Ethereal -抓包、报文分析工具
ethereal的使用详解
Statistics的下拉菜单
Statistics 顾名思义 统计 就是相关的报文的统计信息 Summmary 报文的详细信息 Protocol hierarchy 协议层 即各协议层报文的统计 Conversations 显示该会话报文 的信息 （双方通信的报文信息） endpoints 分别显示单方的报文 信息 IO Graphs 报文通信的心跳图 （翻译的比较蹩脚）
Ethereal的使用
Etherreal
ethereal Overview
• Ethereal是一个可以对活动的网络上或磁盘 中捕获数据并进行分析的重要软件。 • 特点：
– 计算机网络调试和数据包嗅探器，可用于故障修 复、分析、软件和协议开发与学习。 – 可以通过过滤器精确地显示数据，输出文件可以 被保存或打印为文本格式。
ether|ip broadcast|multicast
<expr> relop <expr>
符号在Filter string语法中的定义
Equal: eq, == (等于） Not equal: ne, != （不等于）
Greater than: gt, > （大于）
Less Than: lt, < （小于）
这里要注意了，这里语法输 入有点技巧。
capture的Capture filter
• 过滤器通常有三种
– 类型(type)
• 主要包括host(主机)、net(网络号)、 port(端口)。 • 如,host 192.168.0.1指主机地址。Net 192.168.0.0指网络号为 192.168.0.0的网络。Port 23指端口号是23.
Ethereal协议分析实验指导
Ethereal协议分析实验指导Ethereal是一个开放源码的网络分析系统，也是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。
Ethereal 基本类似于tcpdump，但 Ethereal 还具有设计完美的 GUI 和众多分类信息及过滤选项。
用户通过 Ethereal，同时将网卡插入混杂模式，可以查看到网络中发送的所有通信流量。
Ethereal网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络安全的教学实验，网络的日常安全监测。
使用Ethereal能够非常有效地帮助学生来理解网络原理和协议、帮助学生理解实验现象和诊断实验故障。
一、Ethereal 协议分析软件下载及安装1.下载Ethereal 开源软件Ethereal是免费的，可以从官方网站下载最新版本。
以windows xp操作系统为例，如图2-1所示。
目前可下载最新版本为：Ethereal 0.99.0图2-1 下载Ethereal协议分析软件的界面2.安装Ethereal软件图2-2 Ethereal 安装界面双击Ethereal-setup-0.99.0.exe软件图标，开始安装。
图2-2为Ethereal安装界面。
选择欲安装的选件，一般选择默认即可，如图2-3图2-3选择欲安装的选件选择欲安装的目录，确定软件安装位置。
Ethereal软件的运行需要软件WinPcap的支持，WinPcap是libpcap library的Windows版本，Ethereal可通过WinPcap来劫取网络上的数据包。
在安装Ethereal时可以的过程中也会一并安装WinPcap，不需要再另外安装。
如图2-4所示图2-4选择安装WinPcap如果在安装Ethereal之前未安装Winpcap，可以勾选Install Winpcap 3.1 beta 4。
开始解压缩文件，接着开始安装，接着按Next就可以看到Ethereal的启动画面了。
网络监听工具Ethereal利用说明
网络监听工具Ethereal利用说明1.1Ethereal简介Ethereal是一款免费的网络协议分析程序，支持Unix、Windows。
借助那个程序，你既能够直接从网络上抓取数据进行分析，也能够对由其他嗅探器抓取后保留在硬盘上的数据进行分析。
你能交互式地阅读抓取到的数据包，查看每一个数据包的摘要和详细信息。
Ethereal 有多种壮大的特点，如支持几乎所有的协议、丰硕的过滤语言、易于查看TCP会话经重构后的数据流等。
它的要紧特点为：支持Unix系统和Windows系统在Unix系统上，能够从任何接口进行抓包和重放能够显示通过以下软件抓取的包tcpdumpNetwork Associates Sniffer and Sniffer ProNetXrayShomitiAIX’s iptraceRADCOM & RADCOM’s WAN/LAN AnalyzerLucent/Ascend access productsHP-UX’s nettlToshiba’s ISDN routersISDN4BSD i4btrace utilityMicrosoft Network MonitorSun snoop将所抓得包保留为以下格式：▪libpcap (tcpdump)▪Sun snoop▪Microsoft Network Monitor▪Network Associates Sniffer能够依照不同的标准进行包过滤通过过滤来查找所需要的包依照过滤规那么，用不同的颜色来显示不同的包提供了多种分析和统计工具，实现对信息包的分析图1-1 Ethereal抓包后直观图图1是Ethereal软件抓包后的界面图，咱们能够依照需要，对所抓得包进行分析。
