网络数据包的监听与分析文档格式.docx

1、下面是一个截图:如果有多个网卡,需要先进行设置，启动etherel 以后，选择菜单pare-Optios,如下图: Inerfc:指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以了Lmit ach ke：限制每个包的大小,缺省情况不限制 apte acket omiscu ode: 是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。Filter:过滤器。只抓取满足过滤规则的包（可暂时略过） Fle:如果需要将抓到的包写到文件中,在这里输入文件名称。us nbuffr:是否使用循环缓冲。缺省情况下不使用,即一直抓

2、包。注意,循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目,文件多大时回卷其他的项选择缺省的就可以了 eheral的抓包过滤器 抓包过滤器用来抓取感兴趣的包，用在抓包过程中。 抓包过滤器使用的是libcap 过滤器语言，在tcdump 的手册中有详细的解释，基本结构是： not priie nd|r notprimitiv .如果你想抓取某些特定的数据包时,有以下两种方法,你可以任选一种: 1、在抓包的时候,就先定义好抓包过滤器，这样结果就是只抓到你设定好的那些类型的数据包;2、先把本机收到或者发出的包都抓下来，然后使用下节介绍的显示过滤器，只让Eterea 显示那些

3、你想要的那些类型的数据包；etheral的显示过滤器（重点内容） 在抓包完成以后，显示过滤器可以用来找到你感兴趣的包，可以根据1）协议2）是否存在某个域3）域值4）域值之间的比较来查找你感兴趣的包。 举个例子,如果你只想查看使用tcp 协议的包,在eterl窗口的左下角的Filr 中输入p,然后回车,ethereal 就会只显示tcp 协议的包。如下图所示:值比较表达式可以使用下面的操作符来构造显示过滤器自然语言类c表示举例e = i.adr=10.10.20e != ip.ad！=1.1020 gt rampklen10 ltrame.pktlen10 ge=rame.pk_len=0le=

4、 .pkt_lenOptons在Iterface选项裡,选择你要抓包的网卡，我这张图裡有5张网卡，但我上网的是R8139，我就选择RTL8139选好再按STAT这是在抓包的过程，可以观察得到各协定所抓到的数据包数量（同时也可以看看协议比例对不对）,你觉得抓得到你想要的包时,就可以按STOP了，因为这一次我要找出FTP的登录密码,所以要先登录ftp后再来按s然后打开我的fp 客户端程序（可以任意选择你的客户端程序,dos方式，IE浏览器,LASHP等均可）,输入欲登录tp服务器的ip,用户名,密码，端口等，点击connet按钮登录。o!登录成功认证成功,服务器返回登录成功讯息这就是一般的登录fp

5、认证时所有过程，那到底tp软件做了些什么事情呢!？我们一来看看抓到的数据包的内容吧我们回到Eere的这个画面,按下tp来停止抓取的动作按stop后的画面，这画面有分三大部份1.最上面的是以数据包的接收顺序来排序的,就是左边的12.3.46.7.每一行就是一个数据包。.中间是每一个数据包的内容。.最下面的画面是数据包真正的内容，也就是.这样的内容,不过是以进制表示的。因为我们现在所抓的包,是只要有经过我们网卡上的包都会被抓下来，包括是我们要的，或者不是我们要的，都会抓下来，那么如何找出我们真正想要的封包呢?我们来点选上一图的xpress的按钮,会出现下图，这是一个包搜寻器辅助工具，也就是可以辅助

6、我们输入正确的关建字在左边选出我们要的协议或关键字，我们这一次是找ftp包,所以选完ftp就好了,如果展开,会出现更多的细项,但我们不需要，所以直接按ok就好还没搜索出来，这是因为刚刚只是辅助我们输入正确的关建字ft，现在关建字有了，再按左边的按钮Filter，会出现下图这是一些说明及搜寻ftp封包时所定的条件，可以不用理会直接按k（或在上图中直接按Apply）这样就可以找到这一次封包中所收集的ft封包（本例另外一个简单的方法就是直接在ler后的输入框输入t，回车，即可筛选出ftp协议包）点一下No.,似照封包的顺序来排列,这是第1个封包我们直接看其中第四层内容22readyr这个包是ftp主机先sah，说他自己是存在的,再要求我们提供资料。那我们看看我们给ftp主机什么东西，看第2个包我们也是直接看第四层内容引用:USER nebirr这里显示用户名是帐号ntbrd下面是回应,第3个包,有该帐号存在,该帐号需要密码，请输入密码我们送出密码的包，是第4个封包，如下图看到了密码是2pzwst87因为ftp协定是明文传送封包的，所以使用eteeal是可以看得到的,明文传送密码的协议还有telne，htp,等如果想不要被看到密码的,那就请用SSL,HTPS，POP+SSL,MTP+SSL,SS。