（精選文檔）使用包嗅探和協(xié)議分析軟件Ethereal分析Ethernet幀

1、實(shí)驗(yàn) 使用包嗅探及協(xié)議分析軟件Ethereal 分析 Ethernet幀【實(shí)驗(yàn)?zāi)康摹?1、 掌握包嗅探及協(xié)議分析軟件Ethereal的使用。2、 掌握Ethernet幀的構(gòu)成【實(shí)驗(yàn)環(huán)境】 操作系統(tǒng)XP+Ethereal的計(jì)算機(jī)【實(shí)驗(yàn)時(shí)間】 2節(jié)課【實(shí)驗(yàn)重點(diǎn)及難點(diǎn)】 重點(diǎn)學(xué)習(xí)掌握如何利用Ethereal來分析Ethernet幀?！緦?shí)驗(yàn)內(nèi)容】1、捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格式的幀并進(jìn)行分析。2、捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀進(jìn)行分析。3、捕捉局域網(wǎng)上的所有ethernet mul

2、ticast幀進(jìn)行分析。【實(shí)驗(yàn)步驟】一、Ethereal的安裝Ethereal是一個(gè)圖形用戶接口（GUI）的網(wǎng)絡(luò)嗅探器，由于Ethereal需要WinPcap庫(kù), 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。二、仔細(xì)閱讀附件中的Ethereal使用方法和TcpDump的表達(dá)式詳解，學(xué)習(xí)Ethereal的使用。三、 捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格式的幀并進(jìn)行分析。捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀（幀的長(zhǎng)度字段=1500）， Ethereal的capture

3、filter 的filter string設(shè)置為：ether12:2 1500, 幀的長(zhǎng)度字段實(shí)際上是類型字段）， Ethereal的capture filter 的filter string設(shè)置為：ether12:2 1500。觀察并分析幀結(jié)構(gòu)，802.3格式的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種？（學(xué)校里可能沒有，如果沒有，注明沒有就可以了）觀察并分析幀結(jié)構(gòu)，Ethernet II的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種？四、 捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀，Ethereal的capture filter 的filter s

4、tring設(shè)置為：ether broadcast。 觀察并分析哪些主機(jī)在發(fā)廣播幀，這些幀的高層協(xié)議是什么？你的LAN的共享網(wǎng)段上連接了多少臺(tái)計(jì)算機(jī)？1分鐘內(nèi)有幾個(gè)廣播幀？有否發(fā)生廣播風(fēng)暴？ 五、捕捉局域網(wǎng)上的所有ethernet multicast幀，Ethereal的capture filter 的filter string設(shè)置為：ether multicast 觀察并分析哪些節(jié)點(diǎn)在發(fā)multicast幀，這些幀的高層協(xié)議是什么？【實(shí)驗(yàn)指導(dǎo)材料】用Ethereal分析協(xié)議數(shù)據(jù)包 Ethereal是一個(gè)圖形用戶接口（GUI）的網(wǎng)絡(luò)嗅探器，能夠完成與Tcpdump相同的功能，但操作界面要友好很多

5、。Ehtereal和Tcpdump都依賴于pcap庫(kù)（libpcap），因此兩者在許多方面非常相似（如都使用相同的過濾規(guī)則和關(guān)鍵字）。Ethereal和其它圖形化的網(wǎng)絡(luò)嗅探器都使用相同的界面模式，如果能熟練地使用Ethereal，那么其它圖形用戶界面的嗅探器基本都可以操作。1. Ethereal的安裝 由于Ethereal需要WinPcap庫(kù), 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。2. 設(shè)置Ethereal的過濾規(guī)則 當(dāng)編譯并安裝好Ethereal后，就可以執(zhí)行“ethereal”命令來啟動(dòng)Ethereal。在用Ethereal截獲數(shù)據(jù)包之前，應(yīng)該為其設(shè)

6、置相應(yīng)的過濾規(guī)則，可以只捕獲感興趣的數(shù)據(jù)包。Ethereal使用與Tcpdump相似的過濾規(guī)則(詳見下面的“5.過濾規(guī)則實(shí)例”)，并且可以很方便地存儲(chǔ)已經(jīng)設(shè)置好的過濾規(guī)則。要為Ethereal配置過濾規(guī)則，首先單擊“Edit”選單，然后選擇“Capture Filters.”菜單項(xiàng)，打開“Edit Capture Filter List”對(duì)話框（如下圖所示）。因?yàn)榇藭r(shí)還沒有添加任何過濾規(guī)則，因而該對(duì)話框右側(cè)的列表框是空的。 在Ethereal中添加過濾器時(shí)，需要為該過濾器指定名字及規(guī)則。例如，要在主機(jī)62和間創(chuàng)建過濾器，可以在“Filter name

