Ethereal使用.ppt

网络嗅探器Ethereal Ethereal实验 Ethereal是一种免费的分组嗅探和分析工具 它能够运行在所有流行的操作系统上 包括Windows 它具有丰富的功能 这些功能包括直观的用户界面和分析大约400个协议 Ethereal实验应该与书中的内容相配合 并且能在自己的个人计算机上完成 在Ethereal实验中 能够观察到正在运行的网络协议 看到运行在计算机上的协议实体 是如何与在因特网中其它地方执行的协议实体交互和交换报文的 一 Ethereal的安装 开放源码 可以从网上免费下载和使用Windows操作系统中的安装方法 下载并安装最新版本的WinPcap 下载并安装Windows操作系统的Ethereal 最新版本的Ethereal已经将WinPcap一起进行了打包 所以一般只需第 2 步操作即可 Ethereal的启动界面 二 Ethereal的使用方法 1 使用Ethereal捕获包2 Ethereal中的过滤器3 Ethereal的主要菜单项4 Ethereal使用示例 首次使用 点击 Capture 菜单中的 Options 如果不是首次使用 在不需要更改抓包接口的情况下直接点击 Capture 菜单中的 Start 即可进行抓包 1 使用Ethereal捕获包 选择进行抓包的接口 抓包开始后 弹出已捕获的各种协议分组所占百分比 以及当前进度的显示窗口 被捕获的数据包的结果显示在Ethereal的主窗口中 字节视图面板 树形视图面板 菜单和工具栏 被捕获的数据包列表 显示过滤器输入框 Ethereal中的过滤器分为两类抓包过滤器 capturefilter 当网络流量很大时 可以有效地过滤噪音包 显示过滤器 displayfilter 从已抓获到的所有数据包中过滤噪音包 显示过滤器语法较简单 可以把数据包全部捕获后 再利用显示过滤器对抓获的包进行有选择地显示 2 Ethereal中的过滤器 在 显示过滤器输入框 中输入符合要求的过滤字符串表达式 然后单击 Apply 按钮 就可以根据设置的过滤条件对抓到的分组进行过滤 如果需要的过滤条件比较复杂 可以点击 Expression 按钮 在弹出的过滤器表达式对话框来直观地生成过滤器表达式 显示过滤器的两种使用方法 显示过滤器的语法 协议关键字 显示过滤器的语法 比较操作符 显示过滤器的语法 逻辑操作符 显示过滤器的语法 其它操作符 File菜单对包捕获的结果以文件形式保存 Save 打开 Open 输出 Export 成其它格式 合并 Merge 文件 打印 Print 关闭 Close 等 Edit菜单 FindPacket 菜单项根据显示过滤器 数值或是字符串实现对捕获分组的查找 SetTimeReference toggle 打开或关闭当前被选择分组的时间参考值的状态 通过为某一分组设置时间参考值来观察一组分组相对于特殊分组的到达时间 Preferences 对用户界面 捕获 Capture 选项 打印选项 名字解析选项等根据用户喜好和习惯进行设置 3 Ethereal的主要菜单项 View 视图 菜单对用户界面的视图进行配置 并可以对时间格式 名字解析进行选择 对用户视图进行放大或缩小 Go 跳转 菜单对用户浏览过的分组进行向前或向后的跳转 可以通过 GotoPacket 菜单项查找分组 Capture 捕获 菜单对分组捕获时的一些选项进行设置 可以通过 CaptureFilters 菜单项设置分组捕获过滤器 Analyze 分析 菜单提供对显示过滤器的管理功能 并提供对支持协议模块的配置 Statistics 统计 菜单 Summary 菜单项对抓包的起始时间 抓包过滤器表达式 捕获包的数目等关键数据进行统计 ProtocolHierarchy 对各个协议数据包所占的百分比 带宽 分组数 字节数等等进行汇总 Endpoints 对所捕获的各个端点上收发的数据进行统计显示 Conversations 与 Endpoints 类似 IOGraphs 可以由用户定义过滤器和时间刻度值 然后以图形的方式将单位时间内到达的协议分组数目形象地展示出来 Help 帮助 菜单提供使用Ethereal的帮助 4 Ethereal使用示例 以主机202 196 73 134使用HTTP访问为例 分析TCP的三次握手过程 启动Ethereal 点击 Capture 的 Start 菜单项开始抓包 启动IE浏览器 输入