linux(Red-Hat)抓包及ethereal抓包工具的使用方法.doc

《linux(Red-Hat)抓包及ethereal抓包工具的使用方法.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、linux抓包及ethereal抓包工具的使用方法1．Linux抓包（1）一般抓包命令tcpdump-s0-c包数量-i网卡名-w文件名其中：-s0表示应用层的size不受限制，用于详细分析。否则将被截断，即应用层消息可能不完整)-c包数量到达某个数量后自动停止抓包，防止文件太大-i只抓某个网卡的消息，不抓其他网卡的消息-w抓到的消息自动存入文件中，但消息不再在显示器上显示了例：tcpdump-s0–c10000-ieth0-w/tmp/1.cap抓取本机eth0网卡上所有进出的消息，且应用层的消息是完整的，并存入/tmp目录下的1.cap文件（.cap是ethereal消息包文件的后缀名

2、），如果在抓包过程中用户不使用ctrl+c来中断的话，抓到10000条消息后自动停止抓包。如果中途被中断，文件中存放的是中断之前的消息。（2）指定交互双方的抓包命令tcpdumphost192.168.0.2and192.168.0.3–s0–w/tmp/2-3.cap只抓这2台主机之间交互的消息，其它消息被过滤掉。由于ethereal工具功能强大，所以尽管tcpdump命令有许多参数可以达到许多过滤条件，但把这些事交给ethereal来做，我们就更省力。2．ethereal抓包工具的使用方法把xxx.cap文件下载后，就可以使用ethereal工具来分析了。当然也可在linux机器上直接

3、使用ethereal来抓包（需要安装rpm）而不用使用tcpdump命令。现在介绍的是在windows电脑上启动ethereal程序，见下图：选择菜单“file”－open选择消息包文件：打开：选择菜单“statistics”－conversationlist－tcp通过对IP地址的排序找到所关心的一次交互过程，在该条目上使用右键：该次交互过程中的所有消息便显示出来，可以认真分析了。ethereal的显示区分为3个区域：（1）上区域：一次交互过程中的所有消息的概况，（2）中区域：一条消息中的所有分层信息的解码，（3）下区域：一条消息的16进制码，当对中区域应用层的解码有疑问时，可利用该区域

4、中的16进制码和相关协议进行再分析。当发现问题以后，可以把该次交互过程的详细解码消息保存为文本文件进行交流。选择菜单“file”－print进行相关配置后，按“print”，多条消息的完整解码的文本文件就保存好了，见下图：Chenke2010。5