7、”編輯框內(nèi)輸入過濾器名字“sohu”，在“Filter string”編輯框內(nèi)輸入過濾規(guī)則“host 62 and ”，然后單擊“New”按鈕即可，如下圖所示。 在Ethereal中使用的過濾規(guī)則和Tcpdump幾乎完全一致，這是因?yàn)閮烧叨蓟趐cap庫(kù)的緣故。Ethereal能夠同時(shí)維護(hù)很多個(gè)過濾器。網(wǎng)絡(luò)管理員可以根據(jù)實(shí)際需要選用不同的過濾器，這在很多情況下是非常有用的。例如，一個(gè)過濾器可能用于截獲兩個(gè)主機(jī)間的數(shù)據(jù)包，而另一個(gè)則可能用于截獲ICMP包來診斷網(wǎng)絡(luò)故障。 當(dāng)所有需要的過濾器都創(chuàng)建好后，單擊“Save”按鈕保存創(chuàng)建的過濾器，然后單擊“Cl

8、ose”按鈕來關(guān)閉“Edit Capture Filter List”對(duì)話框。要將過濾器應(yīng)用于嗅探過程，需要在截獲數(shù)據(jù)包之前或之后指定過濾器。要為嗅探過程指定過濾器，并開始截獲數(shù)據(jù)包，可以單擊“Capture”選單，選擇“Start.”選單項(xiàng)，打開“Capture Options”對(duì)話框，單擊該對(duì)話框中的“Filter:”按鈕，然后選擇要使用的過濾器，如下圖所示。注意在“Capture Options”對(duì)話框中，“Update list of packets in real time”復(fù)選框被選中了。這樣可以使每個(gè)數(shù)據(jù)包在被截獲時(shí)就實(shí)時(shí)顯示出來，而不是在嗅探過程結(jié)束之后才顯示所有截獲的數(shù)據(jù)包。

9、在選擇了所需要的過濾器后，單擊“OK”按鈕，整個(gè)嗅探過程就開始了。Ethereal可以實(shí)時(shí)顯示截獲的數(shù)據(jù)包，因此能夠幫助網(wǎng)絡(luò)管理員及時(shí)了解網(wǎng)絡(luò)的運(yùn)行狀況，從而使其對(duì)網(wǎng)絡(luò)性能和流量能有一個(gè)比較準(zhǔn)確的把握。 3. 用Ethereal分析數(shù)據(jù)包 Ethereal和其它的圖形化嗅探器使用基本類似的界面，整個(gè)窗口被分成三個(gè)部分：最上面為數(shù)據(jù)包列表，用來顯示截獲的每個(gè)數(shù)據(jù)包的總結(jié)性信息；中間為協(xié)議樹，用來顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；最下邊是以十六進(jìn)制形式表示的數(shù)據(jù)包內(nèi)容，用來顯示數(shù)據(jù)包在物理層上傳輸時(shí)的最終形式。使用Ethereal可以很方便地對(duì)截獲的數(shù)據(jù)包進(jìn)行分析，包括該數(shù)據(jù)包的源地址、目的地址、所

10、屬協(xié)議等。圖4是在Ethereal中對(duì)一個(gè)HTTP數(shù)據(jù)包進(jìn)行分析時(shí)的情形。在圖4最上邊的數(shù)據(jù)包列表中，顯示了被截獲的數(shù)據(jù)包的基本信息。從圖中可以看出，當(dāng)前選中數(shù)據(jù)包的源地址是62，目的地址為5，該數(shù)據(jù)包所屬的協(xié)議是超文本傳輸協(xié)議(HTTP)。更詳細(xì)的信息表明該數(shù)據(jù)包中含有一個(gè)HTTP的GET命令，要求下載starrtlog.js文件到客戶端的Web瀏覽器。 圖4 用Ethereal分析數(shù)據(jù)包內(nèi)容圖4中間是協(xié)議樹，通過協(xié)議樹可以得到被截獲的數(shù)據(jù)包的更多信息，如主機(jī)的MAC地址(Ethernet II)、IP地址(Internet Protocol)、T

11、CP端口號(hào)(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。通過擴(kuò)展協(xié)議樹中的相應(yīng)節(jié)點(diǎn)，可以得到該數(shù)據(jù)包中攜帶的更詳盡的信息。圖4最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時(shí)的最終形式，當(dāng)在協(xié)議樹中選中xz某行時(shí)，與其對(duì)應(yīng)的十六進(jìn)制代碼同樣會(huì)被選中，這樣就可以很方便地對(duì)各種協(xié)議的數(shù)據(jù)包進(jìn)行分析。 Ethereal提供的圖形化用戶界面非常友好，管理員可以很方便地查看到每個(gè)數(shù)據(jù)包的詳細(xì)信息，協(xié)議樹及其對(duì)應(yīng)的十六進(jìn)制表示對(duì)分析每個(gè)數(shù)據(jù)包的目的很有幫助，綜合使用Ether

