计算机网络实训教程-第三章-使用Ethereal分析数据包

1、nInterface是选择捕获接口是选择捕获接口nCapture packets in promiscuous mode表示是否打表示是否打开混杂模式，打开表示捕获所开混杂模式，打开表示捕获所有的报文，一般我们只捕获本有的报文，一般我们只捕获本机收发的数据报文机收发的数据报文nLimit each packet 表示表示 限制限制每个报文的大小每个报文的大小nCapture files 即捕获数据包的即捕获数据包的保存的文件名以及保存位置保存的文件名以及保存位置ncapture option确认选择后，确认选择后，点击点击ok就开始进行抓包就开始进行抓包n同时就会弹出同时就会弹出“Ethere

2、al:capture from (nic) driver”，其中，其中(nic)代代表本机的网卡型号。表本机的网卡型号。n同时该界面会以协议的不同统同时该界面会以协议的不同统计捕获到报文的百分比计捕获到报文的百分比n点击点击stop即可以停止抓包即可以停止抓包n“Open”即打开已存的抓包文即打开已存的抓包文件，快捷键是件，快捷键是crtlQn“Open Recent”即打开先前已即打开先前已察看的抓包文件，类似察看的抓包文件，类似windows的最近访问过的文档的最近访问过的文档n“Merge”字面是合并的意思，字面是合并的意思，其实是追加的意思，即当前捕其实是追加的意思，即当前捕获的报文追

3、加到先前已保存的获的报文追加到先前已保存的抓包文件中。抓包文件中。nSave和和save as即保存即保存 、选择、选择保存格式。保存格式。nExport是输出的意思是输出的意思nPrint 打印打印nQuit退出退出n其中其中”save as保存为保存为”注意点：注意点：1.点击点击 该展开按钮即可详细选择保存该展开按钮即可详细选择保存 路径路径2. File type保存选择时注意：保存选择时注意： 缺省保存为缺省保存为libpcap格式，这个是格式，这个是linux下的下的tcpdump格式的文件。格式的文件。只有选择文件保存格式为只有选择文件保存格式为sniffer（windowsba

4、se）1.1和和2.0都可，都可，ethereal和和sniffer才能双向互相打才能双向互相打开对方抓包的文件。否则只有开对方抓包的文件。否则只有ethereal能打开能打开sniffer的抓包文件。的抓包文件。nExport是输出的意思是输出的意思nPrint 打印打印nQuit退出退出nFind Packet 就是查询报文，就是查询报文，快捷键是快捷键是ctrl+Fn可以支持不同格式的查找可以支持不同格式的查找n输入正确的语句，那么背景为输入正确的语句，那么背景为 绿色绿色，语句错误或缺少背景就为，语句错误或缺少背景就为 红色红色 nFind Next是向下查找是向下查找nFind Pr

5、eyious是向上查找是向上查找nTime Reference 字面是时间参字面是时间参考，使用后明白是考，使用后明白是 做个报文做个报文的的“时间戳时间戳”，方便大量报文，方便大量报文的查询的查询n使用使用Time Reference标标签后，原先签后，原先time的就变成的就变成 “REF”缩写的标记缩写的标记 附注：附注：可以在多个报文间可以在多个报文间 用时间戳标记，方便用时间戳标记，方便 查询。查询。 nMark Packet（toggle）是标记报文是标记报文nMark all packets 和和 Unamrk all packet即即标记所有报文标记所有报文 、取消、取消标记所

6、有报文标记所有报文n点击点击“preference”进行用户界进行用户界面的选择，面的选择，比如说比如说 报文报文察看界面布察看界面布局的选择局的选择，以及协议支以及协议支持的选择。持的选择。nMain toolbar 主工具栏主工具栏nFilter Toolbar 过滤工具栏过滤工具栏nStatusbar 状态条状态条nPacket list 报文列表报文列表nPacket details 报文详解报文详解nPacket byte 报文字节察看报文字节察看nTime display format 时间显示格时间显示格式（可以显示年月日时分秒）式（可以显示年月日时分秒）nName Resolu

7、tion 名字解析名字解析nAuto scroll in live capture 单看单看字面真的不好翻译（字面真的不好翻译（自动翻卷显自动翻卷显示活动的报文示活动的报文），使用对比一下），使用对比一下才获知：捕获时是否才获知：捕获时是否跟进显示更跟进显示更新的报文新的报文还是还是显示先前的报文。显示先前的报文。nZoom in 字体的放大字体的放大nZoom out 字体的缩小字体的缩小nNormal size 标准大小标准大小nResize columns 格式对齐格式对齐nCollapse all 报文细节内容的缩报文细节内容的缩进进nExpand all 报文细节内容的展开报文细节内

8、容的展开nColoring Rules 颜色规则，即可颜色规则，即可以对特定的数据包定义特定的颜以对特定的数据包定义特定的颜色。色。nShow packet in new window在新在新窗口中查看报文内容窗口中查看报文内容nReload 刷新刷新nBack 同样双方的上个报文同样双方的上个报文nForward 同样双方的下一个报文同样双方的下一个报文nGo to packet 查找到指定号码的查找到指定号码的报文报文nFirst packet 第一个报文第一个报文nLast packet 最后一个报文最后一个报文nStart 开始捕获报文开始捕获报文nInterface 接口接口n捕获过

9、滤捕获过滤u 捕获过滤捕获过滤n如果要捕获特定的报文，那在抓取如果要捕获特定的报文，那在抓取packet前就要设置，决定数据包的前就要设置，决定数据包的类型。类型。 FIlter name：任意命名：任意命名 Filter string：比如说：比如说：a.捕获捕获 MAC地址为地址为 00:d0:f8:00:00:03 网络设备通信的所有报文网络设备通信的所有报文 ether host 00:d0:f8:00:00:03b.捕获捕获 IP地址为地址为 网络设备通信的所有报文网络设备通信的所有报文 host c.捕获网络捕获网络web浏览的所有

10、报文浏览的所有报文 tcp port 80d.捕获捕获除了除了http外的所有通信数据报文外的所有通信数据报文 host and not tcp port 80usrc|dst host uether src|dst host ugateway host usrc|dst net mask |len utcp|udp src|dst port uless|greater uip|ether proto uether|ip broadcast|multicastu relop Equal: eq, = (等于）等于） Not equal: ne,

11、 != （不等于）（不等于） Greater than: gt, （大于）（大于） Less Than: lt, = （大等于）（大等于） Less than or Equal to: le, = （小等于）（小等于）nDisplay filters 显示过滤显示过滤 可以直接在主界面的可以直接在主界面的filter上选择上选择正确的语法如下，和正确的语法如下，和“Capture Filter”的语法有所不同：的语法有所不同：显示显示 以太网地址为以太网地址为 00:d0:f8:00:00:03 设备通信的所有报文设备通信的所有报文 eth.addr=00.d0.f8.00.00.03显示显示

12、 IP地址为地址为 网络设备通信的所有报文网络设备通信的所有报文 ip.addr=显示所有设备显示所有设备web浏览的所有报文浏览的所有报文 tcp.port=80显示显示除了除了http外的所有通信数据报文外的所有通信数据报文 ip.addr= & tcp.port!=80nEnable protocols 是否启用该协议的解析，是否启用该协议的解析， 点选该协议后，相关的上点选该协议后，相关的上 层协议才能显示出来。层协议才能显示出来。nDecode As 用户定义报文协议说明用户定义报文协议说明nUser Specified Decodes 用户修改的报文编