《实验一_Ethereal_入门基础.docx》由会员分享，可在线阅读，更多相关《实验一_Ethereal_入门基础.docx（7页珍藏版）》请在三一办公上搜索。
1、实验一协议分析软件Ethereal入门基础一、实验目的和要求-了解网络协议分析器Ethereal的基本知识掌握Ethereal安装过程-掌握使用Ethereal捕捉数据包的方法能对捕获到的包简单分析利用Ethereal对收到的数据包分析，加深课程知识的理解深度.二、实验内容安装Ethereal软件和相应的WinpCap软件，启动Ethereal并设置相应的选项，捕获一段记录。并查看不同数据包使用的协议，以及不同协议的数据包格式中各字段的内容。三、实验设备PC 机、Ethereal 软件、WinpCap 软件四、背景知识Ethereal是一个著名的的网络端口探测器，是可以在各种计算机操作系统上运
2、行的网络监听软件。其 功能是在一个共享的网络环境下对数据包进行捕捉和分析，而且还能够自由地为其增加某些插件以实现额 外功能。Ethernet网络监测工具可在实时模式或离线模式中用来捕获和分析网络通信。下面是使用Ethereal可以完成的几个工作：网络管理员使用它去帮助解决网络问题网络安全工程师用它去测试安全问题开发人员用它是调试协议的实现过程用它还可以帮助人员深入的学习网络协议下面是Ethereal提供的一些特性：支持UNIX平台和Windows平台。从网络接口上捕获实时数据包以非常详细的协议方式显示数据包可以打开或者存贮捕获的数据包导入/导出数据包，从/到其它的捕获程序按多种方式过滤数据包按
3、多种方式查找数据包根据过滤条件，以不同的颜色显示数据包可以建立多种统计数据对于网络管理员来说，也可以通过捕包分析，来确定一些异常的流量和局域网内部的非正常用户与外 界的通信，比如说对于现在比较占用网络带宽的诸如Bit Torrent等P2P应用软件流量，通过使用该软件 确定这些流量，网络管理员就可以使用流量控制（TC）的方法来规范、合理的分配带宽资源，提高网络的利 用率。五、实验步骤1、安装 Ethereal 和 WinpCap。安装好后，桌面上会出现“图标，为Ethereal的桌面快捷方式。2、启动Ethereal，界面如下:图1 Ethereal启动界面最初的窗口中没有数据，因为还没有开始
4、捕获数据包，首先来认识一下界面。Ethereal主窗口有很多的GUI程序组成：（1）File（文件）：这个菜单包含：打开文件、合并文件、保存打印/导出整个或部分捕获文件、退出。（2）Edit（编辑）这个菜单包括：查找包、时间参照、标记一个或多个包、设置参数、（剪切、复制、 粘贴）。（3）View（查看）：这个菜单控制捕获数据的显示，包括：给定特定的一类包标以不同的颜色、字体缩 放、在一个新窗口中显示一个包、展开&折叠详细信息面板的树状结构。（4）Go：这个菜单实现转到一个特定包。（5）Capture（捕获）：这个菜单实现开始、停止捕获，编辑捕获过滤条件的功能。（6）Analyze（分析）：这个
5、菜单包含编辑显示过滤、enable（开）或disable（关）协议解码器、配置用户 指定的解码方法、追踪一个TCP流。（7）Statistics（统计）：该菜单完成统计功能。包括捕获的包的一个摘要、基于协议的包的数量等树 状统计图等许多功（8）Help（帮助）这个菜单包含了一些对用户有用的信息。比如基本帮助、支持的协议列表、手册页、 在线访问到网站等等。3、使用 Capture Options 对话框。要想获得一个跟踪记录，我们首先从Capture（捕获）菜单中选择“Capture Options”（捕获选项）， 并用Capture Options对话框来指定跟踪记录的各个方面。图 2 Cap
6、tion Options 选项框（1）Interface （接口）首先要选择合适的接口，也就是网卡，如何不选择合适的接口，可能捕获不到数据包。图2中黄色框1，这个字段指定在哪个接口进行捕获。这是一个下拉字段，只能从中选择Ethereal识 别出来的接口，要想捕获到数据，首先要选择正确的适配器（网卡），如果一台机器同时拥有以太网网卡 和无线网络网卡，你必须选择其中一个进行监测。（2）IP address（IP 地址）所选接口卡的IP地址。如果不能解析出IP地址，则显示”unknown”。（3）Link-layer header type（链路层头类型）除非你在极个别的情况下可能用到这个字段，大多
7、数情况下保持默认值。（4） Buffer size: n megabyte（s）（缓冲区大小：n 兆）输入捕获时使用的buffer的大小。这是核心buffer的大小，捕获的数据首先保存在这里，直到写 入磁盘。如果遇到包丢失的情况，增加这个值可能解决问题。本实验中保持默认值。（5）Capture packets in promiscuous mode （在混杂模式捕获包，绿色框 2）这个选项允许设置是否将网卡设置在混杂模式。如果不指定，Ethereal仅仅捕获那些进入你的计算 机的或送出你的计算机的包。（而不是LAN网段上的所有包）。要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。
8、可以选。（6）Limit each packet to n bytes （限制每一个包为 n 字节）这个字段设置每一个数据包的最大捕获的数据量。有时称作snaplen。如果disable这个选项默认 是65535,对于大多数协议来讲中够了。本实验中保持默认值。（7）Capture Filter（捕获过滤，蓝色框3）这个字段指定一个捕获过滤。“在捕获时进行过滤”部分进行讨论。默认是空的，即没过过滤。也 可以点击标为Capture Filter的按钮，Ethereal将弹出Capture Filters（捕获过滤）对话框，来建立或 者选择一个过滤。例如，你可以用下面的过滤器来捕获那些只从IP地址1
