《ethereal的使用详解.ppt》由会员分享，可在线阅读，更多相关《ethereal的使用详解.ppt（41页珍藏版）》请在三一办公上搜索。
1、Ethereal的使用,ethereal Overview,Etherreal,Etherreal,ethereal安装,Winpcap的下载安装Etherreal下载安装,winpcap,Download:(当前最新的是 3.1beta4,正式版本是3.0）http:/,ethereal,Download：（now release version：0.10.10，support chinese）http:/www.E,ethereal使用指南,User Guide,双击启动桌面上ethereal图 标，按ctrl+K进行“capture option”的选择。选择 正确的NIC，进行报 文的
2、捕获。支持 WLan无 线的相关协议。,Interface是选择捕获接口Capture packets in promiscuous mode表示是否打开混杂模式，打开即捕获所有的报文，一般我们只捕获到本机收发的数据报文，所以关掉Limit each packet 表示 限制每个报文的大小Capture files 即捕获数据包的保存的文件名以及保存位置,Capture Options,Ethereal:capture form(nic)driver,capture option确认选择后，点击ok就开始进行抓包同时就会弹出“Ethereal:capture form(nic)driver”，
3、其中(nic)代表本机的网卡型号。同时该界面会以协议的不同统计捕获到报文的百分比点击stop即可以停止抓包,在使用“Ethereal:capture form(nic)driver”抓包的同时，可以通过最小化 or 使用alt+tab的快捷键直接切换到 报文浏览的主界面,User Guide,File的下拉菜单,“Open”即打开已存的抓包文件，快捷键是crtlQ“Open Recent”即打开先前已察看的抓包文件，类似windows的最近访问过的文档“Merge”字面是合并的意思，其实是追加的意思，即当前捕获的报文追加到先前已保存的抓包文件中。Save和save as即保存、选择保存格式。,
4、其中save sa保存为是有个注意点：点击 该展开按钮即可详细选择保存 路径2.File type保存选择时注意：缺省保存为libpcap格式，这个是linux下的tcpdump格式的文件。只有选择文件保存格式为sniffer（windowsbase）1.1和2.0都可，ethereal和sniffer才能双向互相打开对方抓包的文件。否则只有ethereal能打开sniffer的抓包文件。,Sinffer、ethereal可以相互打开对方的文件,File的下拉菜单,Export是输出的意思Print 打印Quit退出,Edit的下拉菜单,Find Packet 就是查询报文，快捷键是ctrl+
5、F,可以支持不同格式的查找,输入正确的语句，那么背景为 绿色，语句错误或缺少背景就为 红色,Edit的下拉菜单,Find Next是向下查找Find Preyious是向上查找Time Reference 字面是时间参考，使用后明白是 做个报文的“时间戳”，方便大量报文的查询,Edit的下拉菜单报文标签,使用Time Reference标签后，原先time的就变成“REF”缩写的标记 附注：你可以在多个报文间 用时间戳标记，方便 查询。通俗点就象书签一样。Mark Packet（toggle）是标记报文Mark all packets 和 Unamrk all packet即标记所有报文、取消
6、标记所有报文,Edit的下拉菜单,点击“preference”进行用户界面的选择，比如说 报文察看界面布局的选择，以及协议支持的选择。,View的下拉菜单,Main toolbar 主工具栏Filter Toolbar 过滤工具栏Statusbar 状态条Packet list 报文列表Packet details 报文详解Packet byte 报文字节察看Time display format 时间显示格式（可以显示年月日时分秒）Name Resolution 名字解析Auto scroll in live capture 单看字面真的不好翻译（自动翻卷显示活动的报文），使用对比一下才获知
7、：捕获时是否跟进显示更新的报文还是显示先前的报文。,View的下拉菜单,Zoom in 字体的放大Zoom out 字体的缩小Normal size 标准大小Resize columns 格式对齐Collapse all 报文细节内容的缩进Expand all 报文细节内容的展开Coloring Rules 颜色规则，即可以对特定的数据包定义特定的颜色。Show packet in new window在新窗口中查看报文内容Reload 刷新,go的下拉菜单,Back 同样双方的上个报文Forward 同样双方的下一个报文Go to packet 查找到指定号码的报文First packet
