【文章內(nèi)容簡(jiǎn)介】 （小等于） （ 7） .Capture filter 的應(yīng)用步驟：點(diǎn)擊菜單“ CaptureOptions?”彈出對(duì)話框“ Ethereal: Capture Options”（右圖），點(diǎn)擊按鈕“ Capture Filter”，彈出對(duì)話框“ Ethereal: Capture Filter”（左圖），雙擊選擇你自定義的過濾規(guī)則，回到對(duì)話框“ Ethereal: Capture Options”（右圖）。過濾規(guī)則已被自動(dòng)填入文本框中。點(diǎn)擊“ start”按鈕即可使根據(jù)你設(shè)置的過濾規(guī)則進(jìn)行抓包。 （ 8） .在抓包完成后，顯示過濾器用來(lái)找到你所感興趣的包，依據(jù) 1）協(xié)議 2）是否存在某個(gè)域 3)域值 4)域值之間的比較 來(lái)查找你感興趣的包。 舉個(gè)例子，如果你只想查看使用 tcp 協(xié)議的包，在 ethereal 窗口的工具欄的下方的 Filter 中輸入 tcp，讓后回車， ethereal 就會(huì)只顯示 tcp 協(xié)議的包，如下圖所示： （ 9） .值比較表達(dá)式，可以使用下面的操作符來(lái)構(gòu)造顯示過濾器。 a. Equal: eq, == (等于） b. Not equal: ne, != （不等于） c. Greater than: gt, （大于） d. Less Than: lt, （小于） e. Greater than or Equal to: ge, = （大等于） f. Less than or Equal to: le, = （小等于） （ 10） .表達(dá)式組合，可以使用下面的邏 輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 b. or || 邏輯或 c. not! 邏輯非 （ 11） .舉例抓取 ip 地址是 的主機(jī)，它所接受或發(fā)送的所有 報(bào)文，那么合適的顯示過濾器是： = and 。 （ 12） .如果 Filter 的背景是綠色的，那么證明你設(shè)定的 Filter 合乎規(guī)定，如果背景是紅色的，那么說明你設(shè)定的 Filter 是 ethereal 不允許的，是不對(duì)的。如下圖： （ 13） .所有過濾器都可在 Filter 旁邊的 Expression… 中選取。 （ 14） .根據(jù)下表能對(duì) Ethereal 顯示過濾，進(jìn)行較為高級(jí)的設(shè)置。 1. Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) Field Name Type Source or Destination Address IPv4 address Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) Header checksum Unsigned 16bit integer Bad Header checksum Boolean Differentiated Services field Unsigned 8bit integer ECNCE Unsigned 8bit integer Differentiated Services Codepoint Unsigned 8bit integer ECNCapable Transport (ECT) Unsigned 8bit integer Destination IPv4 address Flags Unsigned 8bit integer Don’t fragment Boolean More fragments Boolean Fragment offset Unsigned 16bit integer IPFragment Frame number Defragmentation error Frame number tails Multiple tail fragments found Boolean Fragment overlap Boolean . conflict Conflicting data in fragment overlap Boolean . toolongfragment Fragment too long Boolean IPFragments No value Header Length Unsigned 8bit integer Identification Unsigned 16bit integer Total Length Unsigned 16bit integer Protocol Unsigned 8bit Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) integer Reassembled IP in frame Frame number Source IPv4 address Type of Service Unsigned 8bit integer Cost Boolean Delay Boolean Precedence Unsigned 8bit integer Reliability Boolean Throughput Boolean Time to live Unsigned 8bit integer Version Unsigned 8bit integer IGMP， ARP 報(bào)文格式 （ 1） .點(diǎn)擊工具欄中的首個(gè)按鈕，彈出對(duì)話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 2） .表達(dá)式組合，可以使用下面的邏輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 在操作系統(tǒng)的運(yùn)行中輸入如下命令： ping 某主機(jī)的 ip 地址。例如： 。 （ 3） .表達(dá)式組合，可以使用下面的邏輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 然后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 ICMP 報(bào)文格式： ICMP 報(bào)文ICMP 報(bào)文0檢驗(yàn)和類型 代碼（這 4 個(gè)字節(jié)取決于 I CMP 報(bào)文的類型）8 16 31ICMP 的數(shù)據(jù)部分（長(zhǎng)度取決于類型）報(bào)文報(bào)文檢驗(yàn)和類型 代碼（這 個(gè)字節(jié)取決于 報(bào)文的類型）的數(shù)據(jù)部分（長(zhǎng)度取決于類型） 關(guān)于 ICMP 的 “類型 ”和 “代碼 ”字段， 如下 表 （ 4） .