使用包嗅探及協(xié)議分析軟件

1、實驗二 使用包嗅探及協(xié)議分析軟件Ethereal 分析 Ethernet幀【實驗目的】        1、 掌握包嗅探及協(xié)議分析軟件Ethereal的使用。2、 掌握Ethernet幀的構成【實驗環(huán)境】 安裝好Windows 2000 Server操作系統(tǒng)+Ethereal的計算機【實驗時間】 2節(jié)課【實驗重點及難點】 重點學習掌握如何利用Ethereal來分析Ethernet幀。【實驗內(nèi)容】1、捕捉任何主機發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格式的幀并進行分

2、析。2、捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀進行分析。3、捕捉局域網(wǎng)上的所有ethernet multicast幀進行分析。【實驗步驟】一、Ethereal的安裝Ethereal是一個圖形用戶接口（GUI）的網(wǎng)絡嗅探器，由于Ethereal需要WinPcap庫, 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。（已裝好）二、仔細閱讀附件中的Ethereal使用方法和TcpDump的表達式詳解，學習Ethereal的使用。三、 捕捉任何主機發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格

3、式的幀并進行分析。捕捉任何主機發(fā)出的Ethernet 802.3格式的幀（幀的長度字段<=1500）， Ethereal的capture filter 的filter string設置為：ether12:2 <= 1500。捕捉任何主機發(fā)出的DIX Ethernet V2（即Ethernet II）格式的幀（幀的長度字段>1500, 幀的長度字段實際上是類型字段）， Ethereal的capture filter 的filter string設置為：ether12:2 > 1500。觀察并分析幀結構，802.3格式的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種

4、？（學校里可能沒有，如果沒有，注明沒有就可以了）觀察并分析幀結構，Ethernet II的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種？四、 捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀，Ethereal的capture filter 的filter string設置為：ether broadcast。 觀察并分析哪些主機在發(fā)廣播幀，這些幀的高層協(xié)議是什么？你的LAN的共享網(wǎng)段上連接了多少臺計算機？1分鐘內(nèi)有幾個廣播幀？有否發(fā)生廣播風暴？ 五、捕捉局域網(wǎng)上的所有ethernet multicast幀，Ethereal的capture filter 的filter s

5、tring設置為：ether multicast 觀察并分析哪些節(jié)點在發(fā)multicast幀，這些幀的高層協(xié)議是什么？【實驗指導材料】用Ethereal分析協(xié)議數(shù)據(jù)包 Ethereal是一個圖形用戶接口（GUI）的網(wǎng)絡嗅探器，能夠完成與Tcpdump相同的功能，但操作界面要友好很多。Ehtereal和Tcpdump都依賴于pcap庫（libpcap），因此兩者在許多方面非常相似（如都使用相同的過濾規(guī)則和關鍵字）。Ethereal和其它圖形化的網(wǎng)絡嗅探器都使用相同的界面模式，如果能熟練地使用Ethereal，那么其它圖形用戶界面的嗅探器基本都可以操作。1. Ethereal的安裝 由于Ether

6、eal需要WinPcap庫, 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。2. 設置Ethereal的過濾規(guī)則 當編譯并安裝好Ethereal后，就可以執(zhí)行“ethereal”命令來啟動Ethereal。在用Ethereal截獲數(shù)據(jù)包之前，應該為其設置相應的過濾規(guī)則，可以只捕獲感興趣的數(shù)據(jù)包。Ethereal使用與Tcpdump相似的過濾規(guī)則(詳見下面的“5.過濾規(guī)則實例”)，并且可以很方便地存儲已經(jīng)設置好的過濾規(guī)則。要為Ethereal配置過濾規(guī)則，首先單擊“Edit”選單，然后選擇“Capture Filters.”菜單項，打開“Edit Capture F

