实验3网络协议分析.docx

实验3网络协议分析.docx

《实验3网络协议分析.docx》由会员分享，可在线阅读，更多相关《实验3网络协议分析.docx（13页珍藏版）》请在冰豆网上搜索。

实验3网络协议分析

实验三网络协议分析器Ethereal

一、实验目的和要求

了解网络协议分析器Ethereal的基本知识

掌握Ethereal安装过程

掌握使用Ethereal捕捉数据包的方法

能对捕获到的包简单分析

二、实验内容

安装Ethereal软件和相应的WinpCap软件，启动Ethereal并设置相应的选项，捕获一段记录。

三、实验设备

PC机、Ethereal软件、WinpCap软件

四、背景知识

Ethereal是一个有名的网络端口探测器，是可以在Linux、Solaris、SGI等各种平台运行的网络监听软件，它主要是针对TCP/IP协议的不安全性对运行该协议的机器进行监听。

其功能相当于Windows下的Sniffer，都是在一个共享的网络环境下对数据包进行捕捉和分析，而且还能够自由地为其增加某些插件以实现额外功能。

Ethernet网络监测工具可在实时模式或离线模式中用来捕获和分析网络通信。

下面是使用Ethereal可以完成的几个工作：

网络管理员使用它去帮助解决网络问题

网络安全工程师用它去测试安全问题

开发人员用它是调试协议的实现过程

用它还可以帮助人员深入的学习网络协议

　　下面是Ethereal提供的一些特性：

支持UNIX平台和Windows平台。

从网络接口上捕获实时数据包

以非常详细的协议方式显示数据包

可以打开或者存贮捕获的数据包

导入/导出数据包，从/到其它的捕获程序

按多种方式过滤数据包

按多种方式查找数据包

根据过滤条件，以不同的颜色显示数据包

可以建立多种统计数据

五、实验步骤

1、安装Ethereal和WinpCap。

有的Ethereal中自带WinpCap就不需要再另外安装了。

实验室里面一般安装好了。

下载地址：

安装好后，桌面上会出现“

”图标，为Ethereal的桌面快捷方式。

2、启动Ethereal，界面如下：

图1Ethereal启动界面

最初的窗口中没有数据，因为还没有开始捕获数据包，首先来认识一下界面。

Ethereal主窗口有很多的GUI程序组成：

（1）File（文件）：

这个菜单包含：

打开文件、合并文件、保存/打印/导出整个或部分捕获文件、退出。

（2）Edit（编辑）这个菜单包括：

查找包、时间参照、标记一个或多个包、设置参数、（剪切、复制、粘贴）。

　　（3）View（查看）：

这个菜单控制捕获数据的显示，包括：

给定特定的一类包标以不同的颜色、字体缩放、在一个新窗口中显示一个包、展开&折叠详细信息面板的树状结构。

　　（4）Go：

这个菜单实现转到一个特定包。

　　（5）Capture（捕获）：

这个菜单实现开始、停止捕获，编辑捕获过滤条件的功能。

　　（6）Analyze（分析）：

这个菜单包含编辑显示过滤、enable（开）或disable（关）协议解码器、配置用户指定的解码方法、追踪一个TCP流。

　　（7）Statistics（统计）：

该菜单完成统计功能。

包括捕获的包的一个摘要、基于协议的包的数量等树状统计图等许多功

　　（8）Help（帮助）这个菜单包含了一些对用户有用的信息。

比如基本帮助、支持的协议列表、手册页、在线访问到网站等等。

3、使用CaptureOptions对话框。

要想获得一个跟踪记录，我们首先从Capture（捕获）菜单中选择“CaptureOptions”（捕获选项）,并用CaptureOptions对话框来指定跟踪记录的各个方面。

图2CaptionOptions选项框

（1）Interface（接口）

首先要选择合适的接口，也就是网卡，如何不选择合适的接口，可能捕获不到数据包。

图2中黄色框1，这个字段指定在哪个接口进行捕获。

这是一个下拉字段，只能从中选择Ethereal识别出来的接口，要想捕获到数据，首先要选择正确的适配器（网卡），如果一台机器同时拥有以太网网卡和无线网络网卡，你必须选择其中一个进行监测。