另外，由于Ethereal软件的源代码是公布的，能够随意取得，因此，人们能够很容易患将新的协议添加到Ethereal中，比如新的模块，或直接植入源代码中。
1.2Ethereal支持的网络协议Ethereal能对很多协议进行解码，它支持几乎所有的协议，如AARP, AFS, AH, AIM, ARP, ASCEND, ATM, AUTO_RP, BGP, BOOTP, BOOTPARAMS, BROWSER, BXXP, CDP, CGMP, CLNP, CLTP, COPS, COTP, DATA, DDP, DDTP, DEC_STP, DIAMETER, DNS, EIGRP, ESIS, ESP, ETH, FDDI, FR, FRAME, FTP, FTP-DATA, GIOP, GRE, GVRP, H1, H261, HCLNFSD, HSRP, HTTP, ICMP, ICMPV6, ICP, ICQ, IGMP, IGRP, ILMI, IMAP, IP, IPCOMP, IPCP, IPP, IPV6, IPX, IPXMSG, IPXRIP, IPXSAP, IRC, ISAKMP, ISIS, ISIS_CSNP,ISIS_HELLO, ISIS_LSP, ISIS_PSNP, ISL, IUA, KERBEROS, L2TP, LANE, LANMAN, LAPB, LAPBETHER, LAPD, LCP, LDAP, LDP, LLC, LPD, M3UA, MAILSLOT, MALFORMED, MAPI, MIP, MOUNT, MP, MPLS, MSPROXY, NBDGM, NBIPX, NBNS, NBP, NBSS, NCP, NETBIOS, NETLOGON, NFS, NLM, NMPI, NNTP, NTP, NULL, OSPF, PIM, POP, PORTMAP, PPP, PPPOED, PPPOES, PPTP, Q2931, Q931, QUAKE, RADIUS, RIP, RIPNG, RLOGIN, RPC, RQUOTA, RSH,RSVP, RTCP, RTMP, RTP, RTSP, RX, SAP, SCTP, SDP, SHORT, SIP, SLL, SMB, SMTP, SMUX, SNA, SNMP, SOCKS, SPX, SRVLOC, SSCOP, STAT, STP, SUAL, SYSLOG, TACACS, TCP, TELNET, TEXT, TFTP, TIME, TNS, TPKT, TR, TRMAC, UDP, V120, VINES, VINES_FRP, VINES_SPP, VLAN, VRRP, VTP, WAP-WSP, WAP-WSP-WTP, WAP-WTLS, WCCP, WHO, WLAN, , X11, XOT, YHOO, YPBIND, YPSERV, YPXFR, ZEBRA等。
wireshark使用方法
1. 目的在ADSL、AG及其他产品的日常排障过程中经常需要现场进行抓包配合，本文档提供了Wireshark的常用操作指南。
2. 范围AG、ADSL现场工程师。
3. Wireshark安装作为Ethereal的替代产品，Wireshark（）是一款优秀且免费的抓包分析软件，可到Internet自行下载安装。
Wireshark的安装软件包由Wireshark-setup和WinPcap等2个安装文件组成。
4. Wireshark使用抓包点击菜单Capture -> Option s…，打开Capture Options窗口。
在Interface中选择网络接口；在Capture Filter中输入需要过滤的协议（如过滤megaco协议，输入udp port 2944）；在Capture File(s)的File中输入要保存的抓包文件名，如要将抓包分文件保存，则在Use multiple files中选择保存文件的分割机制，如下图每5M 就保存一个文件；如需要实时显示抓包结果并让抓包结果自动滚屏，则在Display Options中选中Update list of packets in real time和Automatic scrolling in live capture。
Interface：这项用于指定截包的网卡。
Link-layer header type：指定链路层包的类型，一般使用默认值。
Buffer size（n megabyte（s））：用于定义Ethereal用于截包的缓冲，当缓冲写满后，就将截的数据写道磁盘上。
如果遇到ethereal丢包现象，将该缓冲尽量增大。
Capture packets in promiscuous mode：截包时，Ethereal将网口置于混杂模式。
如果没有配置这项，Ethereal只能截取该PC发送和接收的包（而不是同一LAN上的所有包）。
Limit each packet to n bytes：定义Ethereal截取包的最大数据数，大于这个值的数据包将被丢掉。
实验二 利用分组嗅探器(ethereal)分析协议HTTP
