Sniffer入門使用教程

1、目 錄第1章 Sniffer軟件簡介1-11.1 概述1-11.2 功能簡介1-1第2章 報(bào)文捕獲解析2-12.1 捕獲面板2-12.2 捕獲過程報(bào)文統(tǒng)計(jì)2-12.3 捕獲報(bào)文查看2-22.4 設(shè)置捕獲條件2-4第3章 報(bào)文放送3-13.1 編輯報(bào)文發(fā)送3-13.2 捕獲編輯報(bào)文發(fā)送3-2第4章 網(wǎng)絡(luò)監(jiān)視功能4-14.1 Dashbord4-14.2 Application Response Time (ART)4-1第5章 數(shù)據(jù)報(bào)文解碼詳解5-15.1 數(shù)據(jù)報(bào)文分層5-15.2 以太報(bào)文結(jié)構(gòu)5-15.3 IP協(xié)議5-35.4 ARP協(xié)議5-55.5 PPPOE協(xié)議5-65.6 Radius協(xié)

2、議5-9關(guān)鍵詞：Sniffer 協(xié)議分析摘 要：本文對(duì)Sniffer軟件的功能和使用作了簡要的介紹，講述了利用工具軟件解決問題的思路和一些分析方法?？s略語清單：參考資料清單：第1章 Sniffer軟件簡介1.1 概述Sniffer軟件是NAI公司推出的功能強(qiáng)大的協(xié)議分析軟件。本文針對(duì)用Sniffer Pro網(wǎng)絡(luò)分析器進(jìn)行故障解決。利用Sniffer Pro 網(wǎng)絡(luò)分析器的強(qiáng)大功能和特征，解決網(wǎng)絡(luò)問題，將介紹一套合理的故障解決方法。與Netxray比較，Sniffer支持的協(xié)議更豐富，例如PPPOE協(xié)議等在Netxray并不支持，在Sniffer上能夠進(jìn)行快速解碼分析。Netxray不能在Wind

3、ows 2000和Windows XP上正常運(yùn)行，Sniffer Pro 4.6可以運(yùn)行在各種Windows平臺(tái)上。Sniffer軟件比較大，運(yùn)行時(shí)需要的計(jì)算機(jī)存比較大，否則運(yùn)行比較慢，這也是它與Netxray相比的一個(gè)缺點(diǎn)。1.2 功能簡介下面列出了Sniffer軟件的一些功能介紹，其功能的詳細(xì)介紹可以參考Sniffer的在線幫助。 捕獲網(wǎng)絡(luò)流量進(jìn)行詳細(xì)分析利用專家分析系統(tǒng)診斷問題實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)活動(dòng)收集網(wǎng)絡(luò)利用率和錯(cuò)誤等在進(jìn)行流量捕獲之前首先選擇網(wǎng)絡(luò)適配器，確定從計(jì)算機(jī)的哪個(gè)網(wǎng)絡(luò)適配器上接收數(shù)據(jù)。位置：File->select settings選擇網(wǎng)絡(luò)適配器后才能正常工作。該軟件安裝在W

4、indows 98操作系統(tǒng)上，Sniffer可以選擇撥號(hào)適配器對(duì)窄帶撥號(hào)進(jìn)行操作。如果安裝了EnterNet500等PPPOE軟件還可以選擇虛擬出的PPPOE網(wǎng)卡。對(duì)于安裝在Windows 2000/XP上則無上述功能，這和操作系統(tǒng)有關(guān)。 本文將對(duì)報(bào)文的捕獲幾網(wǎng)絡(luò)性能監(jiān)視等功能進(jìn)行詳細(xì)的介紹。下圖為在軟件中快捷鍵的位置。第2章 報(bào)文捕獲解析2.1 捕獲面板報(bào)文捕獲功能可以在報(bào)文捕獲面板中進(jìn)行完成，如下是捕獲面板的功能圖：圖中顯示的是處于開始狀態(tài)的面板2.2 捕獲過程報(bào)文統(tǒng)計(jì)在捕獲過程中可以通過查看下面面板查看捕獲報(bào)文的數(shù)量和緩沖區(qū)的利用率。2.3 捕獲報(bào)文查看Sniffer軟件提供了強(qiáng)大的分析

