實驗3網(wǎng)絡協(xié)議分析Ethereal

1、實驗三網(wǎng)絡協(xié)議分析器Ethereal一、實驗目的和要求 了解網(wǎng)絡協(xié)議分析器Ethereal的基本知識 掌握Ethereal安裝過程 掌握使用Ethereal捕捉數(shù)據(jù)包的方法 能對捕獲到的包簡單分析二、實驗內(nèi)容安裝Ethereal軟件和相應的WinpCap軟件，啟動Ethereal并設置相應的選項，捕獲一段記錄。三、實驗設備PC機、Ethereal軟件、WinpCap軟件四、背景知識Ethereal是一個有名的網(wǎng)絡端口探測器，是可以在Linux、Solaris、SGI等各種平臺運行的網(wǎng)絡監(jiān)聽軟件，它主要是針對TCP/IP協(xié)議的不安全性對運行該協(xié)議的機器進行監(jiān)聽。其功能相當于Windows下的Sn

2、iffer，都是在一個共享的網(wǎng)絡環(huán)境下對數(shù)據(jù)包進行捕捉和分析，而且還能夠自由地為其增加某些插件以實現(xiàn)額外功能。Ethernet網(wǎng)絡監(jiān)測工具可在實時模式或離線模式中用來捕獲和分析網(wǎng)絡通信。下面是使用Ethereal 可以完成的幾個工作： 網(wǎng)絡管理員使用它去幫助解決網(wǎng)絡問題 網(wǎng)絡安全工程師用它去測試安全問題 開發(fā)人員用它是調(diào)試協(xié)議的實現(xiàn)過程 用它還可以幫助人員深入的學習網(wǎng)絡協(xié)議下面是Ethereal 提供的一些特性： 支持UNIX 平臺和Windows 平臺。 從網(wǎng)絡接口上捕獲實時數(shù)據(jù)包 以非常詳細的協(xié)議方式顯示數(shù)據(jù)包 可以打開或者存貯捕獲的數(shù)據(jù)包 導入/導出數(shù)據(jù)包，從/到其它的捕獲程序 按多種方

3、式過濾數(shù)據(jù)包 按多種方式查找數(shù)據(jù)包 根據(jù)過濾條件，以不同的顏色顯示數(shù)據(jù)包 可以建立多種統(tǒng)計數(shù)據(jù)五、實驗步驟1、安裝Ethereal和 WinpCap。有的Ethereal中自帶WinpCap就不需要再另外安裝了。實驗室里面一般安裝好了。下載地址：安裝好后，桌面上會出現(xiàn)“”圖標，為Ethereal的桌面快捷方式。2、啟動Ethereal，界面如下：圖1 Ethereal啟動界面 最初的窗口中沒有數(shù)據(jù)，因為還沒有開始捕獲數(shù)據(jù)包，首先來認識一下界面。Ethereal主窗口有很多的GUI程序組成：(1) File(文件)：這個菜單包含：打開文件、合并文件、保存/打印/導出整個或部分捕獲文件、退出。(2

4、) Edit(編輯)這個菜單包括：查找包、時間參照、標記一個或多個包、設置參數(shù)、(剪切、復制、粘貼)。(3) View(查看)：這個菜單控制捕獲數(shù)據(jù)的顯示，包括：給定特定的一類包標以不同的顏色、字體縮放、在一個新窗口中顯示一個包、展開&折疊詳細信息面板的樹狀結構。(4) Go：這個菜單實現(xiàn)轉(zhuǎn)到一個特定包。(5) Capture(捕獲)：這個菜單實現(xiàn)開始、停止捕獲，編輯捕獲過濾條件的功能。(6) Analyze(分析)：這個菜單包含編輯顯示過濾、enable(開)或disable(關)協(xié)議解碼器、配置用戶指定的解碼方法、追蹤一個TCP 流。(7) Statistics(統(tǒng)計)：該菜單完成統(tǒng)計功能

5、。包括捕獲的包的一個摘要、基于協(xié)議的包的數(shù)量等樹狀統(tǒng)計圖等許多功(8) Help(幫助)這個菜單包含了一些對用戶有用的信息。比如基本幫助、支持的協(xié)議列表、手冊頁、在線訪問到網(wǎng)站等等。3、使用Capture Options對話框。要想獲得一個跟蹤記錄，我們首先從Capture(捕獲)菜單中選擇“Capture Options”（捕獲選項）,并用Capture Options對話框來指定跟蹤記錄的各個方面。圖2 Caption Options 選項框（1）Interface（接口）首先要選擇合適的接口，也就是網(wǎng)卡，如何不選擇合適的接口，可能捕獲不到數(shù)據(jù)包。圖2中黃色框1，這個字段指定在哪個接口進行