8、第一个报文Last packet 最后一个报文,capture的下拉菜单,Start 开始捕获报文,Interface 接口捕获过滤,capture的下拉菜单,capture的Capture filter,捕获过滤,如果要捕获特定的报文，那在抓取packet前就要设置，决定数据包的类型。,FIlter name：任意命名Filter string：这里要注意了，这里语法输 入有点技巧。嘿嘿look：。,比如说：a.捕获 MAC地址为 00:d0:f8:00:00:03 网络设备通信的所有报文 ether host 00:d0:f8:00:00:03b.捕获 IP地址为 192.168.10.1
9、 网络设备通信的所有报文 host 192.168.10.1c.捕获网络web浏览的所有报文 tcp port 80d.捕获192.168.10.1除了http外的所有通信数据报文 host 192.168.10.1 and not tcp port 80提示：如果以 默认主机和端口的设置捕获 tcp/ip报文，你将看不到自身的arp报文。,capture的Capture filter,capture的Capture filter,Filter string 语法输入的格式,src|dst host ether src|dst host gateway host src|dst net mas
10、k|len tcp|udp src|dst port less|greater ip|ether proto ether|ip broadcast|multicast relop,符号在Filter string语法中的定义,Equal:eq,=(等于）Not equal:ne,!=（不等于）Greater than:gt,（大于）Less Than:lt,=（大等于）Less than or Equal to:le,=（小等于）,Capture filter的应用步骤,Display filters 显示过滤 可以直接在主界面的filter上选择,Analyze的下拉菜单,Analyze下的
11、Display filters,正确的语法如下，和“Capture Filter”的语法有所不同：显示 以太网地址为 00:d0:f8:00:00:03 设备通信的所有报文 eth.addr=00.d0.f8.00.00.03显示 IP地址为 192.168.10.1 网络设备通信的所有报文 ip.addr=192.168.10.1显示所有设备web浏览的所有报文 tcp.port=80显示192.168.10.1除了http外的所有通信数据报文 ip.addr=192.168.10.1&tcp.port!=80,Analyze的下拉菜单,Enable protocols 是否启用该协议的解析
12、，点选该协议后，相关的上 层协议才能显示出来。,Analyze的下拉菜单,Decode As 用户定义报文协议说明User Specified Decodes 用户修改的报文编译,Analyze的Decode As,Decode As 用户定义报文协议说明 通过定义后，数据包细节的窗口解释：原先是 tcp的解释，更改就直接显示ssl格式的报文了。,Analyze的follow tcp stream,好戏来了（follow tcp stream）,在 浏览器中 敲入 http:/同时ctrlk 开始抓包，嘿嘿-,嘿嘿，看到你了。在packet detail的窗口里 安祥的躺着 decelopme
13、nt.html报文。小样，抓到你了。,Analyze的follow tcp stream,在 packet detail 窗口中选择这个报文（decelopment.html报文）点击右键 选择“follow tcp stream”,Analyze的follow tcp stream,这就是 follow tcp stream窗口，然后全选，在ctrlc，打开 记事本，ctrlv，另存为 1.html。最后双击该文件。后面我什么都不知道了。这只是 ethereal强大功能其中的一个小技巧,Statistics 顾名思义 统计 就是相关的报文的统计信息,Statistics的下拉菜单,Summm
14、ary 报文的详细信息Protocol hierarchy 协议层 即各协议层报文的统计Conversations 显示该会话报文的信息（双方通信的报文信息）endpoints 分别显示单方的报文信息IO Graphs 报文通信的心跳图（翻译的比较蹩脚）,Statistics的下拉菜单,Summmary 报文的详细信息,Protocol hierarchy 协议层 即各协议层报文的统计,Statistics的下拉菜单,Conversations 显示该会话报文的信息（双方通信的报文信息）,endpoints 分别显示单方的报文信息,Statistics的下拉菜单,IO Graphs 报文通信的心跳图（翻译的比较蹩脚）,Help的下拉菜单,Help 帮助,Contents 帮助的目录,Help的下拉菜单,Supported Protocols 支持的协议,Try to ethereal,Ctrl k Alt tab Ctrl E,U can try http:/,Just do it,
