Ethereal源码分析报告.docVIP

Ethereal简介 Ethereal是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。Ethereal起初由Gerald Combs开发，随后由一个松散的etheral团队组织进行维护开发。它目前所提供的强大的协议分析功能完全可以媲美商业的网络分析系统，自从1998年发布最早的0.2版本至今，大量的志愿者为ethereal添加新的协议解析器，如今ethereal已经支持百多种协议解析。R01.在Linux系统上安装Ethereal.doc 创建Ethereal编译环境 参考文件 R02.在Linux系统上编译Ethereal.doc Ethereal功能介绍 从网口捕获数据包 可以从多种网络硬件捕包，包括以太网，令牌环网，ATM网等。 捕包模块根据设置的捕包数量，捕包时间等条件自动停止捕包。 根据过滤条件，捕获需要的数据包 可以将捕获的数据包，自动保存在多个文件中 在捕包的同时，显示解析后的数据包 打开其他捕包软件捕获的数据 Ethereal保存的文件格式为libpcap格式，也是tcpdump的文件格式 除了libpcap格式外，Ethereal能识别的其他捕包软件捕获的数据格式，文件格式参见 R03.Ethereal能识别的文件格式 保存捕获的数据 Ethereal可以将其捕获的数据包，保存为其他捕包软件识别的数据格式，支持的文件格式参见R04.Ethereal保存的文件格式 Ethereal还可以将文件保存为plain text、postscript格式。 多种协议解码器 Ethereal0.10.14支持700+种协议解析 对于每种协议，解码器都能识别出协议字段（field），并显示出字段值（field value） 由于网络协议种类很多为了使协议和协议间层次关系明显对数据流里的各个层次的协议能够逐层处理Ethereal系统采用了协议树的方式采用插件技术，如果需要对一个新的协议分析只需要开发编写这个协议分析器并调用注册函数在系统注册就可以使用了Aclocal-fallback Debian Diameter Doc Docbook Dtds Epan Gtk Help Image Packaging Plugins Radius Tools Wiretap 需要把每个目录是什么文件说清楚。 模块结构（逻辑结构） 下图给出了Ethereal功能模块： GTK1/2 处理用户的输入输出，源码在gtk目录 Core 将其他模块连接在一起，源码在根目录 Epan Ethereal Packetage Analyzing，包分析引擎，源码在epan目录 Protocol-Tree：保存数据包的协议信息 Dissectors：在epan/dissector目录下，各种协议解码器 Plugins：一些协议解码器以插件形式实现，源码在plugins目录 Display-Filters：显示过滤引擎，源码在epan/dfilter目录 Capture 捕包引擎 Wiretap 从文件中读取数据包，支持多种文件格式，源码在wiretap目录 Ethereal功能模块 Ethereal初始化模块 初始化的流程： Capture_opts初始化：读取程序启动时参数以及从配置文件中读取信息 Gtk初始化 Cf_callback_add：cf回调函数初始化 Epan初始化： tvbuff初始化：全局变量tvbuff_mem_chunk指向用memchunk分配的固定大小的空闲内存块，每个内存块是tvbuff_t结构，从空闲内存块中取出后，用来保存原始数据包。 协议初始化： 全局变量： proto_names proto_short_names proto_filter_names 以上三个全局变量主要用来判断新注册的协议名是否重复，如果重复，给出提示信息，在协议解析过程中并没有使用。 gmc_hfinfo：指向用mem_chunk分配的固定大小的空闲内存块，其中每一项是header_field_info结构。从此空闲内存块中取出后，用来保存新注册的协议的基本信息：这里需要确认理解是否正确。 gpa_hfinfo：是个非常重要的变量，注册新的协议以及协议字段时，都会向其链表（数组）增加一项，数组下标是查找协议以及字段的Index。 gpa_name_tree：是一棵平衡二叉树，其中的Key是协议字段名称的简写，数据部分是协议字段指针， 注册新的协议字段时，都向此链表中添加一项。在根据名字查找协议字段时需要用到此变量。 protocols：是个单向列表，每个元素是个proto_t结构，实际协议解析中也没有用到。 tree_is_expanded num_tree_type