（2）IPaddress（IP地址）

所选接口卡的IP地址。

如果不能解析出IP地址，则显示"unknown"。

（3）Link-layerheadertype（链路层头类型）

除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。

（4）Buffersize:

nmegabyte（s）（缓冲区大小：

n兆）

输入捕获时使用的buffer的大小。

这是核心buffer的大小，捕获的数据首先保存在这里，直到写入磁盘。

如果遇到包丢失的情况，增加这个值可能解决问题。

本实验中保持默认值。

（5）Capturepacketsinpromiscuousmode（在混杂模式捕获包，绿色框2）

这个选项允许设置是否将网卡设置在混杂模式。

如果不指定，Ethereal仅仅捕获那些进入你的计算机的或送出你的计算机的包。

（而不是LAN网段上的所有包）。

要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。

本实验中保持默认值。

（6）Limiteachpackettonbytes（限制每一个包为n字节）

这个字段设置每一个数据包的最大捕获的数据量。

有时称作snaplen。

如果disable这个选项默认是65535,对于大多数协议来讲中够了。

本实验中保持默认值。

（7）CaptureFilter（捕获过滤，蓝色框3）

这个字段指定一个捕获过滤。

“在捕获时进行过滤”部分进行讨论。

默认是空的，即没过过滤。

也可以点击标为CaptureFilter的按钮,Ethereal将弹出CaptureFilters（捕获过滤）对话框，来建立或者选择一个过滤。

例如，你可以用下面的过滤器来捕获那些只从IP地址发出和发往它的分组：

host。

Ethereal过滤器功能很强，但是需要学习一种简单的过滤语言。

本实验中保持默认值，暂时不需设置。

（8）CaptureFile（捕获文件，紫色框4）

可以指定将捕获的分组直接保存在一个文件中，而不是在内存中。

选择一个合适的文件夹，将捕获的信息存入。

（9）UseMultipleFiles（使用多个文件，枚红色框5）

使用这个选项，分组可以被写入多个文件。

这些控制对于捕获较大较长的跟踪记录是很重要的。

本实验中保持默认值。

（10）StopCapture（停止捕获）

可以设定一些停止捕获的选项，自动停止捕获。

本实验中保持默认值。

（11）NameResolution（名字解析，黑色框7）

在任何可能的情况下，可以要求Ethereal把分中不同的数字翻译成为人们易读的名字。

如：

启用MAC地址转换，Ethereal会将一部分地址转化为厂商的名称。

如启用网络地址转换，Ethereal会试图将一个网络地址（的IP地址）转化为一个主机名，如。

本实验中保持默认值。

（12）Updatelistofpacketsinrealtime（实时更新分组列表，红色框6）

每个新的分组都会被添加到主窗口中的分组列表中去。

本实验中请勾选。

4、开始捕获数据包。

上述的各项选择好后，点击“start”开始捕获数据包，下图为捕获时的情形。

图2捕获数据包

这个窗口概述了被捕捉的各种类型包的量。

5、停止捕获。

大约等一段时间后（30-60秒），点击“stop”按钮，停止捕获后，会弹出下面的窗体，显示了刚才捕获到的包。

协议树

窗体

协议树

窗体

过滤器工具栏

工具栏

菜单栏

包概况窗体

包的16进制代码区

包的ASCII代码区

图3网络分析器Ethereal主界面

上图中标示出了主界面的各个部分，大家要仔细观察，了解捕获的内容。

6、完成捕获。

恭喜你！

现在，你拥有了刚才在你的电脑通过网络进行交换的协议消息，你已经完成了一次成功的协议数据捕获。

六、思考题

Q1、你没有手动进行网络访问操作，但还是抓到了一些数据，请列出你抓到的各种包的协议名称，并上网查询下这些包分别是起什么作用的各是由谁发出的

Q2、从你抓到的第一个包到最后一个包持续的时间是多久（默认time列显示的是开始捕获后的以秒为单位的持续时间，如果要在time列以time-of-day格式显示，请选择Ethereal的View下拉菜单，然后选择时间显示格式为Time-of-day）

Q3、导出这些数据，你可以在Ethereal的File命令菜单中选择save菜单，作为实验报告的结果。