5、能力和解碼功能。如下圖所示，對(duì)于捕獲的報(bào)文提供了一個(gè)Expert專家分析系統(tǒng)進(jìn)行分析，還有解碼選項(xiàng)及圖形和表格的統(tǒng)計(jì)信息。專家分析專家分分析系統(tǒng)提供了一個(gè)只能的分析平臺(tái)，對(duì)網(wǎng)絡(luò)上的流量進(jìn)行了一些分析對(duì)于分析出的診斷結(jié)果可以查看在線幫助獲得。在下圖中顯示出在網(wǎng)絡(luò)中WINS查詢失敗的次數(shù)及TCP重傳的次數(shù)統(tǒng)計(jì)等容，可以方便了解網(wǎng)絡(luò)中高層協(xié)議出現(xiàn)故障的可能點(diǎn)。對(duì)于某項(xiàng)統(tǒng)計(jì)分析可以通過用鼠標(biāo)雙擊此條記錄可以查看詳細(xì)統(tǒng)計(jì)信息且對(duì)于每一項(xiàng)都可以通過查看幫助來了解起產(chǎn)生的原因。解碼分析下圖是對(duì)捕獲報(bào)文進(jìn)行解碼的顯示，通常分為三部分，目前大部分此類軟件結(jié)構(gòu)都采用這種結(jié)構(gòu)顯示。對(duì)于解碼主要要求分析人員對(duì)協(xié)議比較

6、熟悉，這樣才能看懂解析出來的報(bào)文。使用該軟件是很簡單的事情，要能夠利用軟件解碼分析來解決問題關(guān)鍵是要對(duì)各種層次的協(xié)議了解的比較透徹。工具軟件只是提供一個(gè)輔助的手段。因涉及的容太多，這里不對(duì)協(xié)議進(jìn)行過多講解，請(qǐng)參閱其他相關(guān)資料。對(duì)于MAC地址，Snffier軟件進(jìn)行了頭部的替換，如00e0fc開頭的就替換成Huawei，這樣有利于了解網(wǎng)絡(luò)上各種相關(guān)設(shè)備的制造廠商信息。功能是按照過濾器設(shè)置的過濾規(guī)則進(jìn)行數(shù)據(jù)的捕獲或顯示。在菜單上的位置分別為 Capture->Define Filter和Display->Define Filter。過濾器可以根據(jù)物理地址或IP地址和協(xié)議選擇進(jìn)行組合篩選

7、。統(tǒng)計(jì)分析對(duì)于Matrix，Host Table，Portocol Dist. Statistics等提供了豐富的按照地址，協(xié)議等容做了豐富的組合統(tǒng)計(jì)，比較簡單，可以通過操作很快掌握這里就不再詳細(xì)介紹了。2.4 設(shè)置捕獲條件基本捕獲條件基本的捕獲條件有兩種：1、鏈路層捕獲，按源MAC和目的MAC地址進(jìn)行捕獲，輸入方式為十六進(jìn)制連續(xù)輸入，如：00E0FC123456。2、IP層捕獲，按源IP和目的IP進(jìn)行捕獲。輸入方式為點(diǎn)間隔方式，如：。如果選擇IP層捕獲條件則ARP等報(bào)文將被過濾掉。高級(jí)捕獲條件在“Advance”頁面下，你可以編輯你的協(xié)議捕獲條件，如圖：高級(jí)捕獲條件編輯圖

