Internet ja tietoverkot A Periodi

Transkriptio

1 Internet ja tietoverkot A Periodi Wireshark harjoitus 1 Harjoituksen aiheena on tutustua Wireshark-työkaluun ja sen tarjoamiin ominaisuuksiin, sekä harjoitella Wiresharkin käyttöä. Wireshark on työkalu verkkoliikenteen analysointiin. Analysointi voi tapahtua lähes reaaliaikaisesti siten, että Wireshark kaappaa verkkoliikennettä tietokoneen langattoman tai langallisen verkkokortin avulla, tai siten, että Wiresharkilla avataan tiedosto, joka sisältää aiemmin kaapattua verkkoliikennettä. Tällä kurssilla ei valitettavasti kaapata liikennettä, mutta asentamalla Wiresharkin henkilökohtaiselle tietokoneelle verkkoliikenteen kaappausta voi kokeilla itsenäisesti. Tämä onkin suositeltavaa Wiresharkin täyden käyttöpotentiaalin oivaltamiseksi. Wireshark toimii OSX- ja Windows-käyttöjärjestelmissä, sekä useissa suosituissa Linux distribuutioissa. Osoitteesta voi ladata Windows- ja OSX-versiot ohjelmasta. Osoitteesta löytyy Wiresharkin virallinen käyttöopas, joka tarjoaa ohjeistusta myös asennukseen. Vaihtelevan tasoista, mutta spesifimpää ohjemateriaalia esimerkiksi verkkoliikenteen kaappauksesta löytyy hakukoneilla. (esim. Wireshark.org ylläpitää myös varsin kattavaa wiki-sivustoa osoitteessa Verkkoliikenteen kaappaus Käsitteellisellä tasolla verkkoliikenteen kaappaus tapahtuu siten, että verkkoliikenteen kaappaaja liittyy verkkolinkkiin, jossa verkon viestejä välitetään. Esimerkiksi kuvassa 1 pöytäkone on kytkeytyneenä Internetiin ja Wiresharkilla varustettua kannettavaa käytetään kaappaamaan tässä Internetin ja pöytäkoneen välisessä linkissä kulkevia viestejä. Kuva 1: Verkkoliikenteen kaappaaminen

2 Käytännössä kaappaus ei ole näin yksiselitteistä, sillä se miten verkkolinkkiin liitytään ja millaista verkkoliikennettä linkissä välitetään, on täysin riippuvaista verkon verkkotyypistä, verkon rakenteesta ja verkon konfiguraatiosta. Kuvassa 2 Wiresharkilla varustettu tietokone on liitettynä verkkolaitteeseen, joka yhdistää pöytäkoneen A ja palvelinkoneen. Verkkolaitteen tyypistä ja verkon konfiguraatiosta riippuen Wireshark-kone saattaa pystyä kaappaamaan A:n ja palvelinkoneen ja mahdollisesti myös B:n ja palvelinkoneen välistä liikennettä, mutta ei B:n ja A:n välistä. Pöytäkone B on liitettynä suoraan koneeseen A, eivätkä A:n ja B:n väliset viestit näin ollen koskaan kulje linkissä josta liikennettä kaapataan. Kuva 2: Verkkoliikenteen kaappaaminen langallisessa verkossa Kuvassa 3 verkkoliikenteen kaappaaminen on huomattavasti helpompaa, sillä verkko on langaton ja verkon yhteyslaite välittää kaikki verkon viestit kaikkialle tämän verkon kuuluvuusalueella. Liikenteen kaappaamiseksi riittää siis että Wireshark-kone tuodaan verkon kuuluvuusalueelle ja yhdistetään verkkoon. Kuva 3: Verkkoliikenteen kaappaaminen langattomassa verkossa Verkkoliikennettä kaappaamalla ja sitä analysoimalla voidaan tunnistaa esimerkiksi verkkoon kuulumatonta liikennettä (haittaohjelmat, virukset, yms. oikeudetta verkkoa käyttävät tahot) tai verkon käyttötarkoituksen kannalta turhaa liikennettä, jota karsimalla verkon suorituskyky paranee. Tämän kurssin Wireshark harkoissa tarkastellaan pääasiassa langallisten ja langattomien Ethernet-verkkojen (LAN ja WLAN) liikennettä.

