數(shù)據(jù)包捕獲與分析

1、數(shù)據(jù)包捕獲與分析內(nèi)容二 數(shù)據(jù)包捕獲與分析一、實(shí)驗(yàn)環(huán)境搭建： 1) 運(yùn)行Windows 2000/2003 Server/XP操作系統(tǒng)的PC一臺(tái) 2) 每臺(tái)PC具有一塊以太網(wǎng)卡，通過雙絞線與局域網(wǎng)相連 3) Ethereal程序、WinPcap程序二、實(shí)驗(yàn)?zāi)康模?1）學(xué)會(huì)正確安裝和配置網(wǎng)絡(luò)協(xié)議分析儀軟件Ethereal。 2）掌握使用Ethereal分析各種網(wǎng)絡(luò)協(xié)議的技能，加深對(duì)幀格式、協(xié)議格式、協(xié)議層次的理解。三、實(shí)驗(yàn)步驟：Ethereal是一個(gè)圖形用戶接口（GUI）的網(wǎng)絡(luò)嗅探器， Ethereal和其它圖形化的網(wǎng)絡(luò)嗅探器都使用相同的界面模式，如果能熟練地使用Ethereal，那么其它圖形用戶

2、界面的嗅探器基本都可以操作。 1. Ethereal的安裝 由于Ethereal需要WinPcap庫(kù), 所以先安裝WinPcap_2_3.exe, 再安裝Ethereal.exe。2. 查看Ethereal的捕獲接口 圖1-1 Capture Interfaces打開Ethereal，在菜單Capture 下點(diǎn)擊Interfaces， 選取要抓包的網(wǎng)卡， 這里選取地址為7 的所在本主機(jī)的網(wǎng)卡抓取數(shù)據(jù)包，接口選擇Broadcom NetXtreme Gigabit Ethernet Driver (Microsofts Packet Scheduler)如圖1-1：3.設(shè)置

3、Ethereal的捕獲過濾器 在配置完捕獲接口以后，我們可以設(shè)置相應(yīng)的捕獲數(shù)據(jù)包的過濾規(guī)則，就可以捕獲到我們感興趣的數(shù)據(jù)包。首先單擊“Edit”選單，然后選擇“Capture Filters.”菜單項(xiàng)，打開“Edit Capture Filter List”對(duì)話框（如圖1-2所示）。因?yàn)榇藭r(shí)還沒有添加任何過濾規(guī)則，因而該對(duì)話框右側(cè)的列表框是空的。 圖1-2 Ethereal過濾器配置對(duì)話框 在Ethereal中添加過濾器時(shí)，需要為該過濾器指定名字及規(guī)則。例如，要在主機(jī)7和8間創(chuàng)建過濾器，可以在“Filter name”編輯框內(nèi)輸入過濾規(guī)則的名字“1”

4、，在“Filter string”編輯框內(nèi)輸入過濾規(guī)則“host 7 and 8”，然后單擊“New”按鈕即可，可以捕獲到在主機(jī)7和8之間傳輸?shù)臄?shù)據(jù)包，如圖1-3所示。圖1-3 為Ethereal添加一個(gè)過濾器 當(dāng)所有需要的過濾器都創(chuàng)建好后，單擊“Save”按鈕保存創(chuàng)建的過濾器，然后單擊“Close”按鈕來(lái)關(guān)閉“Edit Capture Filter List”對(duì)話框。要將過濾器應(yīng)用于嗅探過程，需要在截獲數(shù)據(jù)包之前或之后指定過濾器。要為嗅探過程指定過濾器，并開始截獲數(shù)據(jù)包，可以單擊“Capture”選單，選

5、擇“Start.”選單項(xiàng)，打開“Capture Options”對(duì)話框，單擊該對(duì)話框中的“Filter:”按鈕，然后選擇要使用的過濾器，如圖1-4所示。圖1-4 為Ethereal指定過濾器對(duì)圖1-4中的術(shù)語(yǔ)進(jìn)行如下解釋：Interface:這個(gè)字段指定在哪個(gè)接口進(jìn)行捕獲。這是一個(gè)下拉字段，只能從中選擇Ethereal識(shí)別出來(lái)的接口，默認(rèn)是第一塊支持捕獲的非loopback接口卡。如果沒有接口卡，那么第一個(gè)默認(rèn)就是第一塊loopback接口卡。在某些系統(tǒng)中，loopback接口卡不能用來(lái)捕獲（loopback接口卡在Windows平臺(tái)是不可用的） IP address（IP地址）:所選接口卡的

6、IP地址。如果不能解析出IP地址，則顯示unknown Link-layer header type（鏈路層頭類型）:除非你在極個(gè)別的情況下可能用到這個(gè)字段，大多數(shù)情況下保持默認(rèn)值。Buffer size: n megabyte(s) （緩沖區(qū)大?。簄 兆）:輸入捕獲時(shí)使用的buffer的大小。這是核心buffer的大小，捕獲的數(shù)據(jù)首先保存在這里，直到寫入磁盤。如果遇到包丟失的情況，增加這個(gè)值可能解決問題。 Capture packets in promiscuous mode （在混雜模式捕獲包）:這個(gè)選項(xiàng)允許設(shè)置是否將網(wǎng)卡設(shè)置在混雜模式。如果不指定，Ethereal僅僅捕獲那些進(jìn)入你的計(jì)算

