抓包工具Ethereal的使用课件.ppt

《抓包工具Ethereal的使用课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、抓包工具Ethereal的使用2006年2月目录Ethereal简介Ethereal安装Ethereal使用Ethereal的抓包过滤器Ethereal使用小技巧Ethereal简介Ethereal是我们在测试中常用到的抓包工具，它适用于linux和windows操作系统，它会从网卡处捕获本机向外发的包文件和外界比如服务器向本机发的包文件，然后详细陈列所抓到的各个包的具体协议信息，对于抓到的包文件，我们既可以保存，也可以把他们打开，也可以用过滤来对指定的机器和端口进行分析。Ethereal简介Ethereal能够支

2、持许多协议，但有些协议需要安装插件以后才能抓包。首先要下载Ethereal的协议插件，然后解压到Ethereal安装目录的plugins下面，启动Ethereal，在菜单Edit->preferences下进行设置。目录Ethereal简介Ethereal安装Ethereal使用Ethereal的抓包过滤器Ethereal使用小技巧Ethereal安装在windows操作系统下，执行文件WinPcap_3_0.exe，然后再执行文件ethereal-setup-0.10.10.exe，这样执行完这两个文件后我们就可

3、以运用Ethereal进行抓包或者对linux所抓到的包文件进行分析。目录Ethereal简介Ethereal安装Ethereal使用Ethereal的抓包过滤器Ethereal使用小技巧Ethereal使用启动Ethereal以后，选择菜单Capture->start，将会出现以下配置页面：Ethereal使用其中在interface输入框中，要求填入所要选择的网卡，对于有多个网卡的服务器这是必要的，但一般对pc机，这一项则不必。Capturefilter框中要求输入过滤条件，即用户所需要的信息，而把一切无关的信

4、息过滤掉。比如我可以按照端口来进行过滤，我只想得到端口号是5060和8080的信息，那么，我在captureFilter栏中输入过滤条件：port5060andport8080Ethereal使用Capturepacketsinpromiscuousmode：是否打开混杂模式。如果打开，抓取所有的数据包，一般情况下只需要监听本机收到或者发出的包，因此应关闭这个选项。File：如果需要将抓到的包写到文件中，在这里输入文件名。Limiteachpocket：限制每个包的大小，缺省情况不限制。Ethereal使用点击ok

5、按钮后出现如下图示：Ethereal使用然后点击stop按钮，就会出现所有的抓包所抓到的信息，最上方显示的是协议包，中间显示的是协议解释，最下面的是二进制码流。如下图所示：Ethereal使用当然我们也可以采取滚动方式来显示所抓到的信息，如下图所示：Ethereal使用如上图选择实时更新和自动滚动后，点击“OK”按钮，就可以滚动显示所抓到的信息。点击“停止”按钮就会停止抓包。目录Ethereal简介Ethereal安装Ethereal使用Ethereal的抓包过滤器Ethereal使用小技巧Ethereal的抓包过

6、滤器如果不在Capturefilter框中输入过滤条件，上述操作显示的是抓包抓到的所有信息，看起来很繁琐，我们可以用抓包过滤器对它进行过滤，来抓取感兴趣的包。抓包过滤器使用的是libcap过滤器语言，在tcpdump的手册中有详细的解释，基本结构是：[not]primitive[and]or[not]primitive……]如果你想抓取某些特定的数据包时，可以有以下两种方法：在抓包的时候，就先定义好抓包过滤器，这样结果就是只抓到你设定好的那些类型的数据包；先不管三七二十一，把本机收到或者发出的包一股脑的抓下来，然后

7、使用显示过滤器，只让Ethereal显示那些你想要的那些类型的数据包。Ethereal的抓包过滤器Ethereal的抓包过滤器当然我们也可以利用Expression命令来设置过滤条件，如下图：Ethereal的抓包过滤器请记住一个诀窍，如果Filter的背景是绿色，就证明你设定的Filter是合乎规定的；但是当背景是红色的，就说明你设定的Filter是Ethereal不允许的，是不对的。Ethereal的抓包过滤器Ethereal的抓包过滤器对于属于tcp或者http协议的信息，选中后点击右键，选择[followT

8、CPstream]就会显示详细的信息：Ethereal的抓包过滤器目录Ethereal简介Ethereal安装Ethereal使用Ethereal的抓包过滤器Ethereal使用小技巧Ethereal使用小技巧抓包的时候，我们往往想把过滤后的信令保存下来，而不是保存所有信令，这时只需要在保存的时候点击[displayed]按钮，再保存，保存下来的就是过滤后的