使用包嗅探及協(xié)議分析軟件

1、實(shí)驗(yàn)二 使用包嗅探及協(xié)議分析軟件Ethereal 分析 Ethernet幀【實(shí)驗(yàn)?zāi)康摹?#160;       1、 掌握包嗅探及協(xié)議分析軟件Ethereal的使用。2、 掌握Ethernet幀的構(gòu)成【實(shí)驗(yàn)環(huán)境】 安裝好Windows 2000 Server操作系統(tǒng)+Ethereal的計(jì)算機(jī)【實(shí)驗(yàn)時(shí)間】 2節(jié)課【實(shí)驗(yàn)重點(diǎn)及難點(diǎn)】 重點(diǎn)學(xué)習(xí)掌握如何利用Ethereal來(lái)分析Ethernet幀?！緦?shí)驗(yàn)內(nèi)容】1、捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格式的幀并進(jìn)行分

2、析。2、捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀進(jìn)行分析。3、捕捉局域網(wǎng)上的所有ethernet multicast幀進(jìn)行分析?！緦?shí)驗(yàn)步驟】一、Ethereal的安裝Ethereal是一個(gè)圖形用戶(hù)接口（GUI）的網(wǎng)絡(luò)嗅探器，由于Ethereal需要WinPcap庫(kù), 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。（已裝好）二、仔細(xì)閱讀附件中的Ethereal使用方法和TcpDump的表達(dá)式詳解，學(xué)習(xí)Ethereal的使用。三、 捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀和DIX Ethernet V2（即Ethernet II）格

3、式的幀并進(jìn)行分析。捕捉任何主機(jī)發(fā)出的Ethernet 802.3格式的幀（幀的長(zhǎng)度字段<=1500）， Ethereal的capture filter 的filter string設(shè)置為：ether12:2 <= 1500。捕捉任何主機(jī)發(fā)出的DIX Ethernet V2（即Ethernet II）格式的幀（幀的長(zhǎng)度字段>1500, 幀的長(zhǎng)度字段實(shí)際上是類(lèi)型字段）， Ethereal的capture filter 的filter string設(shè)置為：ether12:2 > 1500。觀(guān)察并分析幀結(jié)構(gòu)，802.3格式的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種

4、？（學(xué)校里可能沒(méi)有，如果沒(méi)有，注明沒(méi)有就可以了）觀(guān)察并分析幀結(jié)構(gòu)，Ethernet II的幀的上一層主要是哪些PDU？是IP、LLC還是其它哪種？四、 捕捉并分析局域網(wǎng)上的所有ethernet broadcast幀，Ethereal的capture filter 的filter string設(shè)置為：ether broadcast。 觀(guān)察并分析哪些主機(jī)在發(fā)廣播幀，這些幀的高層協(xié)議是什么？你的LAN的共享網(wǎng)段上連接了多少臺(tái)計(jì)算機(jī)？1分鐘內(nèi)有幾個(gè)廣播幀？有否發(fā)生廣播風(fēng)暴？ 五、捕捉局域網(wǎng)上的所有ethernet multicast幀，Ethereal的capture filter 的filter s

5、tring設(shè)置為：ether multicast 觀(guān)察并分析哪些節(jié)點(diǎn)在發(fā)multicast幀，這些幀的高層協(xié)議是什么？【實(shí)驗(yàn)指導(dǎo)材料】用Ethereal分析協(xié)議數(shù)據(jù)包 Ethereal是一個(gè)圖形用戶(hù)接口（GUI）的網(wǎng)絡(luò)嗅探器，能夠完成與Tcpdump相同的功能，但操作界面要友好很多。Ehtereal和Tcpdump都依賴(lài)于pcap庫(kù)（libpcap），因此兩者在許多方面非常相似（如都使用相同的過(guò)濾規(guī)則和關(guān)鍵字）。Ethereal和其它圖形化的網(wǎng)絡(luò)嗅探器都使用相同的界面模式，如果能熟練地使用Ethereal，那么其它圖形用戶(hù)界面的嗅探器基本都可以操作。1. Ethereal的安裝 由于Ether