8、在協(xié)議選擇樹中你可以選擇你需要捕獲的協(xié)議條件，如果什么都不選，則表示忽略該條件，捕獲所有協(xié)議。在捕獲幀長度條件下，你可以捕獲，等于、小于、大于某個(gè)值的報(bào)文。在錯(cuò)誤幀是否捕獲欄，你可以選擇當(dāng)網(wǎng)絡(luò)上有如下錯(cuò)誤時(shí)是否捕獲。在保存過濾規(guī)則條件按鈕“Profiles”，你可以將你當(dāng)前設(shè)置的過濾規(guī)則，進(jìn)行保存，在捕獲主面板中，你可以選擇你保存的捕獲條件。任意捕獲條件在Data Pattern下，你可以編輯任意捕獲條件，如下圖：用這種方法可以實(shí)現(xiàn)復(fù)雜的報(bào)文過濾，但很多時(shí)候是得不償失，有時(shí)截獲的報(bào)文本就不多，還不如自己看看來得快。 第3章 報(bào)文放送3.1 編輯報(bào)文發(fā)送Sniffer軟件報(bào)文發(fā)送功能就比較弱，如

9、下是發(fā)送的主面板圖：發(fā)送前，你需要先編輯報(bào)文發(fā)送的容。點(diǎn)擊發(fā)送報(bào)文編輯按鈕?？傻玫饺缦碌膱?bào)文編輯窗口：首先要指定數(shù)據(jù)幀發(fā)送的長度，然后從鏈路層開始，一個(gè)一個(gè)將報(bào)文填充完成，如果是NetXray支持可以解析的協(xié)議，從“Decode”頁面中，可看見解析后的直觀表示。3.2 捕獲編輯報(bào)文發(fā)送將捕獲到的報(bào)文直接轉(zhuǎn)換成發(fā)送報(bào)文，然后修修改改可也。如下是一個(gè)捕獲報(bào)文后的報(bào)文查看窗口：選中某個(gè)捕獲的報(bào)文，用鼠標(biāo)右鍵激活菜單，選擇“Send Current Packet”，這時(shí)你就會(huì)發(fā)現(xiàn)，該報(bào)文的容已經(jīng)被原封不動(dòng)的送到“發(fā)送編輯窗口”中了。這時(shí)，你在修修改改，就比你全部填充報(bào)文省事多了。發(fā)送模式有兩種：連續(xù)發(fā)

10、送和定量發(fā)送。可以設(shè)置發(fā)送間隔，如果為0，則以最快的速度進(jìn)行發(fā)送。第4章 網(wǎng)絡(luò)監(jiān)視功能網(wǎng)絡(luò)監(jiān)視功能能夠時(shí)刻監(jiān)視網(wǎng)絡(luò)統(tǒng)計(jì)，網(wǎng)絡(luò)上資源的利用率，并能夠監(jiān)視網(wǎng)絡(luò)流量的異常狀況，這里只介紹一下Dashbord和ART，其他功能可以參看在線幫助，或直接使用即可，比較簡單。4.1 Dashbord Dashbord可以監(jiān)控網(wǎng)絡(luò)的利用率，流量及錯(cuò)誤報(bào)文等容。通過應(yīng)用軟件可以清楚看到此功能。4.2 Application Response Time (ART)Application Response Time (ART) 是可以監(jiān)視TCP/UDP應(yīng)用層程序在客戶端和服務(wù)器響應(yīng)時(shí)間，如HTTP,FTP,DNS等

11、應(yīng)用。對(duì)與TCP/UDP響應(yīng)時(shí)間的計(jì)算方法如下TCP For each socket, ART stores the sequence numbers for packets sent by the client and waits for the corresponding ACK packets from the server. It then measures the time difference between the packet with the stored sequence number and the packet with the ACK to arrive at the

