Ethereal的介绍.ppt

安装网络协议分析仪Ethereal 1) 安装WinPcap。网络协议分析仪Ethereal的运行需要软件WinPcap(wpcap.dll)的支持，因此安装Ethereal前必须安装WinPcap，否则会出现错误。 2) 双击安装Ethereal。 启动Ethereal 点击“Ethereal”图标，将会出现系统操作界面。 进行分组捕获 点击capture菜单，在“Interface”选项中选择一个合适的接口，如果你的主机有多块网卡, 要选择你现在正在使用的网卡。如果两个都在使用, 那么要选择你需要捕获数据的那个特定网卡。其余选项保持默认配置。点击“OK”，系统开始捕获数据。当点击“Stop”时，系统停止捕获数据并将已经捕获的数据装载在分析系统中。 Option选项的介绍 在捕获分组时，你可以不使用默认项，而自己定义所捕获的内容，例如捕获的时间、捕获分组的长度等，此时可以在option选项中进行设置。当选择option时，出现一个菜单(这个选项我们以后经常要用到的)。 Interface: 接口选项 Interface: 接口选项, 如果你的主机有多块网卡, 要选择你现在正在使用的网卡。如果两个都在使用, 那么要选择你需要捕获数据的那个特定网卡。 Ip address: 当你选择好网卡后Ethereal会自动识别你这块网卡目前的ip地址。 混杂模式下捕获分组 (capture packets in promiscuous mode) 选择捕获包的模式是否为混杂模式 如果你的计算机在一个共享网段（如以太网），网络接口将能探测到所有的分组 选中混杂模式时，将记录所在网络所有的数据包，包括那些并非发往你的机器的分组。 不选中混杂模式时，仅接收发往本接口的数据包。 limit each packet to N bytes ( 限制捕获包的大小) Ethereal能够捕获整个分组（数据和首部）。但一般数据会占据大多数的空间，而通常首部包含了最有用的信息。 如果不打算观察数据，可以只捕获首部。此时需要计算出感兴趣的首部的最大长度，并以此来捕获(一般的报头在68字节之内)。 捕获过滤器(capture filter) capture filter: 捕获过滤器，用来定义你要捕获的数据包的类型，可以限制捕获的数据量。只有那些匹配过滤器规则的分组才会被记录。 注意：一般情况下在开始捕获时不要进行选择，以免将来捕获的包不完全, 影响分析结果。 捕获文件（capture files） capture files:指定将捕获的分组保存在一个文件中。 Use multiple files: 启用多文件保存，默认不启用。 Next file every: 设定每个数据包文件的大小（单位是M，默认1M），只有启用Use multiple files后此项才可用。 Ring buffer with: 当保存多少个数据包文件后循环缓存，默认是2个文件，即保存2个数据包文件后丢弃缓存中的数据包，再添加新采集到的数据包。 显示选项(Display Options) 默认情况下，分组的显示与它们被捕获时的状态不一样，因为在网络活动量很高的时候，要想同步显示是很困难的 。 Update list of packets in real time: 实时更新捕获到的数据包列表信息。 Automatic scrolling in live capture: 对捕获到的数据包信息进行自动滚屏显示。 Hide capture info dialog: 隐藏捕获信息对话框。 名字解析(NameResolution) 名字解析可以要求Ethereal把分组中不同的数字翻译成人们易读的名字。 Enable MAC name resolution: 启动MAC名字解析，Ethereal会把MAC地址前3字节解析为生产厂商的名字。 Enable network name resolution: 启用网络名称解析， Ethereal会把IP地址解析为对应的主机名。 Enable transport name resolution: 启用传输名称解析， Ethereal会把那些知名端口号解析成对应的协议。 进行协议分析 停止抓包后，在协议分析窗口中，可以看到捕获的分组数据。此时会出现三个方框。 当选中主窗口最上面方框中的一个分组时，下面的两个方框显示了所选分组的细节。 跟踪列表框（跟踪框） 协议框 原始分组框（原始框） 列表框 第一个窗口是所抓包的列表，罗列了从开始到停止Ethereal软件抓到的数据包。在窗口的上部，有帧编号（No）、时间（Time）、源地址（Source）、目的地址（Destination）、协议（Protocol）和信息（Info）等