7、ilter List”對話框（如下圖所示）。因為此時還沒有添加任何過濾規(guī)則，因而該對話框右側的列表框是空的。 在Ethereal中添加過濾器時，需要為該過濾器指定名字及規(guī)則。例如，要在主機62和間創(chuàng)建過濾器，可以在“Filter name”編輯框內(nèi)輸入過濾器名字“sohu”，在“Filter string”編輯框內(nèi)輸入過濾規(guī)則“host 62 and ”，然后單擊“New”按鈕即可，如下圖所示。 在Ethereal中使用的過濾規(guī)則和Tcpdump幾乎完全一致，這是因為兩者都基于pcap庫的緣故。Ethereal能夠同時維護很多個過濾器。網(wǎng)絡管理員可以根據(jù)

8、實際需要選用不同的過濾器，這在很多情況下是非常有用的。例如，一個過濾器可能用于截獲兩個主機間的數(shù)據(jù)包，而另一個則可能用于截獲ICMP包來診斷網(wǎng)絡故障。 當所有需要的過濾器都創(chuàng)建好后，單擊“Save”按鈕保存創(chuàng)建的過濾器，然后單擊“Close”按鈕來關閉“Edit Capture Filter List”對話框。要將過濾器應用于嗅探過程，需要在截獲數(shù)據(jù)包之前或之后指定過濾器。要為嗅探過程指定過濾器，并開始截獲數(shù)據(jù)包，可以單擊“Capture”選單，選擇“Start.”選單項，打開“Capture Options”對話框，單擊該對話框中的“Filter:”按鈕，然后選擇要使用的過濾器，如下圖所示。

9、注意在“Capture Options”對話框中，“Update list of packets in real time”復選框被選中了。這樣可以使每個數(shù)據(jù)包在被截獲時就實時顯示出來，而不是在嗅探過程結束之后才顯示所有截獲的數(shù)據(jù)包。在選擇了所需要的過濾器后，單擊“OK”按鈕，整個嗅探過程就開始了。Ethereal可以實時顯示截獲的數(shù)據(jù)包，因此能夠幫助網(wǎng)絡管理員及時了解網(wǎng)絡的運行狀況，從而使其對網(wǎng)絡性能和流量能有一個比較準確的把握。 3. 用Ethereal分析數(shù)據(jù)包 Ethereal和其它的圖形化嗅探器使用基本類似的界面，整個窗口被分成三個部分：最上面為數(shù)據(jù)包列表，用來顯示截獲的每個數(shù)據(jù)包的

10、總結性信息；中間為協(xié)議樹，用來顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；最下邊是以十六進制形式表示的數(shù)據(jù)包內(nèi)容，用來顯示數(shù)據(jù)包在物理層上傳輸時的最終形式。使用Ethereal可以很方便地對截獲的數(shù)據(jù)包進行分析，包括該數(shù)據(jù)包的源地址、目的地址、所屬協(xié)議等。圖4是在Ethereal中對一個HTTP數(shù)據(jù)包進行分析時的情形。在圖4最上邊的數(shù)據(jù)包列表中，顯示了被截獲的數(shù)據(jù)包的基本信息。從圖中可以看出，當前選中數(shù)據(jù)包的源地址是62，目的地址為5，該數(shù)據(jù)包所屬的協(xié)議是超文本傳輸協(xié)議(HTTP)。更詳細的信息表明該數(shù)據(jù)包中含有一個HTTP的GET命令，要求下載starrtlo

11、g.js文件到客戶端的Web瀏覽器。 圖4 用Ethereal分析數(shù)據(jù)包內(nèi)容圖4中間是協(xié)議樹，通過協(xié)議樹可以得到被截獲的數(shù)據(jù)包的更多信息，如主機的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口號(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。通過擴展協(xié)議樹中的相應節(jié)點，可以得到該數(shù)據(jù)包中攜帶的更詳盡的信息。圖4最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時的最終形式，當在協(xié)議樹中選中xz某行時，與其對應的十六進制代

