资源描述：
《抓包工具和抓包分析》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、抓包工具和抓包分析1概述在处理IP网络的故障时，经常使用以太网抓包工具来查看和抓取IP网络上某些端口或某些网段的数据包，并对这些数据包进行分析，定位问题。在IMON项目里，使用抓包工具抓包进行分析的场景在EPG采集、引流模块和软终端监看模块，一般情况下EPG采集和引流模块比较稳定，软终端监看还涉及SS5代理，这部分出问题的几率比较大，这是就有可能要现场维护人员抓包进行分析、排查、定位问题，确定是网络问题还是软件问题，如果是软件问题则要将抓回的包发给研发解决。EPG抓包可分为对鉴权过程、采集过程抓包验证，主要
2、是通过通过抓包分析与IPTV鉴权服务器之间的TCP交互。流媒体交互抓包可分为对组播、点播进行抓包，一般交互的协议分为IGMP、RTSP、RTMP等，组播一般是基于UDP的IGMP流，点播是基于RTP的RTSP流或基于TCP的RTMP流。软终端抓包主要是抓取软终端与IPTV服务器交互、SS5与IPTV服务器交互的数据包，一般跟流媒体交互的报文协议差不多，也是分为组播IGMP、点播RTSP等协议，不过经过测试发现江苏的部分组播（可能是用户不同所致）发送的是RTSP的包。2常用抓包工具122.1WireShark
3、Wireshark是一个非常好用的抓包工具，当我们遇到一些和网络相关的问题时，可以通过这个工具进行分析，不过要说明的是，这只是一个工具，用法是非常灵活的。过滤器的区别捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。捕捉过滤器Protocol（协议）:可能的值:ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,m
4、opdl,tcpandudp.如果没有特别指明是什么协议，则默认使用所有支持的协议。Direction（方向）:可能的值:src,dst,srcanddst,srcordst如果没有特别指明来源或目的地，则默认使用“srcordst”作为关键字。例如，”host10.2.2.2″与”srcordsthost10.2.2.2″是一样的。Host(s):可能的值：net,port,host,portrange.如果没有指定此值，则默认使用”host”关键字。例如，”src10.1.1.1″与”srchost10
5、.1.1.1″相同。LogicalOperations（逻辑运算）:可能的值：not,and,or.否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。例如，“nottcpport3128andtcpport23″与”(nottcpport3128)andtcpport23″相同。“nottcpport3128andtcpport23″与”not(tcpport3128andtcpport23)”不同。例子：tcpdstport3128 //捕捉目的TC
6、P端口为3128的封包。ipsrchost10.1.1.1 //捕捉来源IP地址为10.1.1.1的封包。host10.1.2.3 //捕捉目的或来源IP地址为10.1.2.3的封包。etherhoste0-05-c5-44-b1-3c //捕捉目的或来源MAC地址为e0-05-c5-44-b1-3c的封包。如果你想抓本机与所有外网通讯的数据包时，可以将这里的mac地址换成路由的mac地址即可。srcportrange2000-2500 //捕捉来源为UDP或TCP，并且端口号在2000至2500范围
7、内的封包。notimcp //显示除了icmp以外的所有封包。（icmp通常被ping工具使用）srchost10.7.2.12andnotdstnet10.200.0.0/16 //显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8 //捕捉来源IP为10.4.1.12或者来源网络为10.6.0.0/16
8、，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。srcnet192.168.0.0/24 srcnet192.168.0.0mask255.255.255.0 //捕捉源地址为192.168.0.0网络内的所有封包。显示过滤器例子：snmp
9、
10、 dns
11、
12、 icmp //显示SNMP或DNS或ICMP封包。 ip.addr==10.1.1.1 //显示来源或
