1、1Sniffer Pro 的基本使用和实例运行环境及安装Sniffer Pro 可运行在局域网的任何一台机器上，如果是练习使用，网络连接最好用Hub 且在一个子网，这样能抓到连到 Hub 上每台机器传输的包。本文用的版本是 4.6 该版本是不要序列号的。安装非常简单，setup 后一路确定即可，第一次运行时需要选择你的网卡。最好在 win2000 下运行，在 win2003 下运行网络流量表有问题。常用功能介绍1、Dashboard （网络流量表）点击图 1 中所指的图标，出现三个表，第一个表显示的是网络的使用率（Utilization），第二个表显示的是网络的每秒钟通过的包数量（Packet
2、s），第三个表显示的是网络的每秒错误率（Errors）。通过这三个表可以直观的观察到网络的使用情况，红色部分显示的是根据网络要求设置的上限。选择图 1 中所指的选项将显示如图 2 所示的更为详细的网络相关数据的曲线图。每个子项的含义无需多言，下面介绍一下测试网络速度中的几个常用单位。在 TCP/IP 协议中，数据被分成若干个包（Packets）进行传输，包的大小跟操作系统和网络带宽都有关系，一般为 64、128、256、512、1024、1460 等，包的单位是字节。很多初学者对 Kbps、KB、Mbps 等单位不太明白，B 和 b 分别代表 Bytes(字节) 和 bits（比特），1 比特
3、就是 0 或 1。1 Byte = 8 bits 。1Mbps (megabits per second 兆比特每秒)，亦即 1 x 1024 / 8 = 128KB/sec（字节/秒），我们常用的 ADSL 下行 512K 指的是每秒 512K 比特(Kb)， 也就是每秒 512/8=64K 字节（KB）2图 1图 22、Host table（主机列表）如图 3 所示，点击图 3 中所指的图标，出现图中显示的界面，选择图中所指的 IP选项，界面中出现的是所有在线的本网主机地址及连到外网的外网服务器地址，此时想看看192.168.113.88 这台机器的上网情况，只需如图中所示单击该地址出现图
4、 4 界面。图 33图 4 中清楚地显示出该机器连接的地址。点击左栏中其它的图标都会弹出该机器连接情况的相关数据的界面。图 43、Detail（协议列表）点击图 5 所示的“Detail”图标，图中显示的是整个网络中的协议分布情况，可清楚地看出哪台机器运行了那些协议。注意，此时是在图 3 的界面上点击的，如果在图 4 的界面上点击显示的是那台机器的情况。图 5 4、Bar（流量列表）4点击图 6 所示的“Bar”图标，图中显示的是整个网络中的机器所用带宽前 10 名的情况。显示方式是柱状图，图 7 显示的内容与图 6 相同，只是显示方式是饼图。图 6 图 75、Matrix （网络连接）点击图
5、 8 中箭头所指的图标，出现全网的连接示意图，图中绿线表示正在发生的网络连接，蓝线表示过去发生的连接。将鼠标放到线上可以看出连接情况。鼠标右键在弹出的菜单中可选择放大（zoom）此图。5图 8抓包实例1、抓某台机器的所有数据包如图 9 所示，本例要抓 192.168.113.208 这台机器的所有数据包，如图中选择这台机器。点击所指图标，出现图 10 界面，等到图 10 中箭头所指的望远镜图标变红时，表示已捕捉到数据，点击该图标出现图 11 界面，选择箭头所指的 Decode 选项即可看到捕捉到的所有包。6图 9 图 10 图 11 2、抓 Telnet 密码本例从 192.168.113.2
6、08 这台机器 telnet 到 192.168.113.50，用 Sniff Pro 抓到用户名和密码。步骤 1：设置规则如图 12 所示，选择 Capture 菜单中的 Defind Filter，出现图 13 界面，选择图 13 中的 ADDress 项，在 station1 和 2 中分别填写两台机器的 IP 地址，如图 14 所示选择Advanced 选项，选择选 IP/TCP/Telnet ,将 Packet Size 设置为 Equal 55， Packet Type 设置为 Normal.。7图 12 图 13 图 14 8步骤 2：抓包按 F10 键出现图 15 界面，开始抓
7、包。图 15 步骤 3：运行 telnet 命令本例使 telnet 到一台开有 telnet 服务的机器上。telnet 192.168.113.50login: testPassword:步骤 4：察看结果图 16 中箭头所指的望远镜图标变红时，表示已捕捉到数据，点击该图标出现图 17 界面，选择箭头所指的 Decode 选项即可看到捕捉到的所有包。可以清楚地看出用户名为 test 密码为 123456。图 169图 17解释：虽然把密码抓到了，但大家也许对包大小（Packet Size）设为 55 不理解，网上的数据传送是把数据分成若干个包来传送，根据协议的不同包的大小也不相同，从图 1