3 Johdatus TCP/IP-verkkoliikenteeseen Lähde- ja kohdeosoitteet Kaiken TCP/IP-mallin mukaisten tietoverkkojen liikenteen voidaan katsoa olevan viestejä kahden, tai useamman verkkoon liitetyn laitteen välillä. Jokaisella verkkoon liitetyllä isäntäkoneella (host) on IP-protokollan (Internet Protocol) mukainen IP-osoite (IP-address), jonka perusteella viesti välitetään lähteestä (source) kohteeseen (destination). Jokaisella viestillä on siis vain yksi lähdeosoite (source address) ja yksi kohdeosoite (destination address). Esimerkiksi kuvassa 4, isäntäkoneen A lähettäessä viestin isäntäkoneelle B, on viestin lähdeosoite ja kohdeosoite Vastaavasti B:n lähettäessä viestin A:lle on viestin lähdeosoite ja kohdeosoite Kuva 4: Isäntäkoneiden IP-osoitteet On tärkeää huomioida että IP-lähde- ja kohdeosoitteet ovat kahden isäntäkoneen osoitteita. Ne eivät kerro mitään isäntäkoneen välisen verkon fyysisestä, tai loogisesta rakenteesta, vaan ainoastaan sen mistä minne viestin on tarkoitus kulkea. IP-osoitteita käytetään kyllä mm. viestin reititykseen (routing) verkossa, mutta aihetta käsitellään tarkemmin kurssin Reititys ja osoitteistus -osiossa. Viestin rakenne TCP/IP-mallin mukaan Lähes kaikkien TCP/IP-mallin mukaisessa verkossa välitettävien viestien perusrakenne on samanlainen; jokainen viesti koostuu otsikkotiedoista (header) ja tietosisällöstä (payload). Tietosisällöstä voidaan käyttää myös termiä hyötykuorma. Jokaisella TCP/IP-mallin kerroksella on oma tietoyksikkönsä, joka koostuu ko. kerroksen otsikkotiedoista ja tietosisällöstä. Jokaisen kerroksen tietosisältö pitää sisällään ko.kerrosta ylemmän kerroksen tietoyksikön, eli ylemmän kerroksen otsikkotiedot ja tietosisällön. Esimerkiksi kuvassa 5 Internet-kerroksen tietoyksikkö IP-datagrammi koostuu IPotsikkotiedoista ja IP-tietosisällöstä. IP-tietosisältö pitää sisällään kaiken ylempien kerrosten tiedon; kuljetuskerroksen-otsikkotiedot ja -tietosisällön, sekä sovelluskerroksen sovellusdatan. Vastaavalla tavalla IP-datagrammi sisältyy sitä alemman verkkoyhteyskerroksen Ethernet-kehyksen tietosisältöön.

4 Kuva 5: Viestin rakenne TCP/IP-mallin mukaan Yleensä myös sovelluskerroksen sovellusdata on pilkottu vastaavalla tavalla otsikkotietoihin ja tietosisältöön. Kuvassa 5 esimerkkinä toimiva WhatsApp-sovelluksen viesti koostuukin WhatsApp-otsikkotiedoista ja käyttäjän kirjoittamasta viestin sisällöstä, mutta on tärkeää huomioida ettei alkuperäinen TCP/IP-malli (tai OSI/ISO-mallikaan) määritä mitään oletusrakennetta sovelluskerrokselle. Näin ollen sovelluskerroksen tietoyksikön rakenne on periaatteessa sovelluskohtainen, mutta on olemassa useita sovelluskerroksessa toimivia protokollia (ns. Internet-standardeja), joiden varaan varsinaiset sovellukset käytännössä rakentavat tiedonsiirtonsa. Näitä protokollia ja niiden avulla tapahtuvaa tiedonsiirtoa tullaan käsittelemään enemmän kurssin edetessä. Kuvassa 6 on kuvattu viestin kulkua TCP/IP-mallin kerrosten läpi, sekä sitä miten eri kerrosten toteutus on tyypillisesti jaettu isäntäkoneen sovellusten, käyttöjärjestelmän ja laitteiston kesken. Viestiä lähetettäess ä jokainen kerros lisää alun perin sovelluskerro ksesta saatuun dataan omat otsikkotieton sa ja välittää kerroksen tietoyksikön (segmentti, Kuva 6: TCP/IP-malli toteutus isäntäkoneessa. Verkkoliikenteen kaappaus.