实验二利用分组嗅探器（ethereal）分析协议HTTP一、实验目的分析HTTP协议二、实验环境与因特网连接的计算机网络系统；主机操作系统为windows；Ethereal、IE等软件。
三、实验步骤1、HTTP GET/response交互首先通过下载一个非常简单的HTML文件（该文件非常短，并且不嵌入任何对象）。
（1）启动Web browser。
（2）启动Ethereal分组嗅探器。
在窗口的显示过滤说明处输入“http”，分组列表子窗口中将只显示所俘获到的HTTP报文。
（3）一分钟以后，开始Ethereal分组俘获。
（4）在打开的Web browser窗口中输入一下地址（浏览器中将显示一个只有一行文字的非常简单的HTML文件）：/ethereal-labs/HTTP-ethereal-file1.html（5）停止分组俘获。
窗口如图1所示。
根据俘获窗口内容，回答“四、实验报告内容”中的1-6题。
图1分组俘获窗口2、HTTP 条件GET/response交互（1）启动浏览器，清空浏览器的缓存（在浏览器中，选择“工具”菜单中的“Internet 选项”命令，在出现的对话框中，选择“删除文件”）。
（2）启动Ethereal分组俘获器。
开始Ethereal分组俘获。
（3）在浏览器的地址栏中输入以下URL: /ethereal-labs/HTTP-ethereal-file2.html,你的浏览器中将显示一个具有五行的非常简单的HTML文件。
（4）在你的浏览器中重新输入相同的URL或单击浏览器中的“刷新”按钮。
（5）停止Ethereal分组俘获，在显示过滤筛选说明处输入“http”,分组列表子窗口中将只显示所俘获到的HTTP报文。
根据操作回答“四、实验报告内容”中的7-10题。
3、获取长文件（1）启动浏览器，将浏览器的缓存清空。
（2）启动Ethereal分组俘获器。
开始Ethereal分组俘获。
（3）在浏览器的地址栏中输入以下URL: /ethereal-labs/HTTP-ethereal-file3.html，浏览器将显示一个相当大的美国权力法案。
linux(Red Hat)抓包及ethereal抓包工具的使用方法
linux抓包及ethereal抓包工具的使用方法1．Linux抓包（1）一般抓包命令tcpdump -s0 -c 包数量-i 网卡名-w 文件名其中：-s0表示应用层的size不受限制，用于详细分析。
否则将被截断，即应用层消息可能不完整)-c 包数量到达某个数量后自动停止抓包，防止文件太大-i 只抓某个网卡的消息，不抓其他网卡的消息-w抓到的消息自动存入文件中，但消息不再在显示器上显示了例：tcpdump -s0 –c 10000 -i eth0 -w /tmp/1.cap抓取本机eth0网卡上所有进出的消息，且应用层的消息是完整的，并存入/tmp目录下的1.cap文件（.cap是ethereal消息包文件的后缀名），如果在抓包过程中用户不使用ctrl+c来中断的话，抓到10000条消息后自动停止抓包。
如果中途被中断，文件中存放的是中断之前的消息。
（2）指定交互双方的抓包命令tcpdump host 192.168.0.2 and 192.168.0.3 –s0 –w /tmp/2-3.cap只抓这2台主机之间交互的消息，其它消息被过滤掉。
由于ethereal工具功能强大，所以尽管tcpdump命令有许多参数可以达到许多过滤条件，但把这些事交给ethereal来做，我们就更省力。
2．ethereal抓包工具的使用方法把xxx.cap文件下载后，就可以使用ethereal工具来分析了。
当然也可在linux 机器上直接使用ethereal来抓包（需要安装rpm）而不用使用tcpdump命令。
现在介绍的是在windows电脑上启动ethereal程序，见下图：选择菜单“file”－open选择消息包文件：打开：选择菜单“statistics”－conversation list－tcp通过对IP地址的排序找到所关心的一次交互过程，在该条目上使用右键：该次交互过程中的所有消息便显示出来，可以认真分析了。
Ethereal的介绍
Ethereal的介绍
网络协议分析软件 Wireshark 与 Ethereal
Wireshark（原名Ethereal）是目前世界上最受欢迎的协议分析软件，利用它可将捕获到的 各种各样协议的网络二进制数据流翻译为人们容易读懂和理解的文字和图表等形式，极大 地方便了对网络活动的监测分析和教学实验。它有十分丰富和强大的统计分析功能，可在 Windows，Linux 和UNIX等系统上运行。此软件于1998年由美国Gerald Combs首创研发， 原名Ethereal，至今世界各国已有100多位网络专家和软件人员正在共同参与此软件的升级 完善和维护。它的名称于2006年5月由原Ethereal改为Wireshark。至今它的更新升级速度 大约每2～3个月推出一个新的版本，2007年9月时的版本号为0.99.6。但是升级后软件的 主要功能和使用方法保持不变。它是一个开源代码的免费软件，任何人都可自由下载，也 可参与共同开发。 Wireshark网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络安全的教学 实验，网络的日常安全监测，网络性能参数测试，网络恶意代码的捕获分析，网络用户的 行为监测，黑客活动的追踪等。因此它在世界范围的网络管理专家，信息安全专家，软件 和硬件开发人员中，以及美国的一些知名大学的网络原理和信息安全技术的教学、科研和 实验工作中得到广泛的应用。
