commview使用教程

1、第1章 報文捕獲解析1.1 捕獲面板報文捕獲功能可以在報文捕獲面板中進行完成，如下是捕獲面板的功能圖：圖中顯示的是處于開始狀態(tài)的面板IP地址別名：right-click on the IP address in question and select SmartWhois: 1.2 捕獲報文查看軟件提供了強大的分析能力和解碼功能。如下圖所示，對于捕獲的報文提供了一個Expert專家分析系統(tǒng)進行分析，還有解碼選項及圖形和表格的統(tǒng)計信息。解碼分析下圖是對捕獲報文進行解碼的顯示，通常分為三部分，目前大部分此類軟件結構都采用這種結構顯示。對于解碼主要要求分析人員對協(xié)議比較熟悉，這樣才能看懂解析出來的報

2、文。使用該軟件是很簡單的事情，要能夠利用軟件解碼分析來解決問題關鍵是要對各種層次的協(xié)議了解的比較透徹。工具軟件只是提供一個輔助的手段。對于MAC地址，軟件進行了頭部的替換，如00e0fc開頭的就替換成Huawei，這樣有利于了解網絡上各種相關設備的制造廠商信息。功能是按照過濾器設置的過濾規(guī)則進行數據的捕獲或顯示。過濾器可以根據物理地址或IP地址和協(xié)議選擇進行組合篩選。HTTP捕獲:POP3及登陸信息捕獲：捕獲TCP任務重建：HTML解析：統(tǒng)計分析對于Matrix，Host Table，Portocol Dist. Statistics等提供了豐富的按照地址，協(xié)議等內容做了豐富的組合統(tǒng)計，比較簡

3、單。1.3 設置捕獲條件基本的捕獲條件有兩種：1、鏈路層捕獲，按源MAC和目的MAC地址進行捕獲，輸入方式為十六進制連續(xù)輸入，如：00E0FC123456。2、IP層捕獲，按源IP和目的IP進行捕獲。輸入方式為點間隔方式，如：。如果選擇IP層捕獲條件則ARP等報文將被過濾掉。第2章 數據報文解碼詳解本章主要對：數據報文分層、以太報文結構、IP協(xié)議、ARP協(xié)議等的解碼分析做了簡單的描述，目的在于介紹軟件在協(xié)議分析中的功能作用并通過解碼分析對協(xié)議進一步了解。對其其他協(xié)議讀者可以通過協(xié)議文檔和捕獲的報文對比分析。2.1 數據報文分層如下圖所示，對于四層網絡結構，其不同層次完成不通功能。每一層次有眾多

4、協(xié)議組成。解碼表中分別對每一個層次協(xié)議進行解碼分析。鏈路層對應“Ethernet”；網絡層對應“IP”；傳輸層對應“UDP”；應用層對對應的是“NETB”等高層協(xié)議?？梢葬槍Ρ姸鄥f(xié)議進行詳細結構化解碼分析。并利用樹形結構良好的表現出來。以太報文結構EthernetII以太網幀結構Ethernet_II以太網幀類型報文結構為：目的MAC地址（6bytes）源MAC地址（6bytes）上層協(xié)議類型（2bytes）數據字段（46-1500bytes)校驗（4bytes）。Commview會在捕獲報文的時候自動記錄捕獲的時間，在解碼顯示時顯示出來，在分析問題時提供了很好的時間記錄。源目的MAC地址在解

5、碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網絡上2臺設備IP地址設置沖突，可以通過解碼翻譯出廠商信息方便的將故障設備找到，如00e0fc為華為，010042為Cisco等等。如果需要查看詳細的MAC地址用鼠標在解碼框中點擊此MAC地址，在下面的表格中會突出顯示該地址的16進制編碼。IP網絡來說Ethertype字段承載的時上層協(xié)議的類型主要包括0x800為IP協(xié)議，0x806為ARP協(xié)議。IEEE802.3以太網報文結構上圖為IEEE802.3SNAP幀結構，與EthernetII不通點是目的和源地址后面的字段代表的不是上層協(xié)議類型而是報文長度。并多了LLC子層。IP協(xié)議I

6、P報文結構為IP協(xié)議頭載荷，其中對IP協(xié)議頭部的分析，時分析IP報文的主要內容之一，關于IP報文詳細信息請參考相關資料。這里給出了IP協(xié)議頭部的一個結構。版本：4IPv4首部長度：單位為4字節(jié)，最大60字節(jié)TOS：IP優(yōu)先級字段總長度：單位字節(jié)，最大65535字節(jié)標識：IP報文標識字段標志：占3比特，只用到低位的兩個比特 MF（More Fragment） MF=1，后面還有分片的數據包 MF=0，分片數據包的最后一個 DF（Don't Fragment） DF=1，不允許分片 DF=0，允許分片段偏移：分片后的分組在原分組中的相對位置，總共13比特，單位為8字節(jié)壽命：TTL（Time

7、 To Live）丟棄TTL=0的報文協(xié)議：攜帶的是何種協(xié)議報文 1 ：ICMP 6 ：TCP 17：UDP 89：OSPF頭部檢驗和：對IP協(xié)議首部的校驗和源IP地址：IP報文的源地址目的IP地址：IP報文的目的地址Commview對IP協(xié)議首部的解碼分析結構，和IP首部各個字段相對應，并給出了各個字段值所表示含義的英文解釋。報文協(xié)議（Protocol）字段的編碼通過Commview解碼分析轉換為十進制，只要對協(xié)議理解的比較清楚對解碼內容的理解將會變的很容易。ARP協(xié)議 以下為ARP報文結構ARP分組具有如下的一些字段：HTYPE（硬件類型）。這是一個16比特字段，用來定義運行ARP的網絡的

8、類型。每一個局域網基于其類型被指派給一個整數。例如，以太網是類型1。ARP可使用在任何網絡上。PTYPE（協(xié)議類型）。這是一個16比特字段，用來定義協(xié)議的類型。例如，對IPv4協(xié)議，這個字段的值是0800。ARP可用于任何高層協(xié)議。HLEN（硬件長度）。這是一個8比特字段，用來定義以字節(jié)為單位的物理地址的長度。例如，對以太網這個值是6。PLEN（協(xié)議長度）。這是一個8比特字段，用來定義以字節(jié)為單位的邏輯地址的長度。例如，對IPv4協(xié)議這個值是4。OPER（操作）。這是一個16比特字段，用來定義分組的類型。已定義了兩種類型：ARP請求（1），ARP回答（2）。SHA（發(fā)送站硬件地址）。這是一個可變長度字段，用來定義發(fā)送站的物理地址的長度。例如，對以太網這個字段是6字節(jié)長。SPA（發(fā)送站協(xié)議地址）。這是一個可變長度字段，用來定義發(fā)送站的邏輯（例如，IP）地址的長度。對于IP協(xié)議，這個字段是4字節(jié)長。THA（目標硬件地址）。這是一個可變長度字段，