6、捕獲。這是一個下拉字段，只能從中選擇Ethereal 識別出來的接口，要想捕獲到數(shù)據(jù)，首先要選擇正確的適配器（網(wǎng)卡），如果一臺機器同時擁有以太網(wǎng)網(wǎng)卡和無線網(wǎng)絡網(wǎng)卡，你必須選擇其中一個進行監(jiān)測。（2）IP address(IP 地址)所選接口卡的IP 地址。如果不能解析出IP 地址，則顯示unknown。（3）Link-layer header type(鏈路層頭類型)除非你在極個別的情況下可能用到這個字段，大多數(shù)情況下保持默認值。（4）Buffer size: n megabyte(s) (緩沖區(qū)大?。簄 兆)輸入捕獲時使用的buffer 的大小。這是核心buffer 的大小，捕獲的數(shù)據(jù)首先保

7、存在這里，直到寫入磁盤。如果遇到包丟失的情況，增加這個值可能解決問題。本實驗中保持默認值。（5） Capture packets in promiscuous mode (在混雜模式捕獲包，綠色框2)這個選項允許設置是否將網(wǎng)卡設置在混雜模式。如果不指定，Ethereal 僅僅捕獲那些進入你的計算機的或送出你的計算機的包。(而不是LAN 網(wǎng)段上的所有包)。要想把網(wǎng)絡接口設置為混雜模式，需要對這臺計算機具有管理員特權。本實驗中保持默認值。（6）Limit each packet to n bytes (限制每一個包為n 字節(jié))這個字段設置每一個數(shù)據(jù)包的最大捕獲的數(shù)據(jù)量。有時稱作snaplen 。如

8、果disable 這個選項默認是65535, 對于大多數(shù)協(xié)議來講中夠了。本實驗中保持默認值。（7） Capture Filter(捕獲過濾，藍色框3)這個字段指定一個捕獲過濾。 “在捕獲時進行過濾”部分進行討論。默認是空的，即沒過過濾。也可以點擊標為Capture Filter 的按鈕, Ethereal 將彈出Capture Filters(捕獲過濾)對話框，來建立或者選擇一個過濾。例如，你可以用下面的過濾器來捕獲那些只從IP地址192.168.0.1發(fā)出和發(fā)往它的分組：host 192.168.0.1。Ethereal過濾器功能很強，但是需要學習一種簡單的過濾語言。本實驗中保持默認值，暫時

9、不需設置。（8）Capture File（捕獲文件，紫色框4）可以指定將捕獲的分組直接保存在一個文件中，而不是在內(nèi)存中。選擇一個合適的文件夾，將捕獲的信息存入。（9）Use Multiple Files（使用多個文件，枚紅色框5）使用這個選項，分組可以被寫入多個文件。這些控制對于捕獲較大較長的跟蹤記錄是很重要的。本實驗中保持默認值。（10）Stop Capture（停止捕獲）可以設定一些停止捕獲的選項，自動停止捕獲。本實驗中保持默認值。（11）Name Resolution（名字解析，黑色框7）在任何可能的情況下，可以要求Ethereal把分中不同的數(shù)字翻譯成為人們易讀的名字。如：啟用MAC地

10、址轉(zhuǎn)換，Ethereal會將一部分地址轉(zhuǎn)化為廠商的名稱。如啟用網(wǎng)絡地址轉(zhuǎn)換，Ethereal會試圖將一個網(wǎng)絡地址（201.100.1.9的IP地址）轉(zhuǎn)化為一個主機名，如。本實驗中保持默認值。（12）Update list of packets in real time （實時更新分組列表，紅色框6）每個新的分組都會被添加到主窗口中的分組列表中去。本實驗中請勾選。4、開始捕獲數(shù)據(jù)包。上述的各項選擇好后，點擊“start”開始捕獲數(shù)據(jù)包，下圖為捕獲時的情形。圖2 捕獲數(shù)據(jù)包 這個窗口概述了被捕捉的各種類型包的量。 5、停止捕獲。大約等一段時間后（30-60秒），點擊“stop”按鈕，停止捕獲后，會彈出下面的窗體，顯示了剛才捕獲到的包。協(xié)議樹窗體協(xié)議樹窗體過濾器工具欄工具欄菜單欄包概況窗體包的16進制代碼區(qū)包的ASCII代碼區(qū)捕捉包序號捕捉時間目的地址 源地址上層協(xié)議包內(nèi)容提要圖3 網(wǎng)絡分析器Ethereal主界面上圖中標示出了主界面的各個部分，大家要仔細觀察，了解捕獲的內(nèi)容。6、完成捕獲。恭喜你！現(xiàn)在，你擁有了剛才在你的電腦通過網(wǎng)絡進行交換的協(xié)議消息，你已經(jīng)完成了一次成功的協(xié)議數(shù)據(jù)捕獲。六、思考題Q1、你沒有手動進行網(wǎng)絡訪問操作，但還是抓到了一些數(shù)據(jù)，請列出你抓到的各種包的協(xié)議名稱，并上網(wǎng)查詢下這些包分別是起什么作用的？各是由誰發(fā)出的？ Q2、從你抓到的第一個包到最后一個包持續(xù)的