7、機(jī)的或送出你的計(jì)算機(jī)的包。 (而不是LAN網(wǎng)段上的所有包). Limit each packet to n bytes （限制每一個(gè)包為n 字節(jié)）:這個(gè)字段設(shè)置每一個(gè)數(shù)據(jù)包的最大捕獲的數(shù)據(jù)量。有時(shí)稱作snaplen 。如果disable這個(gè)選項(xiàng)，默認(rèn)是65535, 對(duì)于大多數(shù)協(xié)議來(lái)講中夠了。 注意在“Capture Options”對(duì)話框中，“Update list of packets in real time”復(fù)選框被選中了。這樣可以使每個(gè)數(shù)據(jù)包在被截獲時(shí)就實(shí)時(shí)顯示出來(lái)，而不是在嗅探過程結(jié)束之后才顯示所有截獲的數(shù)據(jù)包。 4.捕獲分析 在設(shè)置捕獲過濾規(guī)則之后，單擊“OK”按鈕，整個(gè)嗅探過程就

8、開始了。Ethereal可以實(shí)時(shí)顯示截獲的數(shù)據(jù)包，因此能夠幫助網(wǎng)絡(luò)管理員及時(shí)了解網(wǎng)絡(luò)的運(yùn)行狀況，從而使其對(duì)網(wǎng)絡(luò)性能和流量能有一個(gè)比較準(zhǔn)確的把握。在主操作系統(tǒng)中使用ping 8 的命令，來(lái)ping 另一臺(tái)主機(jī)7。我們來(lái)看看抓取的數(shù)據(jù)包如圖1-5。 （PING命令是基于ICMP協(xié)議，所以我們看到的是ICMP協(xié)議，由于發(fā)送數(shù)據(jù)包需要用到ARP協(xié)議來(lái)獲到硬件地址，所以同時(shí)看到ARP協(xié)議）圖1-5用Ethereal分析數(shù)據(jù)包內(nèi)容圖1-5中間是協(xié)議樹，通過協(xié)議樹可以得到被截獲的數(shù)據(jù)包的更多信息，如主機(jī)的MAC地址(Ethernet II)、IP地址(Intern

9、et Protocol)、TCP端口號(hào)(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。通過擴(kuò)展協(xié)議樹中的相應(yīng)節(jié)點(diǎn)，可以得到該數(shù)據(jù)包中攜帶的更詳盡的信息。 最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時(shí)的最終形式，當(dāng)在協(xié)議樹中選中某行時(shí)，與其對(duì)應(yīng)的十六進(jìn)制代碼同樣會(huì)被選中，這樣就可以很方便地對(duì)各種協(xié)議的數(shù)據(jù)包進(jìn)行分析。 5.設(shè)置etheral的顯示過濾器 剛才設(shè)置的過濾器是在抓包之前，我們根據(jù)設(shè)置過濾規(guī)則來(lái)過濾掉我們感興趣的數(shù)據(jù)包，顯示過濾器是在抓完包以后，通過顯示

10、過濾器可以用來(lái)從已經(jīng)捕獲的數(shù)據(jù)包中找到你感興趣的包，并顯示出來(lái)。舉個(gè)例子，如果你只想查看使用TCP協(xié)議的包，etheral窗口的左下角的Filter中輸入tcp,然后回車，ethereal就會(huì)只顯示tcp協(xié)議的包。如下圖所示：圖1-6 Etheral的顯示設(shè)置表達(dá)式也可以使用下面的操作符構(gòu)造顯示過濾器Ip.addr=7Ip.addr！=7Frame.pkt_len10請(qǐng)記住一個(gè)竅門：當(dāng)Filter的背景是綠色，就證明你設(shè)定的Filter是合乎規(guī)定的，但是當(dāng)背景是紅色的，說明你設(shè)定的Filter是Ethereal不允許的。6.捕獲FTP包進(jìn)行分析捕捉局

11、域網(wǎng)上主機(jī)5發(fā)出或接受的所有FTP包（即src or dst port21），Ethereal的capture filter 的filter string設(shè)置為：tcp port 21 and host 5，如圖1-10所示，然后將Capture options中的Capture filter選擇該項(xiàng)，點(diǎn)擊Start開始捕獲，這時(shí)出現(xiàn)如圖1-7。 圖1-7 圖 1-8 當(dāng)我們點(diǎn)擊Stop時(shí)，這時(shí)就出現(xiàn)FTP數(shù)據(jù)包解碼界面如圖1-9所示,從圖中我們可以發(fā)現(xiàn)大量有用的信息，有源地址、目的地址、協(xié)議類型、包發(fā)送到達(dá)的時(shí)間、從中還捕獲到登陸FTP服務(wù)器時(shí)輸入的用戶名和密碼，下面的分析正說明了FTP中的數(shù)據(jù)是以明文形式傳輸?shù)模虼嗽诓东@的數(shù)據(jù)包中可以分析到被監(jiān)聽主機(jī)的任何FTP行為。登