12、 response time.UDP For each socket, ART measures the time between packets going from a client to a server and the next packet going from the server to the client.第5章 數(shù)據(jù)報(bào)文解碼詳解本章主要對(duì)：數(shù)據(jù)報(bào)文分層、以太報(bào)文結(jié)構(gòu)、IP協(xié)議、ARP協(xié)議、PPPOE協(xié)議、Radius協(xié)議等的解碼分析做了簡單的描述，目的在于介紹Sniffer軟件在協(xié)議分析中的功能作用并通過解碼分析對(duì)協(xié)議進(jìn)一步了解。對(duì)其其他協(xié)議讀者可以通過協(xié)議文檔和Sniffe

13、r捕獲的報(bào)文對(duì)比分析。5.1 數(shù)據(jù)報(bào)文分層如下圖所示，對(duì)于四層網(wǎng)絡(luò)結(jié)構(gòu)，其不同層次完成不通功能。每一層次有眾多協(xié)議組成。如上圖所示在Sniffer的解碼表中分別對(duì)每一個(gè)層次協(xié)議進(jìn)行解碼分析。鏈路層對(duì)應(yīng)“DLC”；網(wǎng)絡(luò)層對(duì)應(yīng)“IP”；傳輸層對(duì)應(yīng)“UDP”；應(yīng)用層對(duì)對(duì)應(yīng)的是“NETB”等高層協(xié)議。Sniffer可以針對(duì)眾多協(xié)議進(jìn)行詳細(xì)結(jié)構(gòu)化解碼分析。并利用樹形結(jié)構(gòu)良好的表現(xiàn)出來。5.2 以太報(bào)文結(jié)構(gòu)EthernetII以太網(wǎng)幀結(jié)構(gòu)Ethernet_II以太網(wǎng)幀類型報(bào)文結(jié)構(gòu)為：目的MAC地址（6bytes）源MAC地址（6bytes）上層協(xié)議類型（2bytes）數(shù)據(jù)字段（46-1500bytes)校

14、驗(yàn)（4bytes）。 Sniffer會(huì)在捕獲報(bào)文的時(shí)候自動(dòng)記錄捕獲的時(shí)間，在解碼顯示時(shí)顯示出來，在分析問題時(shí)提供了很好的時(shí)間記錄。源目的MAC地址在解碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網(wǎng)絡(luò)上2臺(tái)設(shè)備IP地址設(shè)置沖突，可以通過解碼翻譯出廠商信息方便的將故障設(shè)備找到，如00e0fc為華為，010042為Cisco等等。如果需要查看詳細(xì)的MAC地址用鼠標(biāo)在解碼框中點(diǎn)擊此MAC地址，在下面的表格中會(huì)突出顯示該地址的16進(jìn)制編碼。IP網(wǎng)絡(luò)來說Ethertype字段承載的時(shí)上層協(xié)議的類型主要包括0x800為IP協(xié)議，0x806為ARP協(xié)議。IEEE802.3以太網(wǎng)報(bào)文結(jié)構(gòu) 上圖

15、為IEEE802.3SNAP幀結(jié)構(gòu)，與EthernetII不通點(diǎn)是目的和源地址后面的字段代表的不是上層協(xié)議類型而是報(bào)文長度。并多了LLC子層。5.3 IP協(xié)議IP報(bào)文結(jié)構(gòu)為IP協(xié)議頭載荷，其中對(duì)IP協(xié)議頭部的分析，時(shí)分析IP報(bào)文的主要容之一，關(guān)于IP報(bào)文詳細(xì)信息請(qǐng)參考相關(guān)資料。這里給出了IP協(xié)議頭部的一個(gè)結(jié)構(gòu)。版本：4IPv4首部長度：單位為4字節(jié)，最大60字節(jié)TOS：IP優(yōu)先級(jí)字段總長度：單位字節(jié)，最大65535字節(jié)標(biāo)識(shí)：IP報(bào)文標(biāo)識(shí)字段標(biāo)志：占3比特，只用到低位的兩個(gè)比特 MF（More Fragment） MF=1，后面還有分片的數(shù)據(jù)包 MF=0，分片數(shù)據(jù)包的最后一個(gè) DF（Don

