【文章內(nèi)容簡介】 （小等于） （ 7） .Capture filter 的應(yīng)用步驟：點(diǎn)擊菜單“ CaptureOptions?”彈出對話框“ Ethereal: Capture Options”（右圖），點(diǎn)擊按鈕“ Capture Filter”，彈出對話框“ Ethereal: Capture Filter”（左圖），雙擊選擇你自定義的過濾規(guī)則，回到對話框“ Ethereal: Capture Options”（右圖）。過濾規(guī)則已被自動填入文本框中。點(diǎn)擊“ start”按鈕即可使根據(jù)你設(shè)置的過濾規(guī)則進(jìn)行抓包。 （ 8） .在抓包完成后，顯示過濾器用來找到你所感興趣的包，依據(jù) 1）協(xié)議 2）是否存在某個域 3)域值 4)域值之間的比較 來查找你感興趣的包。 舉個例子，如果你只想查看使用 tcp 協(xié)議的包，在 ethereal 窗口的工具欄的下方的 Filter 中輸入 tcp，讓后回車， ethereal 就會只顯示 tcp 協(xié)議的包，如下圖所示： （ 9） .值比較表達(dá)式，可以使用下面的操作符來構(gòu)造顯示過濾器。 a. Equal: eq, == (等于） b. Not equal: ne, != （不等于） c. Greater than: gt, （大于） d. Less Than: lt, （小于） e. Greater than or Equal to: ge, = （大等于） f. Less than or Equal to: le, = （小等于） （ 10） .表達(dá)式組合，可以使用下面的邏 輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 b. or || 邏輯或 c. not! 邏輯非 （ 11） .舉例抓取 ip 地址是 的主機(jī)，它所接受或發(fā)送的所有 報文，那么合適的顯示過濾器是： = and 。 （ 12） .如果 Filter 的背景是綠色的，那么證明你設(shè)定的 Filter 合乎規(guī)定，如果背景是紅色的，那么說明你設(shè)定的 Filter 是 ethereal 不允許的，是不對的。如下圖： （ 13） .所有過濾器都可在 Filter 旁邊的 Expression… 中選取。 （ 14） .根據(jù)下表能對 Ethereal 顯示過濾，進(jìn)行較為高級的設(shè)置。 1. Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) Field Name Type Source or Destination Address IPv4 address Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) Header checksum Unsigned 16bit integer Bad Header checksum Boolean Differentiated Services field Unsigned 8bit integer ECNCE Unsigned 8bit integer Differentiated Services Codepoint Unsigned 8bit integer ECNCapable Transport (ECT) Unsigned 8bit integer Destination IPv4 address Flags Unsigned 8bit integer Don’t fragment Boolean More fragments Boolean Fragment offset Unsigned 16bit integer IPFragment Frame number Defragmentation error Frame number tails Multiple tail fragments found Boolean Fragment overlap Boolean . conflict Conflicting data in fragment overlap Boolean . toolongfragment Fragment too long Boolean IPFragments No value Header Length Unsigned 8bit integer Identification Unsigned 16bit integer Total Length Unsigned 16bit integer Protocol Unsigned 8bit Table : IP Display Filters Inter Protocol (IP) Inter Protocol (IP) integer Reassembled IP in frame Frame number Source IPv4 address Type of Service Unsigned 8bit integer Cost Boolean Delay Boolean Precedence Unsigned 8bit integer Reliability Boolean Throughput Boolean Time to live Unsigned 8bit integer Version Unsigned 8bit integer IGMP， ARP 報文格式 （ 1） .點(diǎn)擊工具欄中的首個按鈕，彈出對話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 2） .表達(dá)式組合，可以使用下面的邏輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 在操作系統(tǒng)的運(yùn)行中輸入如下命令： ping 某主機(jī)的 ip 地址。例如： 。 （ 3） .表達(dá)式組合，可以使用下面的邏輯操作符將表達(dá)式組合。 a. and amp。amp。 