Ethereal的安装和使用.pdfVIP

Ethereal 的安装和使用 1．Ethereal 概述 Ethereal 是一个网络数据包分析器，它可以捕获网络中的分组，并将其以可读的形式展 现出来。通过 Ethereal 可以观察网络通信的细节和过程，可以观察网络数据包的内部结构和 数据，同时可以对捕获的数据进行统计和过滤。 Ethereal 是目前最好的开放源码的网络分析软件，支持 Unix 、Linux 和 Windows 平台， 如今 Ethereal 已经能够解析五百多种协议，并且通过安装对应的插件，Ethereal 可以支持更 多的协议。 2 ．Ethereal 的下载和安装 Ethereal 在底层依赖于一套捕获网络数据包的函数库，这套函数库从网卡中获得数据包 交给 Ethereal 分析，在 Linux ／Unix 平台依赖 Libpcap 函数库，在windows 平台依赖 winpcap 函数库。安装 Ethereal 必须安装对应的抓包函数库。本附录中讲解 Windows 平台下 Ethereal 的安装和使用。 （1） Winpcap 的下载地址：/install/default.htm （2 ） Ethereal 的下载地址：/download.html （3 ） 首先安装Winpcap ，再安装Ethereal ，安装完毕后重新启动机器。 3 ．如何捕获数据包 启动 Ethereal 后，点击 Capture 菜单中的 Start 项，弹出捕获选项对话框，如图 A-1 和图 A-2 所示。 图A-1 开始捕获数据包 图A-2 捕获选项窗口 在捕获选项对话框中，可以首先设置捕获数据包时的一些参数，然后再开始捕获网络数 据包。下面介绍一些主要的选项。 （1） Interface:选择要捕获哪个网络接口（网卡）的数据包（一台主机上可能有多个 网络接口） （2 ） Capture packets in promiscuous mode:在混杂模式下捕获数据包。在网络中，一 台主机的网卡会收到许多数据帧，在默认情况下，如果这个数据帧的目的地不是网 卡本身的物理地址，网卡会将其直接丢弃。但在设置为混杂模式后，网卡会记录所 有它收到的数据帧，即便有些帧目的地不是本主机。 （3 ） Capture Filter:用来在捕获数据包时设置过滤规则，只选择感兴趣的包。 （4 ） File ：默认情况下，捕获的数据包会保存在内存中，可以指定将捕获的数据包 保存在一个文件中。 （5 ） Enable MAC name resolution:允许 MAC 地址名字解析，将 MAC 地址翻译成更 加容易理解的形式，如将 ff-ff-ff-ff-ff-ff 翻译成 broadcast(广播) 。 （6 ） Enable transport name resolution:允许运输层端口解析，将一些常用的端口号翻 译成更可读的形式，如 80 翻译成 http ，53 翻译成 dns 。 设置完选项后，点击 OK 按钮即可开始捕获数据包，在捕获过程中，Ethereal 会显示所 捕获的各类数据包的数量和统计数据，如图 A-3 所示。点击 Stop 按钮后，将停止这次捕获 过程，显示捕获和分析的结果。 图A-3 捕获统计窗口 4 ．如何查看分析结果 下面以一次捕获结果为例，讲解如何查看 Ethereal 分析的结果，如图 A-4 所示。 图A-4 分析结果窗口 Ethereal 的分析结果窗口可以分为上、中、下三部分，依次为数据包列表，分析结果和 原始数据。 最上面部分是捕获数据包的列表，每个数据包一行，列出了这个数据包的一些主要信息， 如源（Source）、目的地（Destination ），高层协议（Protocol ）和信息（Info ）等。 中间部分对选中数据包的详细分析结果。依据数据封装原理，用户数据要经过应用层、 运输层、网络层和数据链路层的层层封装，每层添加自己的首部后，最后形成帧，然后通过