用ethereal分析协议数据包(csna网站整理).docxVIP

Ethereal 分析协议数据包 本文由 CSNA（）网站 chuxiangshuai 整理。 Ethereal 是一个图形用户接口（GUI）的网络嗅探器，能够完成与 Tcpdump 相同的功能，但操作界面要友好很多。Ehtereal 和 Tcpdump 都依赖于 pcap 库（libpcap），因此两者在许多方面非常相似（如都使用相同的过滤规则和关键字）。Ethereal 和其它图形化的网络嗅探器 都使用相同的界面模式，如果能熟练地使用 Ethereal，那么其它图形用户界面的嗅探器基本都可以操作。 Ethereal 的安装 网站上可以下载到最新的 Ethereal 源码包。下面以 Ethereal 0.9.9 为例，讲述如何安装 Ethereal，此处使用的操作系统是 Red Hat 8.0。 首先下载最新的源码包，并将其解压缩： cp ethereal-0.9.9.tar.bz2 /usr/local/src/ cd /usr/local/src/ bzip2 -d ethereal-0.9.9.tar.bz2 tar xvf ethereal-0.9.9.tar Tcpdump 一样，在编译 Ethereal 之前应先确定已经安装 pcap 库（libpcap），这是编译 Ethereal 时所必需的。如果该库已经安装，就可以执行下面的命令来编译并安装 Ethereal： cd ethereal-0.9.9 ./configure make make install 设置 Ethereal 的过滤规则 当编译并安装好 Ethereal 后，就可以执行“ethereal”命令来启动 Ethereal。在用 Ethereal 截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。Ethereal 使用 Tcpdump 相似的过滤规则，并且可以很方便地存储已经设置好的过滤规则。要为 Ethereal 配置过滤规则，首先单击“Edit”选单，然后选择“Capture Filters...”菜单项，打开“Edit Capture Filter List”对话框（如图 1 所示）。因为此时还没有添加任何过滤规则，因而该对话框右侧的列表框是空的。 1 Ethereal 过滤器配置对话框 Ethereal 中添加过滤器时，需要为该过滤器指定名字及规则。例如，要在主机 62 和 间创建过滤器，可以在“Filter name”编辑框内输入过滤器名字“sohu”，在“Filter string”编辑框内输入过滤规则“host 62 and ”，然后单击 “New”按钮即可，如图 2 所示。 2 为 Ethereal 添加一个过滤器 Ethereal 中使用的过滤规则和 Tcpdump 几乎完全一致，这是因为两者都基于 pcap 库的缘故。Ethereal 能够同时维护很多个过滤器。网络管理员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。例如，一个过滤器可能用于截获两个主机间的数据包，而另 一个则可能用于截获 ICMP 包来诊断网络故障。 当所有需要的过滤器都创建好后，单击“Save”按钮保存创建的过滤器，然后单击“Close”按钮来关闭“Edit Capture Filter List”对话框。要将过滤器应用于嗅探过程，需要在截获数据包之前或之后指定过滤器。要为嗅探过程指定过滤器，并开始截获数据包，可以单击“Capture” 选单，选择“Start...”选单项，打开“Capture Options”对话框，单击该对话框中的“Filter:”按钮，然后选择要使用的过滤器，如图 3 所示。 3 为 Ethereal 指定过滤器 注意在“Capture Options”对话框中，“Update list of packets in real time”复选框被选中了。这样可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。 在选择了所需要的过滤器后，单击“OK”按钮，整个嗅探过程就开始了。Ethereal 可以实时显示截获的数据包，因此能够帮助网络管理员及时了解网络的运行状况，从而使其对网络性能和流量能有一个比较准确的把握。 Ethereal 分析数据包 Ethereal 和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理 层上传输时的最终形式。 使用 Ethereal 可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。图 4 是在 Ethereal 中对一个