1、ethreal使用－入门

实验一：Ethereal使用入门一、背景知识Ethereal是目前广泛使用的网络协议分析工具(NetworkProtocolAnalyzer)，它能够实时地捕获网络上的包，并且把包中每个域的细节显现出来。Ethereal的广为流行主要有以下三个原因：(1)它的功能非常强大，随着大家对Ethereal的熟悉将会深切感受到这一点。(2)它是开源、免费的软件。(3)它具有非常详细的文档。Ethereal的安装文件和文档可以从下载。二、Ethereal图形界面，如下图所示：第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。三、Ethereal的基本用法Ethereal的最基本功能是捕获网络包，其使用方法很简单，按如下步骤即可：(1)选择“Capture”菜单项中的“Option”,这时会弹出一个对话框，如下所示。这个对话框中的栏目虽然很多，但一般只需配置其中两项。一项是“CaptureFilter”栏。在这个栏中，可以输入过滤规则，用于规定Ethereal捕获包的种类(注：过滤规则的写法将在下一节作专门介绍)；如果不输入过滤规则，则Ethereal将捕获所有从网卡发送或收到的包。另外一项是“Updatelistofpacketsinrealtime”选项，请大家一定要选中这一项，这样可以使Ethereal在捕获包的同时，实时地把捕获的包显示出来。(2)在完成如上配置后，点击“Start”按钮，Ethereal便开始捕获包。四、Ethereal的过滤规则Ethereal的过滤规则可以有两种形式：(1)一个原语：一个原语即一条最基本的过滤规则(2)用“and”、“or”、“not”关系去处运算符，以及括号组合起来的原语。其中“and”的含义是它所连接的两个原语必须都成立；“or”的含义是它所连接的两个原语只要有一个成立即可；“not”的含义是它后面跟的原语不成立；括号的作用是对关系运算顺序作出规定。从上面的描述可以看出，我们只要掌握原语的写法，再用关系运算符把它们组合起来，就可以写出满足不同要求的过滤规则了。Ethereal提供的原语非常多，这里只介绍最常用的四种（在下面的叙述中，“[]”表示可选项，“”表示必存在的项，“｜”表示两者选择其中之一，其他字符串则是关键字，必须照写不误）：1)ether[src|dst]hostmac_addr这条原语用来根据以太网MAC层的信息来进行包过滤。若无可选项src|dst，这条原语用于捕获源和目的MAC地址之一是“mac_addr“的以太网帧；如果加上“src”或“dst”的限制，则分别用于捕获源或目的MAC地址是“mac_addr”的以太网帧。如：原语“etherhost08:00:1B:D3:D3:61”的含义是捕获所有源或目的MAC地址是“08:00:1B:D3:D3:61”的以太网帧。原语“ethersrchost08:00:1B:D3:D3:61”的含义是捕获所有源MAC地址是“08:00:1B:D3:D3:61”的以太网帧。2)[src|dst]hostip_addr这条原语用来根据IP信息进行包过滤。若无可选“src|dst”,这条原语用于捕获源或目的IP地址之一是“ip_addr”的包；如果加上“src”或“dst”的限制，则分别用于捕获源或目的IP地址是“ip_addr”的包。例如，原语“host210.30.97.53”的含义是捕获所有源或目的地址是“210.30.97.53”的包；原语“dsthost210.30.97.53”的含义是捕获所有目的地址是“210.30.97.53”的包3)[tcp|udp][src|dst]portnumber这条原语是用来根据传输层进行包过滤。它可以用于捕获传输层协议是TCP或UDP，源或目的端口号是number的包。可选项“TCP”和“UDP”用于对传输层协议进行选择，可选项“src”和“dst”用来对端口号是源还是目的进行选择。例如，原语“tcpport80”的含义是捕获所有源或目的端口号是80的协议的包；原语“udpdstport53”的含义是捕获所有目的端口号是53的UDP协议的包。4)arp|ip|icmp|udp|tcp等这类原语用于捕获属于某种协议类型的包，协议的类型可以是“arp”、“ip”、“ICMP”、“UDP”或“TCP”等。例如只含一个关键原语“ICMP”的含义是捕获所有ICMP协议的包。以是介绍4种最常用的原语写法，下面通过举例说明如何把这些原语组合起来，从而构造比较复杂的过滤规则。[例A-1]捕获主机192.168.0.10发出或收到的，除HTTP协议之外的网络包。过滤规则为：host192.168.0.10andnottcpport80(注：HTTP协议通常使用TCP端口号80)[例A-2]记主机192.168.0.10为A，捕获A与主机192.168.0.20或A与主机192.168.0.30之间的网络包。过滤规则为：host192.168.0.10and(host192.168.0.20orhost192.168.0.30)