12、碼同樣會被選中，這樣就可以很方便地對各種協(xié)議的數(shù)據(jù)包進行分析。 Ethereal提供的圖形化用戶界面非常友好，管理員可以很方便地查看到每個數(shù)據(jù)包的詳細信息，協(xié)議樹及其對應的十六進制表示對分析每個數(shù)據(jù)包的目的很有幫助，綜合使用Ethereal和Tcpdump能夠基本滿足網(wǎng)絡管理員在Linux和windows系統(tǒng)上的所有嗅探要求。4. tcpdump的表達式介紹tcpdump的表達式就是前面提到的Ethereal過濾規(guī)則。表達式是一個正則表達式，tcpdump利用它作為過濾報文的條件，如果一個報文滿足表達式的條件，則這個報文將會被捕獲。如果沒有給出任何條件，則網(wǎng)絡上所有的信息包將會被截獲。 在表達

13、式中一般如下幾種類型的關鍵字，一種是關于類型的關鍵字，主要包括host，net，port, 例如 host ，指明 是一臺主機，net 指明是一個網(wǎng)絡地址，port 23 指明端口號是23。如果沒有指定類型，缺省的類型是host. 第二種是確定傳輸方向的關鍵字，主要包括src , dst ,dst or src, dst and src , 這些關鍵字指明了傳輸?shù)姆较?。舉例說明，src ,指明ip包中源地址是 , dst net 指明目的網(wǎng)絡地址是

14、 。如果沒有指明方向關鍵字，則缺省是src or dst關鍵字。 第三種是協(xié)議的關鍵字，主要包括：ether, fddi, tr, ip, ip6, arp, rarp, decnet, tcp, udp.。Fddi指明是在 FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡)上的特定的網(wǎng)絡協(xié)議，實際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協(xié)議包當作ether的包進行處理和分析。 其他的幾個關鍵字就是指明了監(jiān)聽的包的協(xié)議內(nèi)容。如果沒有指定任何協(xié)議，則tcpdump將會監(jiān)聽所有協(xié)議的信息包。 除了這三種類型的關鍵字之外，其

15、他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是 'not ' '! ', 與運算是'and','&&'或運算 是'or' ,'|'； 這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要，下面舉幾個例子來1、想要截獲所有 的主機收到的和發(fā)出的所有的數(shù)據(jù)包： #tcpdump host 2、想要截獲主機 和主機 或210.27.

16、48.3的通信，使用命令：（在命令行中適用括號時，一定要 #tcpdump host and ( or ) 3、如果想要獲取主機除了和主機之外所有主機通信的ip包，使用命令： ip host and ! 4、如果想要獲取主機接收或發(fā)出的telnet包，使用如下命令： tcp port 23 host 5.過濾規(guī)則實例l 捕捉主機3和www服務器之間的通信（這里主機10.1

17、4.26.53可以是自身，也可以是通過普通HUB（而不是交換機）與本機相連的LAN上的其它主機或路由器,下同），Ethereal的capture filter 的filter string設置為：host 3 and l 捕捉局域網(wǎng)上的所有ARP包，Ethereal的capture filter 的filter string設置為：arpl 捕捉局域網(wǎng)上主機3發(fā)出或接受的所有ARP包，Ethereal的capture filter 的filter string設置為：arp host 3或者等價地設置為：arp and host 10

18、.12.105.27l 捕捉局域網(wǎng)上主機3發(fā)出或接受的所有POP包（即src or dst port110），Ethereal的capture filter 的filter string設置為：tcp port 110 and host 3或者等價地設置為：tcp and port 110 and host 3l 捕捉局域網(wǎng)上主機3發(fā)出或接受的所有FTP包（即src or dst port21），Ethereal的capture filter 的filter string設置為：tcp port 21 and host 3(1). 在主機3上用FTP客戶端軟件訪問。(2). 觀察并分析3和之間傳輸?shù)腅thernet II (即DIX Ethernet v2) 幀結構，IP數(shù)據(jù)報結構，TCP segment結構。(3). 觀察并分析名稱和結構。注意3發(fā)出的 PDU中以USER開頭、以PA