Ethereal协议分析实验指导.docVIP

Ethereal协议分析实验指导 Ethereal是一个开放源码的网络分析系统，也是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。Ethereal 基本类似于tcpdump，但 Ethereal 还具有设计完美的 GUI 和众多分类信息及过滤选项。用户通过 Ethereal，同时将网卡插入混杂模式，可以查看到网络中发送的所有通信流量。Ethereal网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络安全的教学实验，网络的日常安全监测HTTP://www.E官方网站下载最新版本。以windows xp操作系统为例，如图2-1所示。目前可下载最新版本为：Ethereal 0.99.0 图2-1 下载Ethereal协议分析软件的界面 2.安装Ethereal软件 图2-2 Ethereal 安装界面 双击Ethereal-setup-0.99.0.exe软件图标，开始安装。图2-2为Ethereal安装界面。选择欲安装的选件，一般选择默认即可，如图2-3 图2-3选择欲安装的选件 选择欲安装的目录WinPcap是libpcap library的Windows版本Ethereal可过WinPcap来劫取网络上的数据包Ethereal时可以的过程中也会一并安装WinPcap，不需要再另外安装Winpcap，可以勾选Install　Winpcap 3.1 beta 4，接着按Next就可以看到Ethereal的画面了。如当编译并安装好Ethereal后，设置Ethereal的过滤规则 点击list available capture interfaces工具条选择可供捕获数据的接口，如图2-6所示。劫获网络上的数据包，指定网卡(Network?Interface?Cad)，接着按Capture即可。 图2-7 捕获的数据包种类 该图中列出捕获的数据包种类和相关信息，点击stop，停止数据报的捕获，并将已捕获的数据包分组信息装载在分析系统中。 （4）数据包分析 图2-8 Ethereal协议分析界面 要基于协议类型选择包，只需要在过滤工具条的Filter: 字段里写上协议类型，然后按回车就可以。如要只显示TCP协议的数据包，可在过滤字段里打入tcp 后显示内容。注意所有协议和字段名要用小写。另外，输入完后，不要忘记按一下回车键。 图2-9 过滤选项工具条 Ethereal的协议分析界面主窗口显示了三个视图，顶部视图，中间视图和底部视图。 顶部视图 主要包括分组的简要情况列表，最前面的编号代表收到封包的次序 No. 包的编号。这个编号即使在使用显示过滤时也不会改变. Time 时间：包的时间戳。 Source 源：包的源地址 Destination 目的：包的目的地址 Protocol 协议：简写的协议名称 Info ：关于包的内容的附加信息 图 2-10 Ethereal 协议分析顶部视图 注意：如果觉得截获的的封包数量太多的話，在抓取封包之前，可用Capture Filter的功能，选择想要过滤的协议即可。 底部视图 底部视图是封包的內容，是以进制及ASCII编码的方式来表示。ASCII字符。 图 2-12 Ethereal 协议分析底部视图 （5）保存捕获分组 可以指定将捕获到的分组直接保存在一个文件里，而不是存于内存中。若是想将到的数据包列表资料储存起来，可以执行[File]→[Save]或[Save As]将资料储存起来为Ethereal设置过滤规则只捕获感兴趣的数据包单击“Capture”选单，然后选择“Capture Filters...”如图所示。Ethereal过滤器配置对话框Ethereal还可以使用libpcap过滤语言进行捕获过滤。在Capture Option对话框中，将捕获过滤表达式输入到过滤字段，一个过滤表达式是由几个简单的表达式通过and/or 及not连接在一起形成的。 Filter string 语法输入的格式 [src|dst] host host ether [src|dst] host ehost gateway host host [src|dst] net net [{mask mask}|{len len} [tcp|udp] [src|dst] port port less|greater length ip|ether proto protocol ether|ip broadcast|multicast expr relop expr 比如说： 捕获 MAC地址为 00:d0:f8:00:00:03 网络设备通信的所有报文 过滤表达式为：ether host 00:d0:f8:00:00:03 捕获 IP地址为 网络设备通信的所有报文