6、eal需要WinPcap庫(kù), 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。2. 設(shè)置Ethereal的過(guò)濾規(guī)則 當(dāng)編譯并安裝好Ethereal后，就可以執(zhí)行“ethereal”命令來(lái)啟動(dòng)Ethereal。在用Ethereal截獲數(shù)據(jù)包之前，應(yīng)該為其設(shè)置相應(yīng)的過(guò)濾規(guī)則，可以只捕獲感興趣的數(shù)據(jù)包。Ethereal使用與Tcpdump相似的過(guò)濾規(guī)則(詳見(jiàn)下面的“5.過(guò)濾規(guī)則實(shí)例”)，并且可以很方便地存儲(chǔ)已經(jīng)設(shè)置好的過(guò)濾規(guī)則。要為Ethereal配置過(guò)濾規(guī)則，首先單擊“Edit”選單，然后選擇“Capture Filters.”菜單項(xiàng)，打開(kāi)“Edit Capture F

7、ilter List”對(duì)話(huà)框（如下圖所示）。因?yàn)榇藭r(shí)還沒(méi)有添加任何過(guò)濾規(guī)則，因而該對(duì)話(huà)框右側(cè)的列表框是空的。 在Ethereal中添加過(guò)濾器時(shí)，需要為該過(guò)濾器指定名字及規(guī)則。例如，要在主機(jī)62和間創(chuàng)建過(guò)濾器，可以在“Filter name”編輯框內(nèi)輸入過(guò)濾器名字“sohu”，在“Filter string”編輯框內(nèi)輸入過(guò)濾規(guī)則“host 62 and ”，然后單擊“New”按鈕即可，如下圖所示。 在Ethereal中使用的過(guò)濾規(guī)則和Tcpdump幾乎完全一致，這是因?yàn)閮烧叨蓟趐cap庫(kù)的緣故。Ethereal能夠同時(shí)維護(hù)很多個(gè)過(guò)濾器。網(wǎng)絡(luò)管理員可以根據(jù)

8、實(shí)際需要選用不同的過(guò)濾器，這在很多情況下是非常有用的。例如，一個(gè)過(guò)濾器可能用于截獲兩個(gè)主機(jī)間的數(shù)據(jù)包，而另一個(gè)則可能用于截獲ICMP包來(lái)診斷網(wǎng)絡(luò)故障。 當(dāng)所有需要的過(guò)濾器都創(chuàng)建好后，單擊“Save”按鈕保存創(chuàng)建的過(guò)濾器，然后單擊“Close”按鈕來(lái)關(guān)閉“Edit Capture Filter List”對(duì)話(huà)框。要將過(guò)濾器應(yīng)用于嗅探過(guò)程，需要在截獲數(shù)據(jù)包之前或之后指定過(guò)濾器。要為嗅探過(guò)程指定過(guò)濾器，并開(kāi)始截獲數(shù)據(jù)包，可以單擊“Capture”選單，選擇“Start.”選單項(xiàng)，打開(kāi)“Capture Options”對(duì)話(huà)框，單擊該對(duì)話(huà)框中的“Filter:”按鈕，然后選擇要使用的過(guò)濾器，如下圖所示。

9、注意在“Capture Options”對(duì)話(huà)框中，“Update list of packets in real time”復(fù)選框被選中了。這樣可以使每個(gè)數(shù)據(jù)包在被截獲時(shí)就實(shí)時(shí)顯示出來(lái)，而不是在嗅探過(guò)程結(jié)束之后才顯示所有截獲的數(shù)據(jù)包。在選擇了所需要的過(guò)濾器后，單擊“OK”按鈕，整個(gè)嗅探過(guò)程就開(kāi)始了。Ethereal可以實(shí)時(shí)顯示截獲的數(shù)據(jù)包，因此能夠幫助網(wǎng)絡(luò)管理員及時(shí)了解網(wǎng)絡(luò)的運(yùn)行狀況，從而使其對(duì)網(wǎng)絡(luò)性能和流量能有一個(gè)比較準(zhǔn)確的把握。 3. 用Ethereal分析數(shù)據(jù)包 Ethereal和其它的圖形化嗅探器使用基本類(lèi)似的界面，整個(gè)窗口被分成三個(gè)部分：最上面為數(shù)據(jù)包列表，用來(lái)顯示截獲的每個(gè)數(shù)據(jù)包的

