抓包工具Ethereal的使用課件

抓包工具Ethereal的使用2006年2月抓包工具Ethereal的使用2006年2月1目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介2Ethereal簡介Ethereal是我們在測試中常用到的抓包工具，它適用于linux和windows操作系統(tǒng)，它會從網(wǎng)卡處捕獲本機(jī)向外發(fā)的包文件和外界比如服務(wù)器向本機(jī)發(fā)的包文件，然后詳細(xì)陳列所抓到的各個包的具體協(xié)議信息，對于抓到的包文件，我們既可以保存，也可以把他們打開，也可以用過濾來對指定的機(jī)器和端口進(jìn)行分析。Ethereal簡介Ethereal是我們在測試中常用到的抓3Ethereal簡介Ethereal能夠支持許多協(xié)議，但有些協(xié)議需要安裝插件以后才能抓包。首先要下載Ethereal的協(xié)議插件，然后解壓到Ethereal安裝目錄的plugins下面，啟動Ethereal，在菜單Edit->preferences下進(jìn)行設(shè)置。Ethereal簡介Ethereal能夠支持許多協(xié)議，但有些4目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介5Ethereal安裝在windows操作系統(tǒng)下，執(zhí)行文件WinPcap_3_0.exe，然后再執(zhí)行文件ethereal-setup-0.10.10.exe，這樣執(zhí)行完這兩個文件后我們就可以運(yùn)用Ethereal進(jìn)行抓包或者對linux所抓到的包文件進(jìn)行分析。

Ethereal安裝在windows操作系統(tǒng)下，執(zhí)行文件Wi6目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介7Ethereal使用

啟動Ethereal以后，選擇菜單Capture->start，將會出現(xiàn)以下配置頁面：Ethereal使用

啟動Ethereal以后，選擇菜單Ca8Ethereal使用

其中在interface輸入框中，要求填入所要選擇的網(wǎng)卡，對于有多個網(wǎng)卡的服務(wù)器這是必要的，但一般對pc機(jī)，這一項則不必。Capturefilter框中要求輸入過濾條件，即用戶所需要的信息，而把一切無關(guān)的信息過濾掉。比如我可以按照端口來進(jìn)行過濾，我只想得到端口號是5060和8080的信息，那么，我在captureFilter欄中輸入過濾條件：port5060andport8080Ethereal使用

其中在interface輸入框中，要求9Ethereal使用Capturepacketsinpromiscuousmode：是否打開混雜模式。如果打開，抓取所有的數(shù)據(jù)包，一般情況下只需要監(jiān)聽本機(jī)收到或者發(fā)出的包，因此應(yīng)關(guān)閉這個選項。File：如果需要將抓到的包寫到文件中，在這里輸入文件名。Limiteachpocket：限制每個包的大小，缺省情況不限制。Ethereal使用10Ethereal使用點(diǎn)擊ok按鈕后出現(xiàn)如下圖示：Ethereal使用點(diǎn)擊ok按鈕后出現(xiàn)如下圖示：11Ethereal使用然后點(diǎn)擊stop按鈕，就會出現(xiàn)所有的抓包所抓到的信息，最上方顯示的是協(xié)議包，中間顯示的是協(xié)議解釋，最下面的是二進(jìn)制碼流。如下圖所示：Ethereal使用然后點(diǎn)擊stop按鈕，就會出現(xiàn)所有的抓包12Ethereal使用當(dāng)然我們也可以采取滾動方式來顯示所抓到的信息，如下圖所示：Ethereal使用當(dāng)然我們也可以采取滾動方式來顯示所抓到的13Ethereal使用如上圖選擇實(shí)時更新和自動滾動后，點(diǎn)擊“OK”按鈕，就可以滾動顯示所抓到的信息。點(diǎn)擊“停止”按鈕就會停止抓包。Ethereal使用14目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介15Ethereal的抓包過濾器

如果不在Capturefilter框中輸入過濾條件，上述操作顯示的是抓包抓到的所有信息，看起來很繁瑣，我們可以用抓包過濾器對它進(jìn)行過濾，來抓取感興趣的包。抓包過濾器使用的是libcap過濾器語言，在tcpdump的手冊中有詳細(xì)的解釋，基本結(jié)構(gòu)是：[not]primitive[and]or[not]primitive……]

