auf das Symbol + links von den Flags. Schauen Sie auf die Absender- und Ziel-Ports und die Flags, die gesetzt sind. Hinweis: Es kann nötig sein, in Wireshark die oberen und mittleren Fenstergrößen anzupassen, um die notwendigen Informationen anzuzeigen. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 4 von 6

In diesem Beispiel ist dies Frame 16. Dies ist die Antwort vom Google Webserver auf die ursprüngliche Anfrage, eine Sitzung zu starten.

5 Wie lautet die TCP-Absender-Port-Nummer? Wie lautet die TCP-Zielportnummer? Welcher Flag (oder Flags) ist gesetzt? Auf was ist die relative Sequenznummer gesetzt? d. Um den nächsten Frame im Drei-Wege-Handshake zu wählen, wählen Sie Go im Wireshark-Menü und wählen Sie Next Packet In Conversation. In diesem Beispiel ist dies Frame 16. Dies ist die Antwort vom Google Webserver auf die ursprüngliche Anfrage, eine Sitzung zu starten. Welche Werte haben Absender- und Ziel-Port? Welche Flags sind gesetzt? Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 5 von 6

Auf was sind die relativen Sequenz- und Bestätigungsnummern eingestellt? Schließlich untersuchen Sie das dritte Paket vom Drei-Wege-Handshake im Beispiel.

6 Auf was sind die relativen Sequenz- und Bestätigungsnummern eingestellt? Schließlich untersuchen Sie das dritte Paket vom Drei-Wege-Handshake im Beispiel. Wenn Sie auf Frame 17 im oberen Fenster klicken, werden in diesem Beispiel die folgenden Informationen angezeigt: Untersuchen Sie das dritte und letzte Paket des Handshakes. Welcher Flag (oder Flags) sind gesetzt? Die relativen Sequenz- und Bestätigungsnummern werden auf 1 als Ausgangspunkt gesetzt. Die TCP- Verbindung ist jetzt aufgebaut und die Kommunikation zwischen dem Quellcomputer und dem Webserver kann beginnen. e. Schließen Sie das Programm Wireshark. Reflexion 1. Es gibt Hunderte von Filtern in Wireshark. Ein großes Netzwerk könnte zahlreiche Filter und viele verschiedene Arten von Datenverkehr haben. Welche drei Filter in der Liste könnten am nützlichsten für einen Netzwerkadministrator sein? 2. Für welche anderen Zwecke könnte Wireshark in einem produktiven Netzwerk verwendet werden? Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 6 von 6

Ähnliche Dokumente

1.1 Wireshark Bedienung (Die neuste Wireshark-Version sieht leicht anders aus!) 1.2 Aufzeichnung starten. LAN-Komponenten in Betrieb nehmen Modul 129

1 Wireshark für Protokolle (Verfasst von G. Schneider/TBZ-IT) 1.1 Wireshark Bedienung (Die neuste Wireshark-Version sieht leicht anders aus!) Wireshark ist ein sog. Sniffer. Diese Software dient dazu den