5 datagrammi tai kehys) alemmalle kerrokselle. Verkkoyhteyskerroksesta viesti välitetään fyysiseen verkkoon. Viestiä vastaanotettaessa jokainen kerros tulkitsee omien otsikkotietojensa sisällön ja välittää tietosisällön ylemmälle kerrokselle. Viestien kaappaus tapahtuu verkkoyhteyskerroksessa, juuri ennen niiden välittämistä fyysiseen linkkiin, tai juuri silloin kuin ne saapuvat linkistä isäntäkoneeseen. Wiresharkin käyttöliittymä ja suodattimet Nouda Kurose-Rossin kirjan oheismateriaaliin kuuluva tiedostopaketti osoitteesta ja pura se koneellesi. Paketissa on Wiresharkilla tehtyjä verkkoliikenteen esimerkkikaappauksia. Avaa Wireshark. Kotinäkymä Käynnistettäessä Wireshark ruudulle avautuu kotinäkymä (kuva 7). Näkymä on varsin yksinkertainen, mutta vasemmalta löytyvään Capture-osioon kannattaa hieman tutustua. Capture-osiossa näkyy lista niistä tietokoneen verkkoyhteyksistä, joista Wiresharkpystyy kaappaamaan verkkoliikennettä. Jos listaa ei näy Wireshark ei voi käyttää verkkoyhteyksiäsi kaappaamiseen, joko epäyhteensopivuuden vuoksi tai siksi ettei koneesta löydy ns.kaappaus-ajuria (yleensä pcap). Harkoissa käytetyillä yliopiston koneilla ajuria ei ole joten kaappaaminen ei siksi onnistu. Jos suoritat Wiresharkin Kuva 7: Wiresharkin kotinäkymä. Korostettuna verkkoliikenteen kaappausosio. henkilökohtaisella koneellasi, valikko on luultavasti kuvan 7 mukainen.

