[工学]Ethereal的使用.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,Ethereal,的使用,ethereal Overview,Etherreal,Etherreal,ethereal,安装,Winpcap,的下载安装,Etherreal,下载安装,winpcap,Download:(,当前最新的是,3.1beta4,正式版本是,3.0,）,（,now release version,：,0.10.10,，,support,chinese,）,www.E Guide,双击启动桌面上,ethereal,图,标 ，按,ctrl+K,进行,“,capture option”,的选择。,选择 正确的,NIC,，进行报,文的捕获。支持,WLan,无,线的相关协议。,Interface,是选择捕获接口,Capture packets in promiscuous mode,表示是否打开混杂模式，打开即捕获所有的报文，一般我们只捕获到本机收发的数据报文，所以关掉,Limit each packet,表示 限制每个报文的大小,Capture files,即捕获数据包的保存的文件名以及保存位置,Capture Options,Ethereal:capture,form(,nic,)driver,capture option,确认选择后，点击,ok,就开始进行抓包,同时就会弹出,“,Ethereal:capture,form,(,nic,),driver”,，其中,(,nic,),代表本机的网卡型号。,同时该界面会以协议的不同统计捕获到报文的百分比,点击,stop,即可以停止抓包,在使用,“,Ethereal:capture,form,(,nic,),driver”,抓包的同时，,可以通过最小化,or,使用,alt+tab,的快捷键,直接切换到 报文浏览的主界面,User Guide,File,的下拉菜单,“,Open”,即打开已存的抓包文件，快捷键是,crtl,Q,“Open Recent”,即打开先前已察看的抓包文件，类似,windows,的最近访问过的文档,“,Merge”,字面是合并的意思，其实是追加的意思，即当前捕获的报文追加到先前已保存的抓包文件中。,Save,和,save as,即保存、选择保存格式。,其中,save,sa,保存为是有个注意点：,点击,该展开按钮即可详细选择保存,路径,2,.,File type,保存选择时注意：,缺省保存为,libpcap,格式，这个是,linux,下的,tcpdump,格式的文件。,只有选择文件保存格式为,sniffer,（,windows,base,）,1.1,和,2.0,都可，,ethereal,和,sniffer,才能双向互相打开对方抓包的文件。否则只有,ethereal,能打开,sniffer,的抓包文件。,Sinffer,、,ethereal,可以相互打开对方的文件,File,的下拉菜单,Export,是输出的意思,Print,打印,Quit,退出,Edit,的下拉菜单,Find Packet,就是查询报文，快捷键是,ctrl+F,可以支持不同格式的查找,输入正确的语句，那么背景为,绿色,，语句错误或缺少背景就为,红色,Edit,的下拉菜单,Find Next,是向下查找,Find,Preyious,是向上查找,Time Reference,字面是时间参考，使用后明白是 做个报文的“时间戳”，方便大量报文的查询,Edit,的下拉菜单报文标签,使用,Time Reference,标签后，原先,time,的就变成,“,REF”,缩写的标记,附注：,你可以在多个报文间,用时间戳标记，方便,查询。,通俗点就象书签一样。,Mark Packet,（,toggle,）,是标记报文,Mark all packets,和,Unamrk,all packet,即标记所有报文、取消标记所有报文,Edit,的下拉菜单,点击“,preference,”,进行用户界面的选择，比如说 报文察看界面布局的选择,，,以及协议支持的选择。,View,的下拉菜单,Main toolbar,主工具栏,Filter Toolbar,过滤工具栏,Statusbar,状态条,Packet list,报文列表,Packet details,报文详解,Packet byte,报文字节察看,Time display format,时间显示格式（可以显示年月日时分秒）,Name Resolution,名字解析,Auto scroll in live capture,单看字面真的不好翻译（,自动翻卷显示活动的报文,），使用对比一下才获知：捕获时是否,跟进显示更新的报文,还是,显示先前的报文。,View,的下拉菜单,Zoom in,字体的放大,Zoom out,字体的缩小,Normal size,标准大小,Resize columns,格式对齐,Collapse all,报文细节内容的缩进,Expand all,报文细节内容的展开,Coloring Rules,颜色规则，即可以对特定的数据包定义特定的颜色。,Show packet in new window,在新窗口中查看报文内容,Reload,刷新,go,的下拉菜单,Back,同样双方的上个报文,Forward,同样双方的下一个报文,Go to packet,查找到指定号码的报文,First packet,第一个报文,Last packet,最后一个报文,capture,的下拉菜单,Start,开始捕获报文,Interface,接口,捕获过滤,capture,的下拉菜单,capture,的,Capture filter,捕获过滤,如果要捕获特定的报文，那在抓取,packet,前就要设置，决定数据包的类型。