2015抓包及抓包工具的使用方法.docVIP

linux抓包及ethereal抓包工具的使用方法 Linux抓包 一般抓包命令 tcpdump -s0 -c 包数量 -i 网卡名-w 文件名 其中：-s0表示应用层的size不受限制，用于详细分析。否则将被截断，即应用层消息可能不完整) -c 包数量到达某个数量后自动停止抓包，防止文件太大 -i 只抓某个网卡的消息，不抓其他网卡的消息 -w抓到的消息自动存入文件中，但消息不再在显示器上显示了 例：tcpdump -s0 –c 10000 -i eth0 -w /tmp/1.cap 抓取本机eth0网卡上所有进出的消息，且应用层的消息是完整的，并存入/tmp目录下的1.cap文件（.cap是ethereal消息包文件的后缀名），如果在抓包过程中用户不使用ctrl+c来中断的话，抓到10000条消息后自动停止抓包。如果中途被中断，文件中存放的是中断之前的消息。 指定交互双方的抓包命令 tcpdump host 192.168.0.2 and 192.168.0.3 –s0 –w /tmp/2-3.cap 只抓这2台主机之间交互的消息，其它消息被过滤掉。 由于ethereal工具功能强大，所以尽管tcpdump命令有许多参数可以达到许多过滤条件，但把这些事交给ethereal来做，我们就更省力。 ethereal抓包工具的使用方法 把xxx.cap文件下载后，就可以使用ethereal工具来分析了。当然也可在linux机器上直接使用ethereal来抓包（需要安装rpm）而不用使用tcpdump命令。 现在介绍的是在windows电脑上启动ethereal程序，见下图： 选择菜单“file”－open 选择消息包文件： 打开： 选择菜单“statistics”－conversation list－tcp 通过对IP地址的排序找到所关心的一次交互过程，在该条目上使用右键： 该次交互过程中的所有消息便显示出来，可以认真分析了。 ethereal的显示区分为3个区域： 上区域：一次交互过程中的所有消息的概况， 中区域：一条消息中的所有分层信息的解码， 下区域：一条消息的16进制码，当对中区域应用层的解码有疑问时，可 利用该区域中的16进制码和相关协议进行再分析。 当发现问题以后，可以把该次交互过程的详细解码消息保存为文本文件进行交流。 选择菜单“file”－print 进行相关配置后，按“print”，多条消息的完整解码的文本文件就保存好了，见下图： Chenke 2010。5