6 Päänäkymä Avaa aiemmin noutamasi wireshark-traces.zip -paketin sisältämä http-ethereal-trace-4 -tiedosto. Avattaessa kaapattua verkkoliikennettä sisältävä tiedosto, Wireshark esittää kaapatun verkkoliikenteen Pakettilistaus -, Paketin sisältö - ja Paketin tavut -näkymissä (kuva 8). Näkymien yläpuolelta löytyvät ohjelman työkalurivit. Kaikki Wiresharkin toiminnot löytyvät työkalurivien alasvetovalikoista, mutta osaan toiminnoista pääsee käsiksi helpommin ja nopeammin kontekstivalikon kautta. Kontekstivalikon saa esiin painamalla hiiren oikeaa näppäintä. Kuva 8: Wiresharkin päänäkymä. Päänäkymä koostuu kolmesta osanäkymästä. Paketti listaus -näkymä Ylimpänä käyttöliittymässä on Paketti listaus -näkymä, joka esittää kaapatun verkkoliikenteen listana yksittäisiä viestejä. Wireshark käyttää viestistä termiä paketti, TCP/IP-verkon pakettivälitteisyyden mukaisesti. Jokaisesta paketista esitetään listan sarakkeissa paketille kaappauksen yhteydessä annettu järjestysnumero ja suhteellinen saapumisaika kaappauksen aloittamishetkeen nähden. Jokaisesta paketista esitetään myös paketin kohde- ja lähdeosoitteet, paketin sisältämän korkeimman, TCP/IP-mallin mukaisen kerroksen protokolla ja mahdollista muuta tähän protokollaan liittyvää informaatiota. Oletusarvoisesti lista on järjestetty pakettien järjestysnumeron mukaan, mutta järjestystä voi helposti muuttaa klikkaamalla sarakeotsikoita. Paketin sisältö -näkymä Keskimmäisenä käyttöliittymässä on Paketin sisältö -näkymä, jossa näytetään Paketti listaus -näkymässä valittuna olevan paketin sisältö. Käytännössä näkymässä on listattuna paketin sisältämät protokollat, jaettuna TCP/IP-mallin kerrosten mukaisesti. Jokaisesta paketin sisältämästä protokollasta esitetään otsikkotiedot, sekä paketin tietosisältö korkeimmalla, paketin sisältämällä TCP/IP-mallin kerroksella. Wireshark esittää eri kerroksiin kuuluvat tiedot päinvastaisessa järjestyksessä, kuin mitä kurssilla esitellyissä TCP/IP-mallin kuvissa. Ylimpänä näkymässä on siis TCP/IP-mallin

7 alin kerros (verkkoyhteyskerros) ja näkymän alimpana mallin korkein kerros, johon kuuluvaa informaatiota paketti sisältää. Esimerkiksi kuvassa 9 valittuna oleva paketti sisältää sovelluskerroksen HTTP-protokollan otsikkotiedot joten se on listassa alimmaisena. Kuva 9: Wiresharkin Paketin sisältö -näkymä. Näkymässä esitetään valitun paketin sisältö jaettuna TCP/IP-mallin mukaisesti. On syytä huomioida että vain osa Paketin sisältö -näkymässä esitetyistä tiedoista löytyy yksittäisen paketin sisällöstä, sillä Wireshark johtaa osan informaatiosta yhdistelemällä useamman eri paketin sisältöjä. Wireshark muun muassa päättelee käyttäjän puolesta mitkä viesteistä muodostavat pyyntö-vastaus -viestiparin (esim. pyyntö paketissa #2 ja vastaus paketissa #16). Lisäksi Wireshark yhdistelee useassa pienessä paketissa välitetyn sovelluskerroksen loogisen kokonaisuuden (esim. iso tiedosto) ja esittää tämän kokonaisuuden omassa välilehdessään. Tämä välilehti on nähtävillä käyttöliittymän vasemmassa alalaidassa (kuvassa 9 punaisella rajattu alue), vain silloin kun valittuna on paketti, jonka kuljetuskerroksen tietosisältö sisältää tämän ison loogisen kokonaisuuden viimeisen osan.

8 Paketin tavut -näkymä Käyttöliittymän alimmaisessa näkymässä esitetään valittuna olevan paketin sisältö sekä heksa- tai binaarimuodossa, että ASCII -esityksenä (ASCII -standardista tarkemmin esimerkiksi osoitteessa ). Heksa- ja binaarimuodon välillä voidaan vaihtaa kontekstivalikon kautta. Kontekstivalikon saa esiin painamalla hiiren oikeaa näppäintä kursorin ollessa näkymän päällä. Heksaesityksessä tavut on järjestetty 16-tavun lohkoihin. Yksi kaksimerkkinen heksaarvo vastaa siis yhtä tavua, ja yhdellä rivillä esitetään yksi 16-tavuinen lohko. Rivin edessä oleva nelinumeroinen numerosarja on eräänlainen rivinumero, joka kertoo ko.rivin ensimmäisen tavun järjestysnumeron paketissa. Huomaa että järjestysnumerointi alkaa nollasta. Rivin muiden tavujen järjestysnumeron voi määrittää kuvaan 10 merkitys sarakenumeroinnin avulla. Käytännössä rivinumero toimii etuliitteenä ja sarake numero määrittää järjestysnumeron viimeisen merkin. Esimerkiksi kuvan 10 toisen rivin (0010) toiseksi viimeisen tavun (heksa-arvo 80) järjestysnumero 0x1E. Kuva 10: Wiresharkin "Paketin tavut" -näkymä. Käytössä heksaesitys. Vaihdettaessa tavunäkymä binaariesitykseen, näkymän skaalaus muuttuu 16-tavun lohkoista 8-tavuisiin lohkoisiin, jolloin näkymän koko kaksinkertaistuu. Esimerkki skaalauksen muuttumisesta löytyy alta kuvasta 11.