如果你想抓取某些特定的數(shù)據(jù)包時，可以有以下兩種方法：在抓包的時候，就先定義好抓包過濾器，這樣結(jié)果就是只抓到你設(shè)定好的那些類型的數(shù)據(jù)包；先不管三七二十一，把本機(jī)收到或者發(fā)出的包一股腦的抓下來，然后使用顯示過濾器，只讓Ethereal顯示那些你想要的那些類型的數(shù)據(jù)包。Ethereal的抓包過濾器如果不在Captu16Ethereal的抓包過濾器Ethereal的抓包過濾器17Ethereal的抓包過濾器當(dāng)然我們也可以利用Expression命令來設(shè)置過濾條件，如下圖：Ethereal的抓包過濾器18Ethereal的抓包過濾器請記住一個訣竅，如果Filter的背景是綠色，就證明你設(shè)定的Filter是合乎規(guī)定的；但是當(dāng)背景是紅色的，就說明你設(shè)定的Filter是Ethereal不允許的，是不對的。Ethereal的抓包過濾器請記住一個訣竅，如果Filter19Ethereal的抓包過濾器Ethereal的抓包過濾器20Ethereal的抓包過濾器對于屬于tcp或者h(yuǎn)ttp協(xié)議的信息，選中后點(diǎn)擊右鍵，選擇[followTCPstream]就會顯示詳細(xì)的信息：

Ethereal的抓包過濾器對于屬于tcp或者h(yuǎn)ttp協(xié)議的21Ethereal的抓包過濾器Ethereal的抓包過濾器22目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介23Ethereal使用小技巧抓包的時候，我們往往想把過濾后的信令保存下來，而不是保存所有信令，這時只需要在保存的時候點(diǎn)擊[displayed]按鈕，再保存，保存下來的就是過濾后的信令。這樣的包的體積就比較小。根據(jù)call-id過濾所需要的包：選中一條SIP信令的call-id字段，右鍵選擇ApplyasFilter->Selected。Ethereal使用小技巧抓包的時候，我們往往想把過濾后的信24Ethereal使用小技巧包長度太長導(dǎo)致無法查看消息體后面的內(nèi)容：將包保存后用UltraEdit打開，在菜單Edit中選擇HexEdit。XCAP包中消息體很長且一行顯示，看起來很費(fèi)事：將消息體復(fù)制后保存到.xml文件中，然后用IE打開可呈現(xiàn)層次結(jié)構(gòu)。Ethereal使用小技巧包長度太長導(dǎo)致無法查看消息體后面的25Ethereal使用小技巧抓包后利用Etheral主菜單中的Statistics>VoIPCalls菜單項，在彈出的界面中單擊<Graph>按鈕，可以看到流程圖——對分析理解業(yè)務(wù)流程非常有效。Ethereal使用小技巧抓包后利用Etheral主菜單中的26Q&A？Q&A？27結(jié)束語Thankyou!結(jié)束語Thankyou!28抓包工具Ethereal的使用2006年2月抓包工具Ethereal的使用2006年2月29目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介30Ethereal簡介Ethereal是我們在測試中常用到的抓包工具，它適用于linux和windows操作系統(tǒng)，它會從網(wǎng)卡處捕獲本機(jī)向外發(fā)的包文件和外界比如服務(wù)器向本機(jī)發(fā)的包文件，然后詳細(xì)陳列所抓到的各個包的具體協(xié)議信息，對于抓到的包文件，我們既可以保存，也可以把他們打開，也可以用過濾來對指定的機(jī)器和端口進(jìn)行分析。Ethereal簡介Ethereal是我們在測試中常用到的抓31Ethereal簡介Ethereal能夠支持許多協(xié)議，但有些協(xié)議需要安裝插件以后才能抓包。首先要下載Ethereal的協(xié)議插件，然后解壓到Ethereal安裝目錄的plugins下面，啟動Ethereal，在菜單Edit->preferences下進(jìn)行設(shè)置。Ethereal簡介Ethereal能夠支持許多協(xié)議，但有些32目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介33Ethereal安裝在windows操作系統(tǒng)下，執(zhí)行文件WinPcap_3_0.exe，然后再執(zhí)行文件ethereal-setup-0.10.10.exe，這樣執(zhí)行完這兩個文件后我們就可以運(yùn)用Ethereal進(jìn)行抓包或者對linux所抓到的包文件進(jìn)行分析。

Ethereal安裝在windows操作系統(tǒng)下，執(zhí)行文件Wi34目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介35Ethereal使用