16、9;t Fragment） DF=1，不允許分片 DF=0，允許分片段偏移：分片后的分組在原分組中的相對(duì)位置，總共13比特，單位為8字節(jié)壽命：TTL（Time To Live）丟棄TTL=0的報(bào)文協(xié)議：攜帶的是何種協(xié)議報(bào)文 1 ：ICMP 6 ：TCP 17：UDP 89：OSPF頭部檢驗(yàn)和：對(duì)IP協(xié)議首部的校驗(yàn)和源IP地址：IP報(bào)文的源地址目的IP地址：IP報(bào)文的目的地址上圖為Sniffer對(duì)IP協(xié)議首部的解碼分析結(jié)構(gòu)，和IP首部各個(gè)字段相對(duì)應(yīng)，并給出了各個(gè)字段值所表示含義的英文解釋。如上圖報(bào)文協(xié)議（Protocol）字段的編碼為0x11，通過Sniffer解碼分析轉(zhuǎn)換為十進(jìn)制的17，代表U

17、DP協(xié)議。其他字段的解碼含義可以與此類似，只要對(duì)協(xié)議理解的比較清楚對(duì)解碼容的理解將會(huì)變的很容易。5.4 ARP協(xié)議 以下為ARP報(bào)文結(jié)構(gòu)ARP分組具有如下的一些字段：HTYPE（硬件類型）。這是一個(gè)16比特字段，用來定義運(yùn)行ARP的網(wǎng)絡(luò)的類型。每一個(gè)局域網(wǎng)基于其類型被指派給一個(gè)整數(shù)。例如，以太網(wǎng)是類型1。ARP可使用在任何網(wǎng)絡(luò)上。PTYPE（協(xié)議類型）。這是一個(gè)16比特字段，用來定義協(xié)議的類型。例如，對(duì)IPv4協(xié)議，這個(gè)字段的值是0800。ARP可用于任何高層協(xié)議。HLEN（硬件長度）。這是一個(gè)8比特字段，用來定義以字節(jié)為單位的物理地址的長度。例如，對(duì)以太網(wǎng)這個(gè)值是6。PLEN（協(xié)議長度）。這

18、是一個(gè)8比特字段，用來定義以字節(jié)為單位的邏輯地址的長度。例如，對(duì)IPv4協(xié)議這個(gè)值是4。OPER（操作）。這是一個(gè)16比特字段，用來定義分組的類型。已定義了兩種類型：ARP請(qǐng)求（1），ARP回答（2）。SHA（發(fā)送站硬件地址）。這是一個(gè)可變長度字段，用來定義發(fā)送站的物理地址的長度。例如，對(duì)以太網(wǎng)這個(gè)字段是6字節(jié)長。SPA（發(fā)送站協(xié)議地址）。這是一個(gè)可變長度字段，用來定義發(fā)送站的邏輯（例如，IP）地址的長度。對(duì)于IP協(xié)議，這個(gè)字段是4字節(jié)長。THA（目標(biāo)硬件地址）。這是一個(gè)可變長度字段，用來定義目標(biāo)的物理地址的長度。例如，對(duì)以太網(wǎng)這個(gè)字段是6字節(jié)長。對(duì)于ARP請(qǐng)求報(bào)文，這個(gè)字段是全0，因?yàn)榘l(fā)送站