9 Kuva 11: Wiresharkin "Paketin tavut" -näkymä. Käytössä binaariesitys. Wiresharkin suodattimet Kaapatun verkkoliikenteen analysoinnin helpottamiseksi Wiresharkiin on rakennettu erittäin monipuolinen suodatusjärjestelmä. Suodattimia asetetaan ja hallitaan Paketti listaus -näkymän yläpuolelta löytyvältä Filter-työkalurivilta. Suodattimen ollessa aktiivisena Wireshark jättää näyttämättä kaikki ne paketit jotka eivät täytä suodattimessa määriteltyä loogista ehtoa. Suodattimia voi rakentaa melkein mistä tahansa Wiresharkin analysoiman, paketeista löytyvän informaation pohjalta. Suodattimia voidaan käyttää myös liikennettä kaapattaessa, jolloin Wireshark jättää kaappaamatta ne paketit jotka eivät toteuta suodattimessa määriteltyä ehtoa. Kuvassa 12 suodatusehdoksi on asetettu http, jolloin Wireshark ei näytä kuin ne paketit jotka sisältävät HTTP-protokollan otsikkotietoja. Kuva 12: Wiresharkin suodatin-työkalurivi. Aktiivisena suodatin joka esittää vain paketit joissa HTTP-otsikkotiedot Kuva 12: Wiresharkin suodatin-työkalurivi. Aktiivisena suodatin joka suodattaa pois kaiken muun paitsi HTTP-liikenteen.

10 Suodatusehtoja voi ketjuttaa loogisten operaattoreiden avulla ja kuvassa 13 käytössä onkin suodatin, joka näyttää vain ne paketit jotka sisältävät HTTP-otsikkotietoja ja joiden lähdeosoite on Kuva 1313: Wiresharkin suodatin-työkalurivi. Aktiivisena tietystä lähdeosoitteesta peräisin olevat HTTP-liikennettä sisältävät paketit. Jos kuvassa 13 esiintyvä ehto muutettaisiin muotoon http && ip.src == &&!(ip.dst == ), Wireshark ei enää esittäisi kuvan pakettilistassa näkyvää viimeistä pakettia, sillä suodattimen viimeinen ehto määrittelee ettei paketin kohde IPosoite saa olla Suodattimia voi määrittää varsin helposti Paketti listaus - ja Paketin sisältö -näkymien kontekstivalikon (löytyy hiiren oikean näppäimen takaa) kautta ( Apply as Filter - ja Prepare as Filter -valinnat). Johdatus tehtävään: HTTP-protokolla HTTP-protokolla. Asiakas / palvelin -malli Tässä harjoituksessa tarkastellaan web-selaimen ja web-palvelimen välistä liikennettä, jossa selain ja palvelin lähettävät toisilleen HTTP-protokollan (Hyper Text Transfer Protocol) mukaisia HTTP-viestejä. HTTP on sovelluskerroksen protokolla ja jokainen sen viesti koostuu HTTP-otsikkotiedoista, mutta vain osa viesteistä sisältää myös HTTPtietosisällön. HTTP-protokollassa tiedonsiirto tapahtuu TCP-protokollan yli. Kuva 14: HTTP-viesti