分析箭頭所指的兩個(gè) ICMP 數(shù)據(jù)包的具 體內(nèi)容，可以看出其中一個(gè)是 ping 請(qǐng)求，其中一個(gè)是 ping 應(yīng)答。如下圖所示： （ 5） .點(diǎn)擊工具欄中的首個(gè)按鈕，彈出對(duì)話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 6） .在操作系統(tǒng)的運(yùn)行中輸入如下命令： ping 某主機(jī)的 ip 地址。例如： 。 （ 7） .然后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。到判斷一個(gè) ARP 分組是 ARP 請(qǐng)求還是應(yīng)答的字段是“ op”，當(dāng)其值為 0x0001 時(shí)是請(qǐng)求，為 0x0002 時(shí)是應(yīng)答 （ 8） .ARP 報(bào)文被封裝在以太網(wǎng)幀頭部中傳輸，如圖所示，是 ARP 請(qǐng)求報(bào)文頭部格式。 （ 9） .根據(jù) ARP 報(bào)文格式知道，所抓報(bào)文所在的硬件類型是以太網(wǎng)；協(xié)議類型是 ip；硬件地址長(zhǎng)度為 6 個(gè)字節(jié)；協(xié)議地址長(zhǎng)度為 4 個(gè)字節(jié)。 FTP 協(xié)議， DNS 協(xié)議， HTTP 協(xié)議 （ 1） .點(diǎn)擊工具欄中的首個(gè)按鈕，彈出對(duì)話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 2） .在 IE 瀏覽 器中輸入 （ 3） .連接上 ftp 地址以后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 4） .注意觀察與“ 建立連接之前有 3 個(gè) tcp 報(bào)文，它的作用是建立連接 —— 三次握手。逐個(gè)觀察這 3 個(gè) tcp 報(bào)文的 flags 字段。 （ 5） .連接建立之后，觀察抓包情況，從而了解 ftp 的工作過程，其中包括用戶名 .密碼的交互以及改變目錄等操作。如下圖所示： （ 6） .點(diǎn)擊工具欄中的首個(gè)按鈕，彈出對(duì)話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 7） .在 IE 瀏覽器中輸入 （ 8） .點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 9） .分析這兩個(gè)使用 DNS 的數(shù)據(jù)包，得到一個(gè)是請(qǐng)求報(bào)文一個(gè)是應(yīng)答報(bào)文。主機(jī) 向域名服務(wù)器 請(qǐng)求 DNS 服務(wù)，請(qǐng)求解析 的 IP 地址。域名系統(tǒng) DNS 解析出清華大學(xué)服務(wù)器的 IP 地址為 ，如下圖所示。 （ 10） .觀察 DNS 服務(wù)所使用的運(yùn)輸層協(xié)議是 udp，它的 upd 報(bào)文中源端口號(hào)與目的端口號(hào)如下圖所示。 （ 11） .點(diǎn)擊工具欄中的首個(gè)按鈕，彈出對(duì)話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 12） .在 IE 瀏覽器中輸入 點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 13） .用戶點(diǎn)擊鼠標(biāo)后所發(fā)生的事件： a. 瀏覽器分析超鏈指向頁(yè)面的 URL。 b. 瀏覽器向 DNS 請(qǐng)求解析 的 IP 地址。 c. 域名系統(tǒng) DNS 解析出清華大學(xué)服務(wù)器的 IP 地址。 d. 瀏覽器與服務(wù)器建立 TCP 連接（三次握手建立連接），如下圖所示： e. 瀏覽器發(fā)出取文件命令 GET /qhdwzy/。如下圖所示： 給出響應(yīng)，把文件 發(fā)給瀏覽器。 連接釋放。 h. 瀏覽器顯示“清華大學(xué)”首頁(yè)。 （ 14） .觀察 HTTP 協(xié)議所使用的運(yùn)輸層協(xié)議是 tcp，它的 upd 報(bào)文中源端口號(hào)與目的端口號(hào)如下圖所示。 4. Ethereal 使用提高 （ 1） .在使用“ Ethereal:capture form (nic) driver”抓包的同時(shí)，可以通過最小化 or 使用 alt+tab 的快捷鍵直接切換到 報(bào) 文瀏覽的主界面。 （ 2） .Sinffer 也是一種出色的抓包軟件，如何使 可以相互打開對(duì)方的文件？ File type 保存選擇時(shí)注意：缺省保存為 libpcap 格式，這個(gè)是 linux 下的 tcpdump 格式的文件。只有選擇文件保存格式為 sniffer（ windows－ base） 和 都可， ethereal 和 sniffer才能雙向互相打開對(duì)方抓包的文件。否則只有 ethereal 能打開 sniffer 的抓包文件。 （ 3） .Edit 菜單中的使用 Time Reference 標(biāo)簽后，原先 time 的就變成 “ REF”縮寫的標(biāo)記，附注：你可以在多個(gè)報(bào)文間用時(shí)間戳標(biāo)記，方便查詢。通俗點(diǎn)就像書簽一樣。 五、綜合思考與練習(xí) 1. 如果覺得截獲的的封包數(shù)量太多的話 ，你要怎么做？ 2. 請(qǐng)大家設(shè)置以下過濾規(guī)則： （自己的 ip 號(hào)） 和 間創(chuàng)建過濾器 3. 請(qǐng)大家設(shè)置以下過濾規(guī)則： ip 地址是 的主機(jī)，它所接受或發(fā)送的所有 udp 報(bào)文 地址不是 的主機(jī) Expression… 對(duì)話框的使用 4. 詳細(xì)分析抓到的 ICMP 數(shù)據(jù)包。 5. 分析抓到的 EtherealⅡ報(bào)文。 6. 分析所抓到的 tcp 數(shù)據(jù)包。 7. 上網(wǎng)搜索更多 ethereal 使用高級(jí)技巧，讓它為你的網(wǎng)絡(luò)監(jiān)控與管理服務(wù)。 實(shí)驗(yàn)二 Op 網(wǎng)絡(luò)仿真軟件的使用 一、目的與意義 采用 Op 構(gòu)建網(wǎng)