Ethereal教程PPT课件

1、-，1，Etherreal的使用，-，2，etherealOverview，-，3，Etherreal，Etherreal安装，Winpcap下载安装Etherreal，- - Download: (现在最新为3.1beta4，正式版本为3.0) -，5，etherreal，download:(nowreleaseversion:0.10.10，支持通道) http:/www.e，-，6，et 双击启动桌面上的etherreal图标，按下ctrl K选择“captureoption”。 选择正确的NIC并捕获消息。 支持WLan无线的协议。- 7、Interface选择了捕获接口的captur

2、epacketsinpromiscuousmode指示混合模式是打开还是打开，是否捕获所有消息，通常， 我们只捕获本机收发的数据消息。因此，如果关闭limitticket，则每个消息的大小Capturefiles即限制捕获包保存的文件名和保存位置，CaptureOptions，-，8， 确认ether real : capture form (NIC ) driver，captureoption已被选择，然后单击ok，开始捕获，同时“ether real : capture form (NIC ) dri 其中，nic表示本机的nic型号。 同时，此接口可以通过单击stop停止捕获，按协议的不

3、同统计信息捕获消息的比例。 -9、使用ether real :捕获表格(NIC )驱动程序捕获包，同时最小化or，使用alt tab快捷键可以直接切换到消息阅读主界面“Open”打开现有的捕捉文件，快捷键打开crtl Q“OpenRecent”打开以前看过的捕捉文件，像windows这样的最近访问的文档“Merge”实际上是合并的意思，实际上是追加的意思，当前捕捉的文档保存保存和另存为，并选择保存格式。11、savesa在这里是值得注意的地方。 单击展开按钮，可以详细选择保存路径2.Filetype。 保存所做的选择时注意：默认情况下保存为libpcap格式。 这是linux上的tcpdump

4、格式的文件。 只有选定文件的保存格式为sniffer(windows-base)1.1和2.0时，以太网和sniffer才可以双向打开打包的文件。 否则，只有ethereal才能打开sniffer包文件。 Sinffer、ethereal可以相互打开对方的文件，-、12、File的下拉菜单，Export是输出的意思打印打印Quit结束，-、13、Edit的下拉菜单，FindPacket是查询消息支持不同格式的搜索，可以输入正确的语句，如果背景是绿色的句子错误或背景缺失，则显示红色、-、14、Edit下拉菜单， FindNext向下搜索FindPreyious是向上搜索TimeReference

5、文字是时间的参考，知道是使用后制作消息的“时间戳”，使大量的消息查询变得方便，-、15、Edit的drow 可以在多个消息之间加上时间戳，使查询变得容易。 通俗的地方像书签。 标记包(toggle )标记消息标记消息Markallpackets和Unamrkallpacket标记所有消息，取消标记所有消息，然后从-，16，Edit下拉菜单中选择“首选项” 例如，该消息可以看到接口布局的选择和协议支持的选择。17， “View”下拉菜单主工具栏“FilterToolbar过滤器”工具栏“Statusbar”状态栏“包列表”消息列表“包详细信息”消息详细信息“包字节”消息栏时间显示形式(可显示年月

6、日时分秒) NameResolution名称解析Autosc rollinlivecapture与字面上难以翻译(自动倒带显示活动的消息)相比，知道是显示捕获时更新的消息，还是显示上一条消息。18、视图下拉菜单、放大Zoomin字体缩小Normalsize标准尺寸Resizecolumns格式是Collapseall消息的详细内容缩进Expandall消息Showpacketinnewwindow在新窗口中查看消息内容的重新加载更新，显示-、19、go下拉菜单， 与Back相同的两条前一条消息与Forward相同的两条下一条消息Gotopacket是指定编号的消息第一条消息第一条消息最后一条消

7、息，-、20找到capture下拉菜单，Start 21、接口的捕获过滤器、捕获的下拉菜单、-、22、捕获的捕获过滤器、捕获过滤器，如果要捕获特定消息，请在捕获包之前设置，并设置包的FIltername :任意名称Filterstring :请注意此处。 这里的语法输入有点窍门。23例如， a.mac地址是00: d 03336536353635363536403363535253525253525252525352535353535353535353535 53535353535353535353535353535353535353535353535353535353535353535353

8、53535353535 除p以外的所有通信数据消息host and not tcpport 80暗示了如果用默认主机和端口设置捕获tcp/ip消息，则看不到自己的arp消息。捕获的捕获过滤器、捕获的捕获过滤器、-、24和过滤语法字符格式 src|dst 主机 src|dst 主机 src|dst “src”端口类型，-，25，在Filterstring语法中定义符号，Equal:eq，=(等于) not equ=(不相等) Greaterthan:gt； (更大) lessthan:lt；=(大) LessthanorEqualto:le；=(小) lessthano

9、reequalto:le；-，26，Capturefilter的适用步骤，-，27， Displayfilters显示过滤器是可以在主接口的filter上直接选择的Analyze的下拉菜单，-、28、Analyze下的Displayfilters，正确的语法如下所示“CaptureFilter”的构成以太网地址为00: d 0: f 833635364600愚人节63设备正在通信的所有消息eth.addr=00.d0.f8.00.00.03地址为网络显示. 168.1所有设备的web阅览的所有消息tcp.port=80显示除了http以外的所有通

10、信数据消息IP.addr= TCP.port=80，-。 Enableprotocols是否启用协议分析，单击协议可以显示相关的高级协议。30，Analyze下拉菜单，解码as用户定义的消息协议说明用户特定的解码用户修改的消息的编译，-，31，分析的解码as，解码as用户定义、32、Analyze的followowtcpstream，秀来了，用浏览器敲了一下，看了一下你。 的双曲馀弦值。 的双曲馀弦值。 在包详细信息窗口，安祥躺在decelopment.html信息上。 抓到样品了。 followowtcpstream的followowtcpstream在包详细信息窗口

11、中选择此消息(decelopment.html消息)，单击鼠标右键，然后单击followowtcpstream-，34， 在followowtcpstream窗口中，Analyze的followowtcpstream全部被选中，在ctrl c中打开记事本，并在ctrl v中保存为1.html。 最后，双击文件。这只是以太网强大功能的一种技巧。 -35，Statistics的名称表示的统计信息是相关消息的统计信息，Summmary消息(Statistics的下拉菜单)的详细信息是Protocolhierarchy协议层的各协议层消息的统计信息conversa 该会话消息的信息(双向通信的消息信息) endpoints分别是一方的消息信息IOGraphs消息通信的心跳图(翻译的不好)、36， 显示Statistics的下拉菜单，显示Summmary消息的详细信息，协议hierarchy协议层即各协议层的消息统计，-，37， Statistics的下拉菜单，Conversations是该会话消