利用wireshark抓包分析DHCP和ICMP

一. DHCP获取IP过程分析

 要求：用电脑去获取IP地址，然后再释放这个IP，在这个过程中用Wireshark抓包，然后分析这个封包把DHCP的整个获取IP的过程描述清楚。

1、ctrl+r 打开cmd，输入iptables查看本机的ip地址。本机的IP为172.21.43.3

2、打开wireshark开始抓包

3、在cmd中输入ipconfig/release，释放自己的ip地址。我们会发现短暂的断网之后，网络又会重新的连上。

4、在wireshark的显示过滤器中输入bootp即可筛选出DHCP在建立过程中产生的封包。

5、对封包进行分析

（1）本机IP（172.21.43.3）通过端口68向DHCP的服务器（172.21.1.231）的端口67发包。这个报文将会使DHCP服务器释放发出此报文的客户端的IP地址。当前处在Release阶段。

（2）DHCP的客户端以广播的方式向发送Discover请求IP的租用。可以看出此时的IP变成了（0.0.0.0），并且不知道哪个DHCP的服务器会收到。当前处在Discover阶段。

（3）范围内的DHCP Server收到广播消息后，会给client发送Offer报文作为回应。报文中包含Sever准备提供的IP地址（172.21.43.3）和自己的IP地址（172.21.43.254）

（4）DHCP的客户端会对最早收到的Offer进行处理。然后采用广播的方式发送Request报文。确认自己要使用这个IP地址和给自己提供IP的server的地址。

（5）DHCP server收到Request报文后，会比较自己提供的IP是否和报文中的一致。如果不相同则不做任何的处理，清除刚刚自己提供的IP分配记录。如果相同，则会向client发送ASK报文确认此IP可用，并附上相应的租期。

根据我的理解，DHCP offer的时候此时并没有使用IP地址，所以发的包应该是广播包，而我抓到的包是单播的包。。具体的原因见：https://blog.csdn.net/weixin_40249907/article/details/79034522

 

二、电脑直接Ping的过程分析

要求：用一台电脑去ping另外一台同一个网段的电脑，ping之前要清掉ARP缓存，在这个过程中用Wireshark抓包，分析封包。

1、以管理员的身份运行cmd。输入命令arp -d清除arp缓存，arp -a查看缓存信息。

2、打开wireshark后ping xxx.xxx.xxx.xxx。在显示过滤器中输入icmp or arp即可筛选出ping时抓的包。

3、包的分析

（1）在一个局域网中，计算机通信实际是依赖于Mac地址进行通信的，ARP的作用就是根据IP地址查找出对应ip地址的Mac地址。PC1广播发出ARP请求，查询PC2的Mac地址。

（2）PC2收到PC1的ARP请求后向PC1发起单向应答告诉他自己的Mac地址。

（3）知道了Mac地址后PC1向PC2发起回显请求。当type是8的时候就表示回显请求的报文。标识符（

identifier）为发送进程的id。

（4）ARP的缓存机制，保证ARP不过期，节省下一次ping的时间。同时PC2上查看arp缓存能看见PC1。

（5）对上面第十条的回显响应。Type的值为8便是回显相应。类型、代码、序列号、标识符和回显请求一致。