啟動Ethereal以后，選擇菜單Capture->start，將會出現(xiàn)以下配置頁面：Ethereal使用

啟動Ethereal以后，選擇菜單Ca36Ethereal使用

其中在interface輸入框中，要求填入所要選擇的網(wǎng)卡，對于有多個網(wǎng)卡的服務(wù)器這是必要的，但一般對pc機(jī)，這一項則不必。Capturefilter框中要求輸入過濾條件，即用戶所需要的信息，而把一切無關(guān)的信息過濾掉。比如我可以按照端口來進(jìn)行過濾，我只想得到端口號是5060和8080的信息，那么，我在captureFilter欄中輸入過濾條件：port5060andport8080Ethereal使用

其中在interface輸入框中，要求37Ethereal使用Capturepacketsinpromiscuousmode：是否打開混雜模式。如果打開，抓取所有的數(shù)據(jù)包，一般情況下只需要監(jiān)聽本機(jī)收到或者發(fā)出的包，因此應(yīng)關(guān)閉這個選項。File：如果需要將抓到的包寫到文件中，在這里輸入文件名。Limiteachpocket：限制每個包的大小，缺省情況不限制。Ethereal使用38Ethereal使用點(diǎn)擊ok按鈕后出現(xiàn)如下圖示：Ethereal使用點(diǎn)擊ok按鈕后出現(xiàn)如下圖示：39Ethereal使用然后點(diǎn)擊stop按鈕，就會出現(xiàn)所有的抓包所抓到的信息，最上方顯示的是協(xié)議包，中間顯示的是協(xié)議解釋，最下面的是二進(jìn)制碼流。如下圖所示：Ethereal使用然后點(diǎn)擊stop按鈕，就會出現(xiàn)所有的抓包40Ethereal使用當(dāng)然我們也可以采取滾動方式來顯示所抓到的信息，如下圖所示：Ethereal使用當(dāng)然我們也可以采取滾動方式來顯示所抓到的41Ethereal使用如上圖選擇實(shí)時更新和自動滾動后，點(diǎn)擊“OK”按鈕，就可以滾動顯示所抓到的信息。點(diǎn)擊“停止”按鈕就會停止抓包。Ethereal使用42目錄Ethereal簡介Ethereal安裝Ethereal使用Ethereal的抓包過濾器Ethereal使用小技巧目錄Ethereal簡介43Ethereal的抓包過濾器

如果不在Capturefilter框中輸入過濾條件，上述操作顯示的是抓包抓到的所有信息，看起來很繁瑣，我們可以用抓包過濾器對它進(jìn)行過濾，來抓取感興趣的包。抓包過濾器使用的是libcap過濾器語言，在tcpdump的手冊中有詳細(xì)的解釋，基本結(jié)構(gòu)是：[not]primitive[and]or[not]primitive……]

如果你想抓取某些特定的數(shù)據(jù)包時，可以有以下兩種方法：在抓包的時候，就先定義好抓包過濾器，這樣結(jié)果就是只抓到你設(shè)定好的那些類型的數(shù)據(jù)包；先不管三七二十一，把本機(jī)收到或者發(fā)出的包一股腦的抓下來，然后使用顯示過濾器，只讓Ethereal顯示那些你想要的那些類型的數(shù)據(jù)包。Ethereal的抓包過濾器如果不在Captu44Ethereal的抓包過濾器Ethereal的抓包過濾器45Ethereal的抓包過濾器當(dāng)然我們也可以利用Expression命令來設(shè)置過濾條件，如下圖：Ethereal的抓包過濾器46Ethereal的抓包過濾器請記住一個訣竅，如果Filter的背景是綠色，就證明你設(shè)定的Filter是合乎規(guī)定的；但是當(dāng)背景是紅色的，就說明你設(shè)定的Filter是Ethereal不允許的，是不對的。Ethereal的抓包過濾器請記住一個訣竅，如果Filter47Ethereal的抓包過濾器Ethereal的抓包過濾器48Ethereal的抓包過濾器對于屬于tcp或者h(yuǎn)ttp協(xié)議的信息，選中后點(diǎn)擊右鍵，選擇[followTCPstream]就會顯示詳細(xì)的信息：

Ethereal的抓包過濾器對于屬于tcp或者h(yuǎn)ttp協(xié)議的49Ethereal的抓包過濾器