一、《Wireshark网络分析就这么简单》 第一章学习
声明：文章只限于网络学习和实验，请遵守《网络安全法》。
第一章问题一：两台服务器A和B的网络配置如下(见图1)，B的子网掩码本应该是255.255.255.0，被不小心配成了255.255.255.224。它们还能正常通信吗?
1.搭建网络拓扑
2.配置IP地址、子网掩码和网关；
服务A配置信息如下
服务B配置信息如下：
3.重点：路由配置代码如下：
#进入试图模式
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
#进入主机R1，同时起名为R1
[Huawei]sys R1
#给0/0/0接口设置IP地址和掩码
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.26.2 24
#开启路由0/0/0的接口
[R1-GigabitEthernet0/0/0]undo shutdown
Info: Interface GigabitEthernet0/0/0 is not shutdown.#查看配置的路由接口是否开启
[R1-GigabitEthernet0/0/0]display interface brief
PHY: Physical
*down: administratively down
(l): loopback
(s): spoofing
(b): BFD down
^down: standby
(e): ETHOAM down
(d): Dampening Suppressed
InUti/OutUti: input utility/output utility
Interface PHY Protocol InUti OutUti inErrors outErrors
GigabitEthernet0/0/0 up up 0% 0% 0 0
GigabitEthernet0/0/1 down down 0% 0% 0 0
GigabitEthernet0/0/2 down down 0% 0% 0 0
NULL0 up up(s) 0% 0% 0 0#查看路由表，发现路由配置没有问题
[R1-GigabitEthernet0/0/0]display ip routing-table
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: PublicDestinations : 7 Routes : 7 Destination/Mask Proto Pre Cost Flags NextHop Interface127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0
127.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack0192.168.26.0/24 Direct 0 0 D 192.168.26.2 GigabitEthernet
0/0/0192.168.26.2/32 Direct 0 0 D 127.0.0.1 GigabitEthernet
0/0/0192.168.26.255/32 Direct 0 0 D 127.0.0.1 GigabitEthernet
0/0/0
255.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack04.查看环境是否配置成功
发现ping可以成功，说明子网掩码修改为255.255.255.254可以通信
二、 《Wireshark网络分析就这么简单》 第一章第一题 抓包学习
1.服务器B 直接ping 服务器A ；采用大鲨鱼抓包
12行分析需如下：
服务B通过ARP广播查询默认网关192.168.26.2的MAC地址。为什么我ｐｉｎｇ的是服务器A的IP，B却去查询默认网关的MAC地址呢？这是因为B根据自己的子网掩码，计算出A属于不同子网，跨子网通信需要默认网关的转发。而要和默认网关通信，就需要获得其MAC地址。
第13行，2号包如下:
默认网关是192.168.26.2向服务B回复了自己的MAC地址。为什么这些MAC地址的开头明明是００:e0:fc 和 54:89:98 ，WireShark上显示出来却都是HuaweiTe_?这是因为MAC地址的前3个字节表示厂商。而００:e0:fc 和 54:89:98都被分配给Huawei公司。这是全球统一的标准，所以Wireshark干脆显示出厂商名了。
第十四行，3号包如下：
B发出ping包，指定Destination IP 为A，即192.168.26.129.但Destination MAC却是默认网关的（00:e0:fc:26:7b:1e）。这表明服务B希望网关把包转发给A。至于默认网关有没有转发，我们目前无从得知，除非在网关上抓个包。
4号包如下：
服务B收到A发出的APP广播，这个广播查询的是B的MAC地址。这是因为在A看来，B属于相同子网，同子网通信无需默认网关的参与，只要通过ARP获得对方MAC地址就行了。这个包也表明默认网关成功地把B发出的ping请求转发给A了，否则A不会无缘无故尝试和B通信。
第5包如下
服务B回复了A的ARP请求，把自己的MAC地址告诉A。这说明B在执行ARP回复时并不考虑子网。虽然ARP请求来自其他子网的IP，但也照样回复。
第6包如下：
服务B终于收到了服务A的ping回复。从MAC地址（54:89:98:2c:46:6f）可以看出，这个包是从A直接过来的，而不是通过默认网关的转发。
第7、8、9、10包如下：
都是重复的ping请求和ping回复。因为A和B都已经知道对方的联系方式，所以就没必要再发ARP了。
2.重点总结：
分析完这几个包，答案出来了。原来通信过程是这样的：B先把Ping请求交给默认网关，默认网关再转发给A。而A收到请求后直接把Ping回复给B，形成三角环路。
1、服务B --ping请求--> 网关；
2、网关 --ping请求--> 服务A；
3、服务A--ping请求-->服务B；
3.分享文件
1.大鲨鱼抓服务B ping 服务A.pcapng 日志
2.eNSP实验环境备份
三、Wireshark远程数据包捕获
背景：开启远程桌面，rdp服务，再系统中安装wrieshark进行抓包分析；缺点是在远程登录的过程中，都会产生无关与目的远程连接数据流量。
wireShark远程抓包软件配置：
服务器安装winpacap中的rpcapd程序；
客户端安装wireshark连接服务端。
四、Wireshark虚拟机数据包捕获
选中指定网卡进行流量嗅探；域网嗅探同一网段的主机；
案例演示：
使用netdiscover -r CIDR 发现局域网主机，同时利用wireshark捕获虚拟机的流量。
（一）打开大鲨鱼，选中虚拟网络8
（二）打开虚拟机Kali系统，查看本地网络
# ifconfig
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500inet 10.0.0.129 netmask 255.255.255.0 broadcast 10.0.0.255ether 00:0c:29:78:c5:9d txqueuelen 1000 (Ethernet)RX packets 6831 bytes 673696 (657.9 KiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 61612 bytes 4345612 (4.1 MiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0eth1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500inet 192.168.46.129 netmask 255.255.255.0 broadcast 192.168.46.255inet6 fe80::20c:29ff:fe78:c5b1 prefixlen 64 scopeid 0x20<link>ether 00:0c:29:78:c5:b1 txqueuelen 1000 (Ethernet)RX packets 600 bytes 109609 (107.0 KiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 554 bytes 83036 (81.0 KiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0eth2: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500inet 192.168.56.101 netmask 255.255.255.0 broadcast 192.168.56.255ether 00:0c:29:78:c5:a7 txqueuelen 1000 (Ethernet)RX packets 6395 bytes 511414 (499.4 KiB)RX errors 0 dropped 182 overruns 0 frame 0TX packets 1915 bytes 185256 (180.9 KiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0（三）选中一个网卡，扫描同一局域网，进行流量嗅探
┌──(root㉿kalich)-[~]
└─# netdiscover -r 10.0.0.1/24
（四）查看大鲨鱼抓包数据包，同时kali的的扫描结果
六、Wireshark ARP欺骗数据包捕获)
案例演示
在Kali linux中完成ARP欺骗，开启wireshark抓取本地数据包。
虚拟机主机01IP：10.0.0.111
虚拟机主机02IP：10.0.0.128
主机10.0.0.128：执行命令：
arpspoof [-i 指定使用的网卡] [-t 要欺骗的主机] [-r 要伪装成的主机]
# arpspoof -i eth1 -t 10.0.0.111 -r 10.0.0.1
主机10.0.0.111的目标地址是10.0.0.1，通过ARP欺骗可以捕获10.0.0.111主机的请求数据。