8、8 可以看出当客户端 telnet 到服务端时一次只传送一个字节的数据，由于协议的头长度是一定的，所以 telnet 的数据包大小=DLC(14 字节)+IP(20 字节)+TCP(20 字节)+数据（一个字节）=55 字节，这样将 Packet Size 设为 55 正好能抓到用户名和密码，否则将抓到许多不相关的包。图 183、抓 FTP 密码本例从 192.168.113.208 这台机器 ftp 到 192.168.113.50，用 Sniff Pro 抓到用户名和密码。10步骤 1：设置规则如图 12 所示，选择 Capture 菜单中的 Defind Filter 出现图 19 界面
9、，选择图 19 中的ADDress 项，在 station1 和 2 中分别填写两台机器的 IP 地址，选择 Advanced 选项，选择选 IP/TCP/FTP ,将 Packet Size 设置为 In Between 63 -71， Packet Type 设置为 Normal。如图 20 所示，选择 Data Pattern 项，点击箭头所指的 Add Pattern 按钮，出现图21 界面，按图设置 OFFset 为 2F,方格内填入 18，name 可任意起。确定后如图 22 点击 Add NOT 按钮,再点击 Add Pattern 按钮增加第二条规则，按图 23 所示设置好规则
10、，确定后如图24 所示。图 19图 2011图 21图 2212图 23图 24步骤 2：抓包 按 F10 键出现图 15 界面，开始抓包。步骤 3：运行 FTP 命令本例使 FTP 到一台开有 FTP 服务的机器上D:/ftp 192.168.113.5013Connected to 192.168.113.50.220 test1 FTP server (Version wu-2.6.1(1) Wed Aug 9 05:54:50 EDT 2000) ready.User (192.168.113.50:(none): test331 Password required for test.
11、Password:步骤 4：察看结果图 16 中箭头所指的望远镜图标变红时，表示已捕捉到数据，点击该图标出现图 25 界面，选择箭头所指的 Decode 选项即可看到捕捉到的所有包。可以清楚地看出用户名为 test 密码为 123456789。图 25解释：虽然把密码抓到了，但大家也许设不理解，将图 19 中 Packet Size 设置为 63 -71 是根据用户名和口令的包大小来设置的，图 25 可以看出口令的数据包长度为 70 字节，其中协议头长度为：14+20+20=54，与 telnet 的头长度相同。Ftp 的数据长度为 16，其中关键字PASS 占 4 个字节，空格占 1 个字节
12、，密码占 9 个字节，Od 0a(回车 换行)占 2 个字节，包长度=54+16=70。如果用户名和密码比较长那么 Packet Size 的值也要相应的增长。Data Pattern 中的设置是根据用户名和密码中包的特有规则设定的，为了更好的说明这个问题，请在开着图 15 的情况下选择 Capture 菜单中的 Defind Filter，如图 20 所示，选择 Data Pattern 项，点击箭头所指的 Add Pattern 按钮，出现图 26 界面，选择图中 1 所指然后点击 2 所指的 Set Data 按钮。OFFset、方格内、Name 将填上相应的值。同理图 27 中也是如此
13、。这些规则的设置都是根据你要抓的包的相应特征来设置的，这些都需要对 TCP/IP 协议的深入了解，从图 28 中可以看出网上传输的都是一位一位的比特流，操作系统将比特流转换为二进制，Sniffer 这类的软件又把二进制换算为 16 进制，然后又为这些数赋予相应的意思，图中的 18 指的是 TCP 协议中的标志位是 18。OFFset 指的是数据包中某位数据的位置，方格内填的是值。14图 26图 2715图 284、抓 HTTP 密码步骤 1：设置规则按照下图 29、30 进行设置规则，设置方法同上。图 2916图 30步骤 2：抓包 按 F10 键开始抓包。步骤 3：访问 网站步骤 4：察看结果图 16 中箭头所 指的望远镜图标变红时，表示已捕捉到数据，点击该图标出现图 31 界面，选择箭头所指的 Decode 选项即可看到捕捉到的所有包。在 Summary 中找到含有 POST 关键字的包，可以清楚地看出用户名为 qiangkn997，密码为?，这可是我邮箱的真实密码！当然不能告诉你，不过欢迎来信进行交流。17图 31后记本文中的例子是网内试验，若捕捉全网机器的有关数据请将图 13 中的 station 设置为anyany，作为学习研究可以，可别做坏事！