11 Web-selaimen tapauksessa HTTP-viestit ovat joko selaimen palvelimelle lähettämiä HTTP-pyyntöjä (HTTP-request), tai palvelimen selaimelle lähettämiä HTTP-vastauksia (HTTP-reply). Jokainen pyyntö ja vastaus muodostavat parin, eli yhtä HTTP-pyyntöä kohti annetaan yksi HTTP-vastaus. Pyyntöjä tekevää osapuolta, eli tässä tapauksessa web-selainta, nimitetään yleisemmin asiakasohjelmistoksi tai lyhemmin vain asiakkaaksi. Pyyntöihin vastaavasta osapuolesta käytetään palvelimen lisäksi joskus myös termiä palvelu. Näitä samoja pyyntö-vastausja asiakas-palvelin -malleja käytetään hyvin yleisesti muidenkin sovelluskerrosten protokollien yhteydessä. HTTP-GET -pyyntö. Palvelimen kanoninen nimi Tämän harjoituksen tehtävät liittyvät tilanteeseen, jossa asiakasohjelmisto (web-selain) lähettää palvelimelle HTTP-protokollan mukaisia GET-pyyntöjä. GET-pyynnössä selain pyytää palvelinta lähettämään selaimelle pyynnössä määritellyn tiedoston. Tyypillisesti nämä tiedostot ovat HTML-sivuja, joita selain näyttää selaimen käyttäjälle, sekä HTMLsivujen sisältöä kuten kuvia. Vastauksessa palvelin palauttaa pyynnössä määritellyn tiedoston selaimelle (olettaen tietysti että sellainen tiedosto löytyy palvelimelta). HTTP-vastauksen tietosisältö on siis käytännössä selaimen pyytämä tiedosto. GET-pyynnöissä ei ole tietosisältöä, sillä kaikki pyynnön käsittelyyn tarvittava tieto on kirjattu pyynnön otsikkotiedostoihin. Kuvassa 15 esitellään periaatekuvaus GET-pyynnöstä ja palvelimen vastauksesta. Kuva 15: HTTP-protokolla. GET-pyyntö asiakkaalta palvelimelle ja vastaus palvelimelta asiakkaalle. Yksinkertaistettuna GET-pyyntö on palvelimella sijaitsevan resurssin (tiedosto, kuva, yms.) URL-osoite (Uniform Resource Locator), muodossa: (esim. / index.html )

12 Esimerkki URL-osoitteessa mainittu käsite kanoninen nimi (canonical name) liittyy DNSprotokollaan (Domain Name System), joka esitellään tarkemmin kurssin Sovelluskerroksen toiminta -osion yhteydessä. Yksinkertaistettuna kanoninen nimi on linkitetty palvelimen IP-osoitteen (Internet Protocol) kanssa ja tarjoaa asiakkaalle palvelimen osoitteen helpommin muistettavassa muodossa. Kanonisella nimellä on myös muita kriittisempiä funktioita, joita esitellään tarkemmin kurssin edetessä. Esimerkki URL-osoitteen tapauksessa kanonisen nimen voi vaihtaa IP-osoitteeksi ( ilman että tiedonsiirrossa tapahtuu muutoksia; GET-pyyntö tiedostosta index.html tehdään edelleen samalle palvelimelle kuin käytettäessä palvelimen kanonista nimeä. Käytännössä GET-pyyntö lähetetään siis palvelimen IP-osoitteeseen ja palvelin lähettää vastauksensa asiakkaan IP-osoitteeseen. Asiakkaalla ei ole kanonista nimeä On tärkeää huomioida ettei HTTP-protokolla ole yksinomaan vain web-selaimen ja webpalvelimen välistä kommunikointia varten. Se on pikemminkin tiedostojen siirtoprotokolla, mutta web-selain on hyvä ja tyypillinen esimerkki käyttävästä sovelluksesta. HTTP-protokollaan tutustutaan tarkemmin kurssin Sovelluskerroksen toiminta -osiossa. Tehtävät Nouda Kurose-Rossin kirjan oheismateriaaliin kuuluva tiedostopaketti osoitteesta ja pura se koneellesi. Paketissa on Wiresharkilla tehtyjä verkkoliikenteen esimerkkikaappauksia. Etsi pakkauksesta tiedosto http-ethereal-trace-4 ja avaa se Wiresharkissa. Kaappaus on tehty tilanteesta, jossa internet-selaimella haetaan web-sivu osoitteesta Web-sivu sisältää kaksi kuvaa (GIF & JPEG) jotka on sivun HTML-koodissa määritelty haettavaksi kahdelta muulta palvelimelta. Wiresharkin Paketti listaus -näkymään liittyvät tehtävät Luettele kaappauksessa esiintyvät lähde- ja kohdeosoitteet. Mikä on asiakkaan IP-osoite? Mitkä ovat niiden palvelinten osoitteet, joilta web-sivu ja siihen liittyvät tiedostot haetaan? Montako tiedostoa asiakas pyytää palvelimilta yhteensä? Montako tiedostoa palvelimet lähettävät asiakkaalle? Minkä nimisiä tiedostot ovat? Wiresharkin Paketin sisältö -näkymään liittyvät tehtävät Luettele kaikki kaappauksessa esiintyvät protokollat ja näiden lyhenteet (6kpl) Montako TCP-protokollan otsikkotietoja sisältävää viestiä/pakettia kaappauksessa on? Mihin URL-osoitteisiin asiakas tekee HTTP-protokollan GET-pyyntöjä? Mitkä ovat palvelinten kanoniset nimet?