19、不知道目標(biāo)的物理地址。TPA（目標(biāo)協(xié)議地址）。這是一個(gè)可變長度字段，用來定義目標(biāo)的邏輯地址（例如，IP地址）的長度。對(duì)于IPv4協(xié)議，這個(gè)字段是4字節(jié)長。上面為通過Sniffer解碼的ARP請(qǐng)求和應(yīng)答報(bào)文的結(jié)構(gòu)。5.5 PPPOE協(xié)議PPPOE簡介簡單來說我們可能把PPPOE報(bào)文分成兩大塊，一大塊是PPPOE的數(shù)據(jù)報(bào)頭，另一塊則是PPPOE的凈載荷（數(shù)據(jù)域），對(duì)于PPPOE報(bào)文數(shù)據(jù)域中的容會(huì)隨著會(huì)話過程的進(jìn)行而不斷改變。下圖為PPPOE的報(bào)文的格式： 數(shù)據(jù)報(bào)文最開始的4位為版本域，協(xié)議中給出了明確的規(guī)定，這個(gè)域的容填充0x01。 緊接在版本域后的4位是類型域，協(xié)議中同樣規(guī)定，這個(gè)域的容填充為0

20、x01。 代碼域占用1個(gè)字節(jié)，對(duì)于PPPOE 的不同階段這個(gè)域的容也是不一樣的。 會(huì)話ID點(diǎn)用2個(gè)字節(jié)，當(dāng)訪問集中器還未分配唯一的會(huì)話ID給用戶主機(jī)的話，則該域的容必須填充為0x0000，一旦主機(jī)獲取了會(huì)話ID后，那么在后續(xù)的所有報(bào)文中該域必須填充那個(gè)唯一的會(huì)話ID值。 長度域?yàn)?個(gè)字節(jié)，用來指示PPPOE數(shù)據(jù)報(bào)文中凈載荷的長度。 數(shù)據(jù)域，有時(shí)也稱之為凈載荷域，在PPPOE的不同階段該域的數(shù)據(jù)容會(huì)有很大的不同。在PPPOE的發(fā)現(xiàn)階段時(shí)，該域會(huì)填充一些Tag（標(biāo)記）；而在PPPOE的會(huì)話階段，該域則攜帶的是PPP的報(bào)文。捕獲報(bào)文測試用例圖如圖所示，Radius Server IP地址為172.1

21、6.20.76。PPPOE用戶Radius報(bào)文交互過程分析如下。上圖為PPPOE從發(fā)現(xiàn)階段到PPP LCP協(xié)商，認(rèn)證IPCP協(xié)商階段和PPPOE會(huì)話階段交互過程。PPPOE發(fā)現(xiàn)階段，PADI報(bào)文，Sniffer解碼結(jié)構(gòu)如下所示。PPPOE會(huì)話階段，Sniffer解碼結(jié)構(gòu)如下所示。 5.6 Radius協(xié)議Radius報(bào)文簡介標(biāo)準(zhǔn)Radius協(xié)議包結(jié)構(gòu)圖9 Radius包格式Code：包類型；1字節(jié)；指示RADIUS包的類型。 1 Access- request 認(rèn)證請(qǐng)求 2 Access- accept 認(rèn)證響應(yīng) 3 Access- reject 認(rèn)證拒絕 4 Accounting-reque

22、st 計(jì)費(fèi)請(qǐng)求 5 Accounting-response 計(jì)費(fèi)響應(yīng) *11 Access-challenge 認(rèn)證挑戰(zhàn)Identifier： 包標(biāo)識(shí)；1字節(jié)，取值圍為0 255；用于匹配請(qǐng)求包和響應(yīng)包，同一組請(qǐng)求包和響應(yīng)包的Identifier應(yīng)相同。Length： 包長度；2字節(jié)；整個(gè)包中所有域的長度。Authenticator：16 字節(jié)長；用于驗(yàn)證RADIUS服務(wù)器傳回來的請(qǐng)求以及密碼隱藏算法上。該驗(yàn)證字分為兩種： 1、請(qǐng)求驗(yàn)證字-Request Authenticator 用在請(qǐng)求報(bào)文中,必須為全局唯一的隨機(jī)值。 2、響應(yīng)驗(yàn)證字-Response Authenticator 用在響應(yīng)報(bào)文中，用于鑒別響應(yīng)報(bào)文