1、湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 1 实验一 Ethereal 入门基础 一、实验目的和要求 了解网络协议分析器 Ethereal 的基本知识 掌握 Ethereal 安装过程 掌握使用 Ethereal 捕捉数据包的方法 能对捕获到的包简单分析 二、实验内容 安装 Ethereal 软件和相应的 WinpCap 软件，启动 Ethereal 并设置相应的选项，捕获一段记录。 三、实验设备 PC 机、 Ethereal 软件、 WinpCap 软件 四、背景知识 Ethereal 是一个有名的网络端口探测器，是可以在 Linux
2、、 Solaris、 SGI 等各种平 台运行的网络监听软件，它主要是针对 TCP/IP 协议的不安全性对运行该协议的机器进行监听。其功能相当于 Windows 下的Sniffer，都是在一个共享的网络环境下对数据包进行捕捉和分析，而且还能够自由地为其增加某些插件以实现额外功能。 Ethernet 网络监测工具可在实时模式或离线模式中用来捕获和分析网络通信。 下面是使用 Ethereal 可以完成的几个工作： 网络管理员使用它去帮助解决网络问题 网络安全工程师用它去测试安全问题 开发人员用它是调试协议的实现过程 用它还可以帮助人员深入的学习网络协议 下面是 Ethereal 提供的一些特性：
3、支持 UNIX 平台和 Windows 平台。 从网络接口上捕获实时数据包 以非常详细的协议方式显示数据包 可以打开或者存贮捕获的数据包 导入 /导出数据包，从 /到其它的捕获程序 按多种方式过滤数据包 按多种方式查找数据包 根据过滤条件，以不同的颜色显示数据包 可以建立多种统计数据 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 2 其最常用的功能是被攻击者用来检测被攻击电脑通过 23(telnet)和 110(pop3)端口进行的一些明文传输数据，以轻松得到用户的登录口令和邮件账号密码。 对于网络管理员来说，也可以通过捕包分析， 来确定一
4、些异常的流量和局域网内部的非正常用户与外界的通信，比如说对于现在比较占用网络带宽的诸如 Bit Torrent 等 P2P 应用软件流量，通过使用该软件确定这些流量，网络管理员就可以使用流量控制 (TC)的方法来规范、合理的分配带宽资源，提高网络的利用率。 五、实验步骤 1、安装 Ethereal 和 WinpCap。 有的 Ethereal 中自带 WinpCap 就不需要再另外安装了。实验室里面一般安装好了。 下载地址： http:/www.E 安装好后，桌面上会出现“ ”图标，为 Ethereal 的桌面快捷方式。 2、启动 Ethereal，界面如下： 图 1 Ethereal 启动界
5、面 最初的窗口中没有数据，因为还没有开始捕获数据包，首先来认识一下界面。 Ethereal 主窗口有很多的 GUI 程序组成 ： (1) File(文件 )：这个 菜单包含：打开文件、合并文件、保存 /打印 /导出整个或部分捕获文件、退出。 (2) Edit(编辑 )这个菜单包括：查找包、时间参照、标记一个或多个包、设置参数、 (剪切、复制、粘贴 )。 (3) View(查看 )：这个菜单控制捕获数据的显示，包括：给定特定的一类包标以不同的颜色、字体缩放、在一个新窗口中显示一个包、展开 &折叠详细信息面板的树状结构。 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工
6、程系 2012 年编制 3 (4) Go：这个菜单实现转到一个特定包。 (5) Capture(捕获 )：这个菜单实现开始、停止捕获，编辑捕获过滤条件的功能。 (6) Analyze(分析 )：这个菜单包含编辑显示过滤、 enable(开 )或 disable(关 )协议解码器、配置用户指定的解码方法、追踪一个 TCP 流。 (7) Statistics(统计 )：该菜单完成统计功能。包括捕获的包的一个摘要、基于协议的包的数量等树状统计图等许多功 (8) Help(帮助 )这个菜单包含了一些对用户有用的信息。比如基本帮助 、支持的协议列表、手册页、在线访问到网站等等。 3、使用 Capture
7、 Options 对话框。 要想获得一个跟踪记录，我们首先从 Capture(捕获 )菜单中选择“ Capture Options”（捕获选项） ,并用 Capture Options 对话框来指定跟踪记录的各个方面。 图 2 Caption Options 选项框 （ 1） Interface（接口） 首先要选择合适的接口，也就是网卡，如何不选择合适的接口，可能捕获不到数据包。 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 4 图 2 中黄色框 1， 这个字段指定在哪个接口进行捕获 。这是一个下拉字段，只能 从中选择 Ethereal 识
8、别出来的接口， 要想捕获到数据，首先要选择正确的适配器（网卡），如果一台机器同时拥有以太网网卡和无线网络网卡，你必须选择其中一个进行监测。 （ 2） IP address(IP 地址 ) 所选接口卡的 IP 地址。如果不能解析出 IP 地址，则显示 “unknown“。 （ 3） Link-layer header type(链 路层头类型 ) 除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。 （ 4） Buffer size: n megabyte(s) (缓冲区大小： n 兆 ) 输入捕获时使用的 buffer 的大小。这是核心 buffer 的大小，捕获的数据首先保存在这
