ethereal的使用.pptVIP

Etherreal Etherreal winpcap User Guide 可以利用停止捕获的选项来要求在捕获一定数量的分组,跟踪记录达到一定的大小或者在一个特定的时间后停止跟踪 此选项可使Ethereal将不同的数字翻译成人们易读的名字.如启用网络地址转换后,Ethereal会试图将一个网络地址 如8 转化成一个主机名 Ethereal过滤规则 Ethereal过滤规则 Ethereal过滤规则 Capture filter的应用步骤 Display filters 显示过滤 可以直接在主界面的filter上选择 Analyze的下拉菜单 Analyze下的Display filters 正确的语法如下，和“Capture Filter”的语法有所不同： 显示 以太网地址为 00:d0:f8:00:00:03 设备通信的所有报文 eth.addr 00.d0.f8.00.00.03 显示 IP地址为 网络设备通信的所有报文 ip.addr  显示所有设备web浏览的所有报文 tcp.port 80 显示除了http外的所有通信数据报文 ip.addr tcp.port! 80 Analyze的下拉菜单 Enable protocols 是否启用该协议的解析， 点选该协议后，相关的上 层协议才能显示出来。 Analyze的下拉菜单 Decode As 用户定义报文协议说明 User Specified Decodes 用户修改的报文编译 Analyze的Decode As Decode As 用户定义报文协议说明 通过定义后，数据包细节的窗口解释：原先是 tcp的解释，更改就直接显示ssl格式的报文了。 Analyze的follow tcp stream （follow tcp stream） 在 浏览器中 敲入 /decelopment.html 同时ctrl＋k 开始抓包 在packet detail的窗口里看到 decelopment.html报文。 * Ethereal的使用 ethereal Overview ethereal安装 Winpcap的下载安装 Etherreal下载安装 Download: 当前普遍使用正式版本是3.1） /security/packet-capture/winpcap/ http://winpcap.polito.it/install/default.htm ethereal Download： （now release version ：0.10.14 ，support chinese） http://www. E/distrubution/win32/ ethereal使用指南 双击启动桌面上ethereal图 标 ，按ctrl+K进行 “capture option”的选择。 选择 正确的NIC，进行报 文的捕获。支持 WLan无 线的相关协议。 如果机器同时拥有以太网接口和无线网络接口,只能选择其中一个进行检测 Interface是选择捕获接口 Capture packets in promiscuous mode表示是否打开混杂模式，打开即捕获所有的报文，一般我们只捕获到本机收发的数据报文，所以关掉 Limit each packet 表示 限制每个报文的大小 Capture files 即捕获数据包的保存的文件名以及保存位置 Capture Options 可以指定将记录存于多个文件中 Next file every N megabytes Next file every N minutes Ring buffer 环形缓冲区 Stop capture after N files等选项 Capture Options Ethereal:capture form nic driver capture option确认选择后，点击ok就开始进行抓包 同时就会弹出“Ethereal:capture form nic driver”，其中 nic 代表本机的网卡型号。 同时该界面会以协议的不同统计捕获到报文的百分比 点击stop即可以停止抓包 User Guide File的下拉菜单 “Open”即打开已存的抓包文件，快捷键是crtl＋Q “Open Recent”即打开先前已察看的抓包文件，类似windows的最近访问过的文档 “Merge”字面是合并的意思，其实是追加的意思，即当前捕获的报文追加到先前已保存的抓包文件中。 Save和save as即保存 、选择保存格式。 其中save sa保存为是有个注意点： 点击 该展开按钮即可详细选择保存