10、總結(jié)性信息；中間為協(xié)議樹(shù)，用來(lái)顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；最下邊是以十六進(jìn)制形式表示的數(shù)據(jù)包內(nèi)容，用來(lái)顯示數(shù)據(jù)包在物理層上傳輸時(shí)的最終形式。使用Ethereal可以很方便地對(duì)截獲的數(shù)據(jù)包進(jìn)行分析，包括該數(shù)據(jù)包的源地址、目的地址、所屬協(xié)議等。圖4是在Ethereal中對(duì)一個(gè)HTTP數(shù)據(jù)包進(jìn)行分析時(shí)的情形。在圖4最上邊的數(shù)據(jù)包列表中，顯示了被截獲的數(shù)據(jù)包的基本信息。從圖中可以看出，當(dāng)前選中數(shù)據(jù)包的源地址是62，目的地址為5，該數(shù)據(jù)包所屬的協(xié)議是超文本傳輸協(xié)議(HTTP)。更詳細(xì)的信息表明該數(shù)據(jù)包中含有一個(gè)HTTP的GET命令，要求下載starrtlo

11、g.js文件到客戶(hù)端的Web瀏覽器。 圖4 用Ethereal分析數(shù)據(jù)包內(nèi)容圖4中間是協(xié)議樹(shù)，通過(guò)協(xié)議樹(shù)可以得到被截獲的數(shù)據(jù)包的更多信息，如主機(jī)的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口號(hào)(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。通過(guò)擴(kuò)展協(xié)議樹(shù)中的相應(yīng)節(jié)點(diǎn)，可以得到該數(shù)據(jù)包中攜帶的更詳盡的信息。圖4最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時(shí)的最終形式，當(dāng)在協(xié)議樹(shù)中選中xz某行時(shí)，與其對(duì)應(yīng)的十六進(jìn)制代

12、碼同樣會(huì)被選中，這樣就可以很方便地對(duì)各種協(xié)議的數(shù)據(jù)包進(jìn)行分析。 Ethereal提供的圖形化用戶(hù)界面非常友好，管理員可以很方便地查看到每個(gè)數(shù)據(jù)包的詳細(xì)信息，協(xié)議樹(shù)及其對(duì)應(yīng)的十六進(jìn)制表示對(duì)分析每個(gè)數(shù)據(jù)包的目的很有幫助，綜合使用Ethereal和Tcpdump能夠基本滿(mǎn)足網(wǎng)絡(luò)管理員在Linux和windows系統(tǒng)上的所有嗅探要求。4. tcpdump的表達(dá)式介紹tcpdump的表達(dá)式就是前面提到的Ethereal過(guò)濾規(guī)則。表達(dá)式是一個(gè)正則表達(dá)式，tcpdump利用它作為過(guò)濾報(bào)文的條件，如果一個(gè)報(bào)文滿(mǎn)足表達(dá)式的條件，則這個(gè)報(bào)文將會(huì)被捕獲。如果沒(méi)有給出任何條件，則網(wǎng)絡(luò)上所有的信息包將會(huì)被截獲。 在表達(dá)