9、92.168.0.1发出和发往它的分组：host 192.168.0.1。Ethereal过滤器功能很强，但是需要学习一种简单的过滤语言。本实验中保持默认值，暂时不需设置。（8）Capture File （捕获文件，紫色框4）可以指定将捕获的分组直接保存在一个文件中，而不是在内存中。选择一个合适的文件夹，将捕获的 信息存入。（9）Use Multiple Files （使用多个文件，枚红色框5）使用这个选项，分组可以被写入多个文件。这些控制对于捕获较大较长的跟踪记录是很重要的。本实验中保持默认值。（10）Stop Capture （停止捕获）可以设定一些停止捕获的选项，自动停止捕获。本实验中保
10、持默认值。（11）Name Resolution （名字解析，黑色框 7）在任何可能的情况下，可以要求Ethereal把分中不同的数字翻译成为人们易读的名字。如：启用MAC 地址转换，Ethereal会将一部分地址转化为厂商的名称。如启用网络地址转换，Ethereal会试图将一个 网络地址（201.100.1.9的IP地址）转化为一个主机名，如本实验中保持默认值。（12）Update list of packets in real time （实时更新分组列表，红色框6）每个新的分组都会被添加到主窗口中的分组列表中去。勾选。4、开始捕获数据包。上述的各项选择好后，点击“ start”开始捕获数
11、据包，下图为捕获时的情形。Ethereal: Capture from Microsoft a国IwCaptured PacketsTotal17170% of totalSCTPo Isi0.0%TCP621536.2%UDP1093563.7%ICMP伯 II0.1%ARP20.0%OSPFo II0.0%GREo0.0%NetBIOS0 II0.0%IPX0 l!l0.0% .VINESo0.0%Othero II0.0%Running00:00:19Stop !牛 KS=W5S= 图2捕获数据包这个窗口概述了被捕捉的各种类型包的量。5、停止捕获。大约等一段时间后（30-60秒），点击“
12、stop”按钮，停止捕获后，会弹出下面的窗体，显示了刚才捕 获到的包。捕捉包序号捕捉时间源地址 目的地址上层协议包内容 IB I 藏 QHTTP. Clear ApplyProtocol Info4 22:21:28.596211.161.159.22192.168.1.1005 22:21:28.599211.161.159.22192.168.1.1006 22：21：28.599211.161.159.22192.168.1.LOO7 22:21:28.599192.16E.1.100211.161.159.228 22:21:28.600211.161.159.22192.168.1.
13、LOO9 22:21:28.600211.161.159.22152.168.1.10010 22:21:28.600192.16E.1.100211.161.159.22?ii.1fii tq.? iQ7.ifis i.innconfi nuati on or non-HTTP tr; http 59512 ACK Seq=4320 confinuation or non-HTTP tri 59512 http ACK Seq=68 A http ACK Seq=68 At rnnTinuAri nn nr non-http t r i0 Frame 1 (1494 bytes on wir
14、e, 1494 bytes captured)lj Ethernet II, Src: 00: Id: Of: 68: c6: e2 (00 :ld: Of: 68: c6: e2) , Dst: c4:46:19:71: d8:80 (c4:46:19: 0 internet Protocol, 5rc: 211.161.159.22 (211.161.159.22)5 Dst: 192.168.1.100 (192.16E.1.100 田 Transmission control Protocol, 5rc Port: http (80), Dst Port: 59512 (59512),
15、 seq: 0, Ack: i+： Hypertext Transfer Protocol00000010002000B00040 n n c： n451f mc o o o eh9aod7- IJObfk 6 8 4 6b 1 4 c 6 5fsod8oo40o8eObo ObOb527 o 3 7 8 7k0 8 0 7 10 o a 1 c o 4 5OO95G 4 c 5 o 0 6 0 3 2 _ olb a as 8 f 2 5 8 o 9 9 e a r 2 Idd 9k e a c6dn 6 3 9 Id n cdaar-4 匚 8 8 5 9bl 6 5 b 8 7 D 卜弓
16、F c C dd 5 8k包的16进制代码包的ASCII代码区图3 网络分析器Ethereal主界面上图中标示出了主界面的各个部分，大家要仔细观察，了解捕获的内容。6、完成捕获。恭喜你！现在，你拥有了刚才在你的电脑通过网络进行交换的协议消息，你已经完成了一次成功的协 议数据捕获。六、思考题Q1、你没有手动进行网络访问操作，但还是抓到了一些数据，请列出你抓到的各种包的协议名称，并 上网查询下这些包分别是起什么作用的？各是由谁发出的？Q2、从你抓到的第一个包到最后一个包持续的时间是多久？（默认time列显示的是开始捕获后的 以秒为单位的持续时间，如果要在time列以time-of-day格式显示，请选择Ethereal的View下拉菜 单，然后选择时间显示格式为Time-of-day）Q3、导出这些数据，你可以在Ethereal的File命令菜单中选择save菜单，作为实验报告的结果。