13 Tarkastele palvelinten lähettämiä HTTP-vastauksia asiakkaan lähettämiin kuvapyyntöihin. Kumpaakaan kuvatiedostoista ei niiden suuren koon vuoksi ole lähetetty yhdessä viestissä/paketissa, vaan pienempinä palasina useassa näitä HTTP-vastauksia edeltävien pakettien/viestien TCP-tietosisällöissä. Käytännöllisyyden nimissä Wireshark yhdistää näiden edeltävien pakettien TCPtietosisällöt ja esittää, että kuvat sisältyvät HTTP-vastausten tietosisältöön. Monestako paketista kuvatiedostojen lähetys koostuu? Mitkä ovat kuvatiedostojen osia sisältävien pakettien järjestysnumerot? (Listaa molempien kuvatiedostojen paketit erikseen) Mikä on jpeg-kuvan koko? Jos siirryt internet-selaimella web-sivulle joka kaappauksessa noudetaan, huomaat että selain jättää noutamatta toisen sivulla olevista kuvista (GIF-kuva), sillä tätä kuvaa ei enää löydy web-sivun HTML-koodissa määritellystä osoitteesta. Kuva voidaan kuitenkin poimia kaapatusta liikenteestä, tunnistamalla HTTPviesti, jossa palvelin lähettää kuvan asiakkaalle ja tallentamalla tämän viestin HTTP-tietosisältö erilliseen tiedostoon. Poimi ja tallenna kuva ("Export Selected Packet Bytes"). Mitä kuvassa lukee? (Huomioi että joudut antamaan tiedostolle päätteen.gif tallentaessasi sitä.) Wiresharkin Paketin tavut -näkymään liittyvät tehtävät Tarkastele kaappauksen ensimmäistä HTTP-vastausta, joka sisältää web-sivun. Määritä Wiresharkin heksanäkymän avulla monennestako tavusta alkaa sivun sisältämä <head>-tagi. Anna vastaus sekä heksa- että kymmenjärjestelmissä. Kuinka suuren tavumäärän web-sivun <body>-tagien sisällä oleva informaatio vie? (Yksiselitteisyyden takaamiseksi laske mukaan myös varsinaiset <body>tagit) Päättele heksanäkymän avulla kuinka suuri on tämän HTTP-vastauksen sisältävän paketin TCP-otsikkotietojen suuruus tavuina.