13、式中一般如下幾種類(lèi)型的關(guān)鍵字，一種是關(guān)于類(lèi)型的關(guān)鍵字，主要包括host，net，port, 例如 host ，指明 是一臺(tái)主機(jī)，net 指明是一個(gè)網(wǎng)絡(luò)地址，port 23 指明端口號(hào)是23。如果沒(méi)有指定類(lèi)型，缺省的類(lèi)型是host. 第二種是確定傳輸方向的關(guān)鍵字，主要包括src , dst ,dst or src, dst and src , 這些關(guān)鍵字指明了傳輸?shù)姆较颉Ｅe例說(shuō)明，src ,指明ip包中源地址是 , dst net 指明目的網(wǎng)絡(luò)地址是

14、 。如果沒(méi)有指明方向關(guān)鍵字，則缺省是src or dst關(guān)鍵字。 第三種是協(xié)議的關(guān)鍵字，主要包括：ether, fddi, tr, ip, ip6, arp, rarp, decnet, tcp, udp.。Fddi指明是在 FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò))上的特定的網(wǎng)絡(luò)協(xié)議，實(shí)際上它是"ether"的別名，fddi和ether具有類(lèi)似的源地址和目的地址，所以可以將fddi協(xié)議包當(dāng)作ether的包進(jìn)行處理和分析。 其他的幾個(gè)關(guān)鍵字就是指明了監(jiān)聽(tīng)的包的協(xié)議內(nèi)容。如果沒(méi)有指定任何協(xié)議，則tcpdump將會(huì)監(jiān)聽(tīng)所有協(xié)議的信息包。 除了這三種類(lèi)型的關(guān)鍵字之外，其

15、他重要的關(guān)鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運(yùn)算，取非運(yùn)算是 'not ' '! ', 與運(yùn)算是'and','&&'或運(yùn)算 是'or' ,'|'； 這些關(guān)鍵字可以組合起來(lái)構(gòu)成強(qiáng)大的組合條件來(lái)滿(mǎn)足人們的需要，下面舉幾個(gè)例子來(lái)1、想要截獲所有 的主機(jī)收到的和發(fā)出的所有的數(shù)據(jù)包： #tcpdump host 2、想要截獲主機(jī) 和主機(jī) 或210.27.

16、48.3的通信，使用命令：（在命令行中適用括號(hào)時(shí)，一定要 #tcpdump host and ( or ) 3、如果想要獲取主機(jī)除了和主機(jī)之外所有主機(jī)通信的ip包，使用命令： ip host and ! 4、如果想要獲取主機(jī)接收或發(fā)出的telnet包，使用如下命令： tcp port 23 host 5.過(guò)濾規(guī)則實(shí)例l 捕捉主機(jī)3和www服務(wù)器之間的通信（這里主機(jī)10.1

17、4.26.53可以是自身，也可以是通過(guò)普通HUB（而不是交換機(jī)）與本機(jī)相連的LAN上的其它主機(jī)或路由器,下同），Ethereal的capture filter 的filter string設(shè)置為：host 3 and l 捕捉局域網(wǎng)上的所有ARP包，Ethereal的capture filter 的filter string設(shè)置為：arpl 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有ARP包，Ethereal的capture filter 的filter string設(shè)置為：arp host 3或者等價(jià)地設(shè)置為：arp and host 10

18、.12.105.27l 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有POP包（即src or dst port110），Ethereal的capture filter 的filter string設(shè)置為：tcp port 110 and host 3或者等價(jià)地設(shè)置為：tcp and port 110 and host 3l 捕捉局域網(wǎng)上主機(jī)3發(fā)出或接受的所有FTP包（即src or dst port21），Ethereal的capture filter 的filter string設(shè)置為：tcp port 21 and host 3(1). 在主機(jī)3上用FTP客戶(hù)端軟件訪(fǎng)問(wèn)。(2). 觀(guān)察并分析3和之間傳輸?shù)腅thernet II (即DIX Ethernet v2) 幀結(jié)構(gòu)，IP數(shù)據(jù)報(bào)結(jié)構(gòu)，TCP segment結(jié)構(gòu)。(3). 觀(guān)察并分析名稱(chēng)和結(jié)構(gòu)。注意3發(fā)出的 PDU中以USER開(kāi)頭、以PA