12、eal和Tcpdump能夠基本滿足網(wǎng)絡(luò)管理員在Linux和windows系統(tǒng)上的所有嗅探要求。4. tcpdump的表達(dá)式介紹tcpdump的表達(dá)式就是前面提到的Ethereal過濾規(guī)則。表達(dá)式是一個(gè)正則表達(dá)式，tcpdump利用它作為過濾報(bào)文的條件，如果一個(gè)報(bào)文滿足表達(dá)式的條件，則這個(gè)報(bào)文將會(huì)被捕獲。如果沒有給出任何條件，則網(wǎng)絡(luò)上所有的信息包將會(huì)被截獲。 在表達(dá)式中一般如下幾種類型的關(guān)鍵字，一種是關(guān)于類型的關(guān)鍵字，主要包括host，net，port, 例如 host ，指明 是一臺(tái)主機(jī)，net 指明是一個(gè)網(wǎng)絡(luò)地

13、址，port 23 指明端口號(hào)是23。如果沒有指定類型，缺省的類型是host. 第二種是確定傳輸方向的關(guān)鍵字，主要包括src , dst ,dst or src, dst and src , 這些關(guān)鍵字指明了傳輸?shù)姆较?。舉例說明，src ,指明ip包中源地址是 , dst net 指明目的網(wǎng)絡(luò)地址是 。如果沒有指明方向關(guān)鍵字，則缺省是src or dst關(guān)鍵字。 第三種是協(xié)議的關(guān)鍵字，主要包括：ether, fddi, tr, ip, ip6, arp, rarp, decnet, tcp, udp.。Fddi

14、指明是在 FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò))上的特定的網(wǎng)絡(luò)協(xié)議，實(shí)際上它是ether的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協(xié)議包當(dāng)作ether的包進(jìn)行處理和分析。 其他的幾個(gè)關(guān)鍵字就是指明了監(jiān)聽的包的協(xié)議內(nèi)容。如果沒有指定任何協(xié)議，則tcpdump將會(huì)監(jiān)聽所有協(xié)議的信息包。 除了這三種類型的關(guān)鍵字之外，其他重要的關(guān)鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運(yùn)算，取非運(yùn)算是 not ! , 與運(yùn)算是and,&;或運(yùn)算 是or ,|； 這些關(guān)鍵字可以組合起來構(gòu)成強(qiáng)大的組合條件來滿足人們的需要，下面舉幾個(gè)例子來1、想要截

15、獲所有 的主機(jī)收到的和發(fā)出的所有的數(shù)據(jù)包： #tcpdump host 2、想要截獲主機(jī) 和主機(jī) 或的通信，使用命令：（在命令行中適用括號(hào)時(shí)，一定要 #tcpdump host and ( or ) 3、如果想要獲取主機(jī)除了和主機(jī)之外所有主機(jī)通信的ip包，使用命令： ip host and ! 4、如果想要獲取主機(jī)210.2

16、7.48.1接收或發(fā)出的telnet包，使用如下命令： tcp port 23 host 5.過濾規(guī)則實(shí)例l 捕捉主機(jī)3和www服務(wù)器之間的通信（這里主機(jī)3可以是自身，也可以是通過普通HUB（而不是交換機(jī)）與本機(jī)相連的LAN上的其它主機(jī)或路由器,下同），Ethereal的capture filter 的filter string設(shè)置為：host 3 and l 捕捉局域網(wǎng)上的所有ARP包，Ethereal的capture filter 的filter str

17、ing設(shè)置為：arpl 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有ARP包，Ethereal的capture filter 的filter string設(shè)置為：arp host 3或者等價(jià)地設(shè)置為：arp and host 7l 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有POP包（即src or dst port110），Ethereal的capture filter 的filter string設(shè)置為：tcp port 110 and host 3或者等價(jià)地設(shè)置為：tcp and port 110 and

18、host 3l 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有FTP包（即src or dst port21），Ethereal的capture filter 的filter string設(shè)置為：tcp port 21 and host 3(1). 在主機(jī)3上用FTP客戶端軟件訪問FTP server。(2). 觀察并分析3和FTP server之間傳輸?shù)腅thernet II (即DIX Ethernet v2) 幀結(jié)構(gòu)，IP數(shù)據(jù)報(bào)結(jié)構(gòu)，TCP segment結(jié)構(gòu)。(3). 觀察并分析FTP PDU名稱和結(jié)構(gòu)。注意3發(fā)出的FTP request PDU中以USER開頭、以PASS開頭的兩個(gè)PDU，他們包含了什么信息？對(duì)INTERNET的FTP協(xié)議的安全性作出評(píng)價(jià)。l 捕捉局域網(wǎng)上的所