Ethereal抓包常用過濾條件

1、Ethereal抓包常用過濾條件過濾條件語句語句說明src|dst host <host>過濾出包含指定IP地址的數(shù)據(jù)包ether src|dst host <ehost>過濾出包含指定MAC地址的數(shù)據(jù)包gateway host <host>過濾出包含指定網(wǎng)關(guān)IP地址的數(shù)據(jù)包tcp|udp src|dst port <port>過濾出使用指定端口通信的數(shù)據(jù)包less|greater <length>過濾出大于或小于指定長度的數(shù)據(jù)包ip|ether proto <protocol>過濾出使用指定協(xié)議的數(shù)據(jù)包ether|ip

2、broadcast|multicast過濾出廣播或組播的數(shù)據(jù)包過濾語句使用的舉例如下： 1. 捕獲MAC地址為00:e0:fc:58:bc:a3的通信數(shù)據(jù)包，例如： ether host 00:e0:fc:58:bc:a3 2. 捕獲源 src 用PC機(jī)監(jiān)聽STB的通信數(shù)據(jù)包時(shí)，常常要用到這個(gè)過濾條件，以保證只捕獲與STB相關(guān)的數(shù)據(jù)包。 3. 捕獲通過80端口來通信的數(shù)據(jù)包，使用該端口通信的數(shù)據(jù)包是基于http協(xié)議的，例如： tcp port 80 或者為 ip proto http 以上過濾語句還可以通過and、or、not等連接成復(fù)合過濾語句。例如：捕獲除了http外的所有通信數(shù)據(jù)報(bào)文&#

3、160; host and not tcp port 80Name Resolution：名字解析，可將MAC地址、網(wǎng)絡(luò)地址、端口地址解析為相應(yīng)的名稱。1) Enable MAC name resolution 通過該選項(xiàng)可以控制是否讓ethereal將數(shù)據(jù)包中的MAC地址解析為名字。例如在IPTV驗(yàn)證工作中實(shí)際抓包分析時(shí)，常?？稍趨f(xié)議欄中看到Huawei_58:00:63這樣的地址，其實(shí)真實(shí)的MAC地址是：00:e0:fc:58:00:63。2) Enable network name resolution通過該選項(xiàng)可以控制是否讓ethereal將數(shù)據(jù)包中的網(wǎng)絡(luò)地址解析為網(wǎng)絡(luò)名稱。3) En

4、able transport name resolution通過該選項(xiàng)可以控制是否讓ethereal將數(shù)據(jù)包中的端口地址解析為協(xié)議名稱。1.1. 數(shù)據(jù)包的顯示分析捕獲到數(shù)據(jù)包后，主頁面將顯示這些包的信息，如果所抓的數(shù)據(jù)包太繁雜而不方便觀察和分析，則可以在主頁面的過濾欄中輸入顯示過濾條件，這樣主頁面的概要欄、協(xié)議欄和數(shù)據(jù)欄中就只顯示滿足過濾條件的數(shù)據(jù)包。Ethereal中捕獲數(shù)據(jù)和顯示數(shù)據(jù)的功能是分別由兩個(gè)不同程序?qū)崿F(xiàn)的，因此顯示過濾語句的語法與捕獲過濾的不同，常用的過濾語句如下： 也可以在過濾欄中直接輸入?yún)f(xié)議名稱http來實(shí)現(xiàn)過濾，這些語句還可以通過關(guān)系符連接為復(fù)合語句，例如 其中&

5、amp;&是邏輯與（and）的意思，過濾語句還可以用邏輯或（or）、邏輯否（not）和邏輯異或（xor）來連接。當(dāng)輸入的過濾語句正確時(shí)，過濾欄會(huì)顯示為綠色，否則顯示為紅色。以上只是給出了最簡單常用的例子，如果需要了解更詳細(xì)，可查閱Ethereal用戶操作指南等相關(guān)文檔。在數(shù)據(jù)包分析時(shí)，Ethereal還提供一個(gè)很有用的功能Follow TCP Stream。該功能可以將有關(guān)聯(lián)的交互數(shù)據(jù)整理為一個(gè)完整的TCP會(huì)話，可方便的從應(yīng)用層面觀察到該會(huì)話中數(shù)據(jù)流交互的信息。在實(shí)際的IPTV驗(yàn)證工作中，通過此項(xiàng)功能清楚的了解IPTV系統(tǒng)中各組件的交互流程，并深入掌握其交互的信息，對(duì)問題的分析定位有較

6、大的幫助。在概要欄中選中一個(gè)需被分析的數(shù)據(jù)包，如圖1-7所示，點(diǎn)擊鼠標(biāo)右鍵后選擇Follow TCP Stream，將彈出一個(gè)對(duì)話框，如圖1-8。該對(duì)話框的Stream Content中詳細(xì)顯示了這個(gè)TCP會(huì)話交互的所有信息，通過對(duì)話左下角的下拉條可以選擇三種不同的顯示方式：Entire conversation（顯示完整的會(huì)話）, data from A to B only（只顯示從A到B發(fā)送的信息），data from B to A only（只顯示從B到A的信息）。 圖1-7 進(jìn)入Follow TCP Stream圖1-8 Follow TCP Stream對(duì)話框圖1.2. 抓包數(shù)據(jù)的保