邏輯與 然后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 ICMP 報文格式： ICMP 報文ICMP 報文0檢驗和類型 代碼（這 4 個字節(jié)取決于 I CMP 報文的類型）8 16 31ICMP 的數(shù)據(jù)部分（長度取決于類型）報文報文檢驗和類型 代碼（這 個字節(jié)取決于 報文的類型）的數(shù)據(jù)部分（長度取決于類型） 關(guān)于 ICMP 的 “類型 ”和 “代碼 ”字段， 如下 表 （ 4） .分析箭頭所指的兩個 ICMP 數(shù)據(jù)包的具 體內(nèi)容，可以看出其中一個是 ping 請求，其中一個是 ping 應(yīng)答。如下圖所示： （ 5） .點(diǎn)擊工具欄中的首個按鈕，彈出對話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 6） .在操作系統(tǒng)的運(yùn)行中輸入如下命令： ping 某主機(jī)的 ip 地址。例如： 。 （ 7） .然后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。到判斷一個 ARP 分組是 ARP 請求還是應(yīng)答的字段是“ op”，當(dāng)其值為 0x0001 時是請求，為 0x0002 時是應(yīng)答 （ 8） .ARP 報文被封裝在以太網(wǎng)幀頭部中傳輸，如圖所示，是 ARP 請求報文頭部格式。 （ 9） .根據(jù) ARP 報文格式知道，所抓報文所在的硬件類型是以太網(wǎng)；協(xié)議類型是 ip；硬件地址長度為 6 個字節(jié)；協(xié)議地址長度為 4 個字節(jié)。 FTP 協(xié)議， DNS 協(xié)議， HTTP 協(xié)議 （ 1） .點(diǎn)擊工具欄中的首個按鈕，彈出對話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 2） .在 IE 瀏覽 器中輸入 （ 3） .連接上 ftp 地址以后，點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 4） .注意觀察與“ 建立連接之前有 3 個 tcp 報文，它的作用是建立連接 —— 三次握手。逐個觀察這 3 個 tcp 報文的 flags 字段。 （ 5） .連接建立之后，觀察抓包情況，從而了解 ftp 的工作過程，其中包括用戶名 .密碼的交互以及改變目錄等操作。如下圖所示： （ 6） .點(diǎn)擊工具欄中的首個按鈕，彈出對話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 7） .在 IE 瀏覽器中輸入 （ 8） .點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 9） .分析這兩個使用 DNS 的數(shù)據(jù)包，得到一個是請求報文一個是應(yīng)答報文。主機(jī) 向域名服務(wù)器 請求 DNS 服務(wù)，請求解析 的 IP 地址。域名系統(tǒng) DNS 解析出清華大學(xué)服務(wù)器的 IP 地址為 ，如下圖所示。 （ 10） .觀察 DNS 服務(wù)所使用的運(yùn)輸層協(xié)議是 udp，它的 upd 報文中源端口號與目的端口號如下圖所示。 （ 11） .點(diǎn)擊工具欄中的首個按鈕，彈出對話框“ Ethereal: Capture Interfaces”。點(diǎn)擊其中的“ Capture”按鈕進(jìn)行捕獲。 （ 12） .在 IE 瀏覽器中輸入 點(diǎn)擊“ stop”按鈕，停止抓包。觀察抓包結(jié)果。 （ 13） .用戶點(diǎn)擊鼠標(biāo)后所發(fā)生的事件： a. 瀏覽器分析超鏈指向頁面的 URL。 b. 瀏覽器向 DNS 請求解析 的 IP 地址。 c. 域名系統(tǒng) DNS 解析出清華大學(xué)服務(wù)器的 IP 地址。 d. 瀏覽器與服務(wù)器建立 TCP 連接（三次握手建立連接），如下圖所示： e. 瀏覽器發(fā)出取文件命令 GET /qhdwzy/。如下圖所示： 給出響應(yīng)，把文件 發(fā)給瀏覽器。 連接釋放。 h. 瀏覽器顯示“清華大學(xué)”首頁。 （ 14） .觀察 HTTP 協(xié)議所使用的運(yùn)輸層協(xié)議是 tcp，它的 upd 報文中源端口號與目的端口號如下圖所示。 4. Ethereal 使用提高 （ 1） .在使用“ Ethereal:capture form (nic) driver”抓包的同時，可以通過最小化 or 使用 alt+tab 的快捷鍵直接切換到 報 文瀏覽的主界面。 （ 2） .Sinffer 也是一種出色的抓包軟件，如何使 可以相互打開對方的文件？ File type 保存選擇時注意：缺省保存為 libpcap 格式，這個是 linux 下的 tcpdump 格式的文件。只有選擇文件保存格式為 sniffer（ windows－ base） 和 都可， ethereal 和 sniffer才能雙向互相打開對方抓包的文件。否則只有 ethereal 能打開 sniffer 的抓包文件。 （ 3） .Edit 菜單中的使用 Time Reference 標(biāo)簽后，原先 time 的就變成 “ REF”縮寫的標(biāo)記，附注：你可以在多個報文間用時間戳標(biāo)記，方便查詢。通俗點(diǎn)就像書簽一樣。 五、綜合思考與練習(xí) 1. 如果覺得截獲的的封包數(shù)量太多的話 ，你要怎么做？ 2. 請大家設(shè)置以下過濾規(guī)則： （自己的 ip 號） 和 間創(chuàng)建過濾器 3. 請大家設(shè)置以下過濾規(guī)則： ip 地址是 的主機(jī)，它所接受或發(fā)送的所有 udp 報文 地址不是 的主機(jī) Expression… 對話框的使用 4. 詳細(xì)分析抓到的 ICMP 數(shù)據(jù)包。 5. 分析抓到的 EtherealⅡ報文。 6. 分析所抓到的 tcp 數(shù)據(jù)包。 7. 上網(wǎng)搜索更多 ethereal 使用高級技巧，讓它為你的網(wǎng)絡(luò)監(jiān)控與管理服務(wù)。 實驗二 Op 網(wǎng)絡(luò)仿真軟件的使用 一、目的與意義 采用 Op 構(gòu)建網(wǎng)