如何快速掌握ethereal的使用方法

《如何快速掌握ethereal的使用方法》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、1、ethreal使用－入门ethreal可以用来从网络上抓包，并能对包进行分析。下面介绍windows下面ethereal的使用方法安装1）安装winpcap，下载地址http://netgroup-serv.polito.it/winpcap/install/Default.htm2）安装ethreal，下载地址http://www.ethereal.com/使用windows程序，使用很简单。启动ethreal以后，选择菜单Capature->Start，就OK了。当你不想抓的时候，按一下stop

2、，抓的包就会显示在面板中，并且已经分析好了。下面是一个截图：2、ethereal使用－capture选项Interface:指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以了Limiteachpacket:限制每个包的大小，缺省情况不限制Capturepacketsinpromiscuousmode:是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。Filter：过滤器。只抓取满足过滤规则的包（可暂时略过）File：如果

3、需要将抓到的包写到文件中，在这里输入文件名称。useringbuffer：是否使用循环缓冲。缺省情况下不使用，即一直抓包。注意，循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷其他的项选择缺省的就可以了3、ethereal的抓包过滤器抓包过滤器用来抓取感兴趣的包，用在抓包过程中。抓包过滤器使用的是libcap过滤器语言，在tcpdump的手册中有详细的解释，基本结构是：[not]primitive[and

4、or[not]primitive...]个人观点，如果你

5、想抓取某些特定的数据包时，可以有以下两种方法，你可以任选一种，个人比较偏好第二种方式：1、在抓包的时候，就先定义好抓包过滤器，这样结果就是只抓到你设定好的那些类型的数据包；2、先不管三七二十一，把本机收到或者发出的包一股脑的抓下来，然后使用下节介绍的显示过滤器，只让Ethereal显示那些你想要的那些类型的数据包；4、etheral的显示过滤器（重点内容）在抓包完成以后，显示过滤器可以用来找到你感兴趣的包，可以根据1)协议2)是否存在某个域3)域值4)域值之间的比较来查找你感兴趣的包。举个例子，如果你只

6、想查看使用tcp协议的包，在ethereal窗口的左下角的Filter中输入tcp，然后回车，ethereal就会只显示tcp协议的包。如下图所示：值比较表达式可以使用下面的操作符来构造显示过滤器自然语言 类c表示   举例eq  ==   ip.addr==10.1.10.20ne  !=   ip.addr!=10.1.10.20gt  >   frame.pkt_len>10lt  <   frame.pkt_len<10ge  >=   frame.pkt_len>=10le  <=   fra

7、me.pkt_len<=10表达式组合可以使用下面的逻辑操作符将表达式组合起来自然语言 类c表示   举例and  &&   逻辑与，比如ip.addr=10.1.10.20&&tcp.flag.finor  

8、

9、   逻辑或，比如ip.addr=10.1.10.20

10、

11、ip.addr=10.1.10.21xor  ^^   异或，如tr.dst[0:3]==0.6.29xortr.src[0:3]==not  !   逻辑非，如!llc例如：我想抓取IP地址是192.168.2.10的主机，它所接收收

12、或发送的所有的HTTP报文，那么合适的显示Filter（过滤器）就是：请记住一个诀窍：只好在Filter的背景是绿色，就证明你设定的Filter是合乎规定的，但是当背景是红色时，就说明你设定的Filter是Ethereal不允许的，是不对的。如：所有的过滤器（Filter）都可以在Filter旁边的Expression…中选取。大家可以多钻研钻研。定有收获。5、在ethereal使用协议插件ethereal能够支持许多协议，但有些协议需要安装插件以后才能解，比如H.323以H.323协议为例，首先下载e

13、thereal的H.323插件，下载地址http://www.voice2sniff.org/下载完了以后将文件(h323.dll)解压到ethereal安装目录的plugin.9.x目录下面，比如我的是0.9.11然后，需要进行一下设置1)启动ethereal2)菜单Edit->Preference3)单击Protocols前面的"+"号，展开Protocols4)找到Q931，并单击5)确保"Desegment....  TCPse