9、里，直到写入磁盘。如果遇到包丢失的情况，增加这个值可能解决问题。 本实验中保持默认值。 （ 5） Capture packets in promiscuous mode (在混杂模式捕获包，绿色框 2) 这个选项允许设置是否将网卡设置在混杂模式。如果不指定， Ethereal 仅仅捕获那些进入你的计算机的或送出你的计算机的包。 (而不是 LAN 网段上的所有包 )。 要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。 可以选。 （ 6） Limit each packet to n bytes (限制每一个包为 n 字节 ) 这个字段设置每一个数据包的最大捕获的数据量。有时称作 s
10、naplen 。如果 disable 这个选项默认是 65535, 对于大多数协议来讲中够了。 本实验中保持默认值。 （ 7） Capture Filter(捕获过滤，蓝色框 3) 这个字段指定一个捕 获过滤。 “在捕获时进行过滤”部分进行讨论。默认是空的，即没过过滤。也可以点击标为 Capture Filter 的按钮 , Ethereal 将弹出 Capture Filters(捕获过滤 )对话框，来建立或者选择一个过滤。 例如，你可以用下面的过滤器来捕获那些只从 IP 地址 192.168.0.1 发出和发往它的分组： host 192.168.0.1。 Ethereal 过滤器功能很强
11、，但是需要学习一种简单的过滤语言。 本实验中保持默认值，暂时不需设置。 （ 8） Capture File（捕获文件，紫色框 4） 可以指定将 捕获的分组直接保存在一个文件中，而不是在内存中。选择一个合适的文件夹，将捕获的信息存入。 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 5 （ 9） Use Multiple Files（使用多个文件，枚红色框 5） 使用这个选项，分组可以被写入多个文件。这些控制对于捕获较大较长的跟踪记录是很重要的。 本实验中保持默认值。 （ 10） Stop Capture（停止捕获） 可以设定一些停止捕获的选项
12、，自动停止捕获。 本实验中保持默认值。 （ 11） Name Resolution（名字解析，黑色框 7） 在任何可能的情况下，可以要求 Ethereal 把分中不同的数字翻译成为 人们易读的名字。如：启用 MAC地址转换， Ethereal 会将一部分地址转化为厂商的名称。如启用网络地址转换， Ethereal 会试图将一个网络地址（ 201.100.1.9 的 IP 地址）转化为一个主机名，如 。 本实验中保持默认值。 （ 12） Update list of packets in real time （实时更新分组列表，红色框 6） 每个新的分组都会被添加到主窗口中的分组列表中去。 勾选
13、。 4、开始捕获数据包。 上述的各项选择好后，点击“ start”开始捕获数据包，下图为捕获时的情形。 图 2 捕获数据包 这个窗口概述了被捕捉的各种类型包的量。 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 6 5、停止捕获。 大约等一段时间后（ 30-60 秒），点击“ stop”按钮，停止捕获后，会弹出下面的窗体，显示了刚才捕获到的包。 图 3 网络分析器 Ethereal 主界面 上图中标示出了主界面的各个部分，大家要仔细观察，了解捕获的内容。 6、完成捕获 。 恭喜你！现在，你拥有了刚才在你的电脑通过网络进行交换的协议消息，你已经
14、完成了一次成功的协议数据捕获。 六、思考题 Q1、你没有手动进行网络访问操作，但还是抓到了一些数据，请列出你抓到的各种包的协议名称，并上网查询下这些包分别是起什么作用的？各是由谁发出的？ 答： HTTP 超文本传送协议 ， 一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。 221.204.226.94-202.114.187.62 ARP 地址解析协议 ， 将域名翻译成对 应的 32 位 IP 地址的协议。 202.114.187.1-Broadcast TCP 传输控制协议， 一种面向连接（连接导向）的、可靠的、基于字节流的运输层（ Transp
15、ort layer）捕捉包序号 捕捉时间 目的地 址 源地址 上层协议 包内容提要 菜单栏 工具栏 过滤器工具栏 包概况窗体 协议树 窗体 协议树 窗体 包的 16进制代码区 包的 ASCII代码区 湖北工业大学 计算机学院 网络协议分析器 Ethereal实验指导书 网络工程系 2012 年编制 7 通信协议，由 IETF 的 RFC 793 说明（ specified）。在简化的 计算机网络 OSI 模型 中，它完成第四 层 传输层 所指定的功能， UDP 是同一层内另一个重要的传输 协 议。 202.114.187.62-221.204.226.94 Q2、从你抓到的第一个包到最后一个包持续的时间是多久？ （默认 time 列显示的是开始捕获后的以秒为单位的持续时间，如果要在 time 列以 time-of-day 格式显示，请选择 Ethereal 的 View 下拉菜单，然后选择时间显示格式为 Time-of-day） 答：持续时间是 134s Q3、导出这些数据，你可以在 Ethereal 的 File 命令菜单中选择 save 菜单，作为实验报告的结果。