实验一 Ethereal协议分析软件的使用
实验一：使用包嗅探及协议分析软件Ethereal 分析 Ethernet帧及应用层FTP协议的分析【实验目的】1、掌握包嗅探及协议分析软件Ethereal的使用。
2、掌握Ethernet帧的构成3、掌握 FTP协议包的构成【实验环境】安装好Windows 2000 Server操作系统+Ethereal的计算机【实验时间】2节课【实验重点及难点】重点学习掌握如何利用Ethereal来分析Ethernet帧。
【实验内容】1、捕捉任何主机发出的Ethernet 802.3格式的帧和DIX Ethernet V2（即EthernetII）格式的帧并进行分析。
2、捕捉并分析局域网上的所有ethernet broadcast帧进行分析。
3、捕捉局域网上的所有ethernet multicast帧进行分析。
【实验步骤】一、Ethereal的安装Ethereal是一个图形用户接口（GUI）的网络嗅探器，由于Ethereal需要WinPcap库, 所以先安装WinPcap_2_3.exe, 再安装Ethereal.exe。
（已装好）二、仔细阅读附件中的Ethereal使用方法和TcpDump的表达式详解，学习Ethereal的使用。
三、捕捉任何主机发出的Ethernet 802.3格式的帧和DIX Ethernet V2（即EthernetII）格式的帧并进行分析。
捕捉任何主机发出的Ethernet 802.3格式的帧（帧的长度字段<=1500），Ethereal的capture filter 的filter string设置为：ether[12:2] <= 1500。
捕捉任何主机发出的DIX Ethernet V2（即Ethernet II）格式的帧（帧的长度字段>1500, 帧的长度字段实际上是类型字段），Ethereal的capture filter 的filter string设置为：ether[12:2] > 1500。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Ethereal -抓包、报文分析工具
Ethereal 是一种开放源代码的报文分析工具，适用于当前所有较为流行的计算机系统，包括 Unix、Linux 和 Windows 。
主界面如上图，点“抓包配置”按钮，出现抓包配置界面如下图。
在“Interface”中选择网卡，即用来抓包的接口，如果选择错误就不能抓到报文；“Capture packets in promiscuous mode（混杂模式抓包）”是指捕捉所有的报文，如不选中就只捕捉本机的收发报文；如果选中“Limit each packet to xx bytes（限制每个包的大小）”则只捕捉小于该限制的包；抓包时，数据量比较大，解析起来速度慢，可在“Capture Filter（抓包过滤
设置“Display Options(显示设置)”中建议选中“Update list of packets in realtime（实时更新抓包列表）”、“Automatic scrolling in live capture（自动滚屏）”和“Hide capture info dialog（隐藏抓包信息对话框）”三项。
抓包配置好就可以点击“Start”开始抓包了。
抓包结束，按“停止”按钮即可停止。
为了快速查看需要的报文，在“Filter”栏中输入过滤条件后按回车键即可对抓到的包进行过滤。
注意“Filter”栏中输入的过滤条件正确则其底色为绿色，错误则其底色为红色。
常用
有些报文还可以判断网络的状况，例如输入显示过滤条件tcp.analysis.flags，可以显示丢失、重发等异常情况相关的TCP报文，此类报文的出现频率可以作为评估网络状况的一个标尺。
偶尔出现属于正常现象，完全不出现说明网络状态上佳。
tcp.flags.reset==1。
SYN是TCP建立的第一步，FIN是TCP连接正常关断的标志，RST是TCP连接强制关断的标志。
统计心跳报文有无丢失。
在statistics->conversations里选择UDP，可以看到所有装置的UDP报文统计。
一般情况下，相同型号装置的UDP报文的数量应该相等，最多相差1到2个，如果个别装置数量异常，则可能是有心跳报文丢失，可以以该装置的地址为过滤条件进行进一步查找。
抓取的报文可以点击“保存”按钮进行保存，以后就可以点击“打开”按钮查看已保存的报文包。
保存报文时首先选择保存目录，再在“Packet Range”里“Captured（保存捕捉到的所有报文）”、“Displayed（保存屏幕显示的报文）”和“All packets（保存所有的数据包）”、“Selected packets only（保存选中的数据包）”、“Marked packets only（保存标记过的数据包）”配合选用，最后填上保存文件名点“OK”即可。
Wireshark也是一种开放源代码的报文分析工具，同样支持 Unix、Linux 和 Windows 等计算机系统，其前身正是Ethereal，二者使用方法类似。