7、存捕獲所需的數(shù)據(jù)包后可以保存全部的數(shù)據(jù)，也可以保存部分過濾后的數(shù)據(jù)。從菜單欄的File中選取Save as，將彈出一個(gè)保存對(duì)話框，如圖1-9。通過該對(duì)話框可以設(shè)置文件名、指定文件存儲(chǔ)路徑、選擇文件存儲(chǔ)內(nèi)容和存儲(chǔ)形式。在存儲(chǔ)內(nèi)容選擇框中有Captured和Displayed兩個(gè)按鈕，可分別選擇保存捕獲的數(shù)據(jù)包和顯示的數(shù)據(jù)包。從左邊的選項(xiàng)還可以選擇存儲(chǔ)指定的數(shù)據(jù)包并且能定義每個(gè)包的大小。不同的文件存儲(chǔ)格式能適用于不同的應(yīng)用軟件打開讀取，如果保存的文件需要在Sniffer上打開，則必須在File type的下拉條中選擇Network Associates Sniffer的文件格式。圖1-9 文件保存

8、界面2. Ethereal在IPTV驗(yàn)證中的應(yīng)用實(shí)例簡單實(shí)例：了解STB開機(jī)時(shí)的調(diào)度流程，確定實(shí)際上是哪臺(tái)EPG向STB提供服務(wù)。以下介紹Ethereal在該實(shí)例中的應(yīng)用步驟。1、 構(gòu)造監(jiān)聽環(huán)境使用HUB構(gòu)造網(wǎng)絡(luò)監(jiān)聽環(huán)境，本人的機(jī)頂盒是通過MODEM接入網(wǎng)絡(luò)的，用HUB鏈接STB和MODEM，并將辦公PC接入HUB就可以利用辦公PC監(jiān)聽STB上所有發(fā)送和接收的信息了。如圖1-10所示。圖1-10 監(jiān)聽STB網(wǎng)絡(luò)架構(gòu)2、 在PC機(jī)上運(yùn)行Ethereal抓包選取菜單欄中的Capture>Options 彈出Capture Options對(duì)話框，在Interface中選擇鏈入HUB的網(wǎng)卡來捕獲

9、數(shù)據(jù)包，并將網(wǎng)卡設(shè)置為雜收模式，否則抓不到STB上傳輸?shù)陌?，因?yàn)樵搶?shí)例中只關(guān)注和機(jī)頂盒通信的數(shù)據(jù)包，所以在Capture Filter中輸入過濾出包含有STB地址的數(shù)據(jù)包。由于STB是通過PPPOE撥號(hào)來獲得IP地址上網(wǎng)的，因此以機(jī)頂盒的MAC地址為過濾條件。一般對(duì)于STB上的數(shù)據(jù)流量來說，Ethereal的捕獲速度可以滿足要求，因此可以選擇數(shù)據(jù)包實(shí)時(shí)顯示。為方便手動(dòng)停止抓包，可以不隱藏抓包信息對(duì)話框。以上設(shè)置如圖1-11所示。設(shè)置完成后點(diǎn)擊Capture按鈕進(jìn)入抓包，然后啟動(dòng)STB，等STB登陸到EPG首頁的時(shí)候停止抓包，并將其完整的保存為一后綴為.cap的文件。捕獲的數(shù)據(jù)顯示如圖1-12。

10、圖1-11 Capture Options 設(shè)置3、 對(duì)數(shù)據(jù)包進(jìn)行分析根據(jù)圖1-121-7所示的方式打開“Follow TCP Stream”的對(duì)話框，從Stream Content中即可看到整個(gè)會(huì)話中STB向升級(jí)服務(wù)器請(qǐng)求并獲得了版本配置信息，如圖1-13，根據(jù)這些信息STB決定現(xiàn)用的版本是否需要更新。在此次抓包中可知STB版本無需升級(jí)，因此此次會(huì)話很塊結(jié)束，轉(zhuǎn)入與EDS的TCP會(huì)話連接。圖1-12 機(jī)頂盒抓包數(shù)據(jù) 圖1-13 STB與升級(jí)服務(wù)器之間的TCP會(huì)話如果不需要關(guān)心數(shù)據(jù)包中1-14所示。使用Follow TCP Stream功能可清楚觀察到STB在此次會(huì)話中先后發(fā)起三次請(qǐng)求：首先STB向調(diào)度服務(wù)器直接發(fā)起EPG登陸請(qǐng)求，EDS收到請(qǐng)求后轉(zhuǎn)去后臺(tái)進(jìn)行調(diào)度處理；于是STB接著發(fā)起調(diào)度服務(wù)列表請(qǐng)求，而EDS將調(diào)度結(jié)果傳回前臺(tái)以便通知機(jī)頂盒；最后STB發(fā)起重定向請(qǐng)求，從而得到了EPG服務(wù)器的網(wǎng)絡(luò)地址，由圖1-15圖1-14 過濾后