,FIlter,name,：任意命名,Filter string,：,这里要注意了，这里语法输,入有点技巧。嘿嘿,look,：。,比如说：,a.,捕获,MAC,地址为,00:d0:f8:00:00:03,网络设备通信的所有报文,ether host 00:d0:f8:00:00:03,b.,捕获,IP,地址为,192.168.10.1,网络设备通信的所有报文,host 192.168.10.1,c.,捕获网络,web,浏览的所有报文,tcp,port 80,d.,捕获,192.168.10.1,除了,http,外的所有通信数据报文,host 192.168.10.1 and not,tcp,port 80,提示：如果以 默认主机和端口的设置捕获,tcp/ip,报文，你将看不到自身的,arp,报文,。,capture,的,Capture filter,capture,的,Capture filter,Filter string,语法输入的格式,src|dst,host,ether,src|dst,host,gateway host,src|dst,net mask|,len,tcp|udp,src|dst,port,less|greater,ip|ether,proto,ether|ip,broadcast|multicast,relop,符号在,Filter string,语法中的定义,Equal:,eq,=(,等于）,Not equal:,ne,!=,（不等于）,Greater than:,gt,（大于）,Less Than:,lt,=,（大等于）,Less than or Equal to:le,=,（小等于）,Capture filter,的应用步骤,Display filters,显示过滤,可以直接在主界面的,filter,上选择,Analyze,的下拉菜单,Analyze,下的,Display filters,正确的语法如下，和“,Capture Filter”,的语法有所不同：,显示 以太网地址为,00:d0:f8:00:00:03,设备通信的所有报文,eth.addr,=00.d0.f8.00.00.03,显示,IP,地址为,192.168.10.1,网络设备通信的所有报文,ip.addr,=192.168.10.1,显示所有设备,web,浏览的所有报文,tcp.port,=80,显示,192.168.10.1,除了,http,外的所有通信数据报文,ip.addr,=192.168.10.1&,tcp.port,!=80,Analyze,的下拉菜单,Enable protocols,是否启用该协议的解析，,点选该协议后，相关的上,层协议才能显示出来。,Analyze,的下拉菜单,Decode As,用户定义报文协议说明,User Specified Decodes,用户修改的报文编译,Analyze,的,Decode As,Decode As,用户定义报文协议说明,通过定义后，数据包细节的窗口解释：原先是,tcp,的解释，更改就直接显示,ssl,格式的报文了。,Analyze,的,follow,tcp,stream,好戏来了,（,follow,tcp,stream,）,在 浏览器中 敲入,,detail,的窗口里 安祥的躺着,decelopment.html,报文。,小样，抓到你了。,Analyze,的,follow,tcp,stream,在,packet detail,窗口中选择这个报文,（,decelopment.html,报文）,点击右键 选择“,follow,tcp,stream”,Analyze,的,follow,tcp,stream,这就是,follow,tcp,stream,窗口，然后全选，在,ctrl,c,，,打开 记事本，,ctrl,v,，另存为,1.html,。最后双击该文件。后面我什么都不知道了。,这只是,ethereal,强大功能其中的一个小技巧,Statistics,顾名思义 统计,就是相关的报文的统计信息,Statistics,的下拉菜单,Summmary,报文的详细信息,Protocol hierarchy,协议层,即各协议层报文的统计,Conversations,显示该会话报文的信息 （双方通信的报文信息）,endpoints,分别显示单方的报文信息,IO Graphs,报文通信的心跳图（翻译的比较蹩脚）,Statistics,的下拉菜单,Summmary,报文的详细信息,Protocol hierarchy,协议层,即各协议层报文的统计,Statistics,的下拉菜单,Conversations,显示该会话报文的信息 （双方通信的报文信息）,endpoints,分别显示单方的报文信息,Statistics,的下拉菜单,IO Graphs,报文通信的心跳图（翻译的比较蹩脚）,Help,的下拉菜单,Help,帮助,Contents,帮助的目录,Help,的下拉菜单,Supported Protocols,支持的协议,Try to ethereal,Ctrl,k,Alt,tab,Ctrl,E,U can,try,do it,Thank You,