抓包工具Ethereal的使用課件

抓包工具Ethereal的使用2006年2月目錄Ethereal簡(jiǎn)介Ethereal安裝Ethereal使用Ethereal的抓包過(guò)濾器Ethereal使用小技巧Ethereal簡(jiǎn)介Ethereal是我們?cè)跍y(cè)試中常用到的抓包工具，它適用于linux和windows操作系統(tǒng)，它會(huì)從網(wǎng)卡處捕獲本機(jī)向外發(fā)的包文件和外界比如服務(wù)器向本機(jī)發(fā)的包文件，然后詳細(xì)陳列所抓到的各個(gè)包的具體協(xié)議信息，對(duì)于抓到的包文件，我們既可以保存，也可以把他們打開(kāi)，也可以用過(guò)濾來(lái)對(duì)指定的機(jī)器和端口進(jìn)行分析。Ethereal簡(jiǎn)介Ethereal能夠支持許多協(xié)議，但有些協(xié)議需要安裝插件以后才能抓包。首先要下載Ethereal的協(xié)議插件，然后解壓到Ethereal安裝目錄的plugins下面，啟動(dòng)Ethereal，在菜單Edit->preferences下進(jìn)行設(shè)置。目錄Ethereal簡(jiǎn)介Ethereal安裝Ethereal使用Ethereal的抓包過(guò)濾器Ethereal使用小技巧Ethereal安裝在windows操作系統(tǒng)下，執(zhí)行文件WinPcap_3_0.exe，然后再執(zhí)行文件ethereal-setup-0.10.10.exe，這樣執(zhí)行完這兩個(gè)文件后我們就可以運(yùn)用Ethereal進(jìn)行抓包或者對(duì)linux所抓到的包文件進(jìn)行分析。

目錄Ethereal簡(jiǎn)介Ethereal安裝Ethereal使用Ethereal的抓包過(guò)濾器Ethereal使用小技巧Ethereal使用

啟動(dòng)Ethereal以后，選擇菜單Capture->start，將會(huì)出現(xiàn)以下配置頁(yè)面：Ethereal使用

其中在interface輸入框中，要求填入所要選擇的網(wǎng)卡，對(duì)于有多個(gè)網(wǎng)卡的服務(wù)器這是必要的，但一般對(duì)pc機(jī)，這一項(xiàng)則不必。Capturefilter框中要求輸入過(guò)濾條件，即用戶(hù)所需要的信息，而把一切無(wú)關(guān)的信息過(guò)濾掉。比如我可以按照端口來(lái)進(jìn)行過(guò)濾，我只想得到端口號(hào)是5060和8080的信息，那么，我在captureFilter欄中輸入過(guò)濾條件：port5060andport8080Ethereal使用Capturepacketsinpromiscuousmode：是否打開(kāi)混雜模式。如果打開(kāi)，抓取所有的數(shù)據(jù)包，一般情況下只需要監(jiān)聽(tīng)本機(jī)收到或者發(fā)出的包，因此應(yīng)關(guān)閉這個(gè)選項(xiàng)。File：如果需要將抓到的包寫(xiě)到文件中，在這里輸入文件名。Limiteachpocket：限制每個(gè)包的大小，缺省情況不限制。Ethereal使用點(diǎn)擊ok按鈕后出現(xiàn)如下圖示：Ethereal使用然后點(diǎn)擊stop按鈕，就會(huì)出現(xiàn)所有的抓包所抓到的信息，最上方顯示的是協(xié)議包，中間顯示的是協(xié)議解釋?zhuān)钕旅娴氖嵌M(jìn)制碼流。如下圖所示：Ethereal使用當(dāng)然我們也可以采取滾動(dòng)方式來(lái)顯示所抓到的信息，如下圖所示：Ethereal使用如上圖選擇實(shí)時(shí)更新和自動(dòng)滾動(dòng)后，點(diǎn)擊“OK”按鈕，就可以滾動(dòng)顯示所抓到的信息。點(diǎn)擊“停止”按鈕就會(huì)停止抓包。目錄Ethereal簡(jiǎn)介Ethereal安裝Ethereal使用Ethereal的抓包過(guò)濾器Ethereal使用小技巧Ethereal的抓包過(guò)濾器

如果不在Capturefilter框中輸入過(guò)濾條件，上述操作顯示的是抓包抓到的所有信息，看起來(lái)很繁瑣，我們可以用抓包過(guò)濾器對(duì)它進(jìn)行過(guò)濾，來(lái)抓取感興趣的包。抓包過(guò)濾器使用的是libcap過(guò)濾器語(yǔ)言，在tcpdump的手冊(cè)中有詳細(xì)的解釋?zhuān)窘Y(jié)構(gòu)是：[not]primitive[and]or[not]primitive……]

如果你想抓取某些特定的數(shù)據(jù)包時(shí)，可以有以下兩種方法：在抓包的時(shí)候，就先定義好抓包過(guò)濾器，這樣結(jié)果就是只抓到你設(shè)定好的那些類(lèi)型的數(shù)據(jù)包；先不管三七二十一，把本機(jī)收到或者發(fā)出的包一股腦的抓下來(lái)，然后使用顯示過(guò)濾器，只讓Ethereal顯示那些你想要的那些類(lèi)型的數(shù)據(jù)包。Ethereal的抓包過(guò)濾器Ethereal的抓包過(guò)濾器當(dāng)然我們也可以利用Expression命令來(lái)設(shè)置過(guò)濾條件，如下圖：Ethereal的抓包過(guò)濾器請(qǐng)記住一個(gè)訣竅，如果Filter的背景是綠色，就證明你設(shè)定的Filter是合乎規(guī)定的；但是當(dāng)背景是紅色的，就說(shuō)明你設(shè)定的Filter是Ethereal不允許的，是不對(duì)的。Ethereal的抓包過(guò)濾器Ethereal的抓包過(guò)濾器對(duì)于屬于tcp或者h(yuǎn)ttp協(xié)議的信息，選中后點(diǎn)擊右鍵，選擇[followTCPstream]就會(huì)顯示詳細(xì)的信息：

Ethereal的抓包過(guò)濾器目錄Ethereal簡(jiǎn)介Ethereal安裝Ethereal使用Ethereal的抓包過(guò)濾器Ethereal使用小技巧Ethereal使用小技巧抓包的時(shí)候，我們往往想把過(guò)濾后的信令保存下來(lái)，而不是保存所有信令，這時(shí)只需要在保存的時(shí)候點(diǎn)擊[displayed]按鈕，再保存，保存下來(lái)的就是過(guò)濾后的信令。這樣的包的體積就比較小。根據(jù)call-id過(guò)濾所需要的包：選中一條SIP信令的call-id字段，右鍵選擇ApplyasFilter->Selected。Ethereal使用小技巧包長(zhǎng)度太長(zhǎng)導(dǎo)致無(wú)法查看消息體后面的內(nèi)容：將包保存后用UltraEdit打開(kāi)，在菜單Edit中選擇HexEdit。XCAP包中消息體很長(zhǎng)且一行顯示，看起來(lái)很費(fèi)事：將消息體復(fù)制后保存到.xml文件中，然后用IE打開(kāi)可呈現(xiàn)層次結(jié)構(gòu)。E