1、实验五 网络流量分析,2018/11/19,网络工程,1.1 ethereal下载,图1.1 官方主页,官方网站:,2018/11/19,网络工程,图1.2 下载官方版本,2018/11/19,网络工程,1.2 ethereal安装,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11/19,网络工程,2018/11
2、/19,网络工程,1.3 ethereal使用详解,双击启动桌面上ethereal图标 ，按ctrl+K进行 “capture option”的选择。 选择 正确的NIC，进行报文的捕获。支持 WLan无 线的相关协议。,2018/11/19,网络工程,Interface是选择捕获接口 Capture packets in promiscuous mode表示是否打开混杂模式，打开即捕获所有的报文，一般我们只捕获到本机收发的数据报文，所以关掉 Limit each packet 表示 限制每个报文的大小 Capture files 即捕获数据包的保存的文件名以及保存位置,2018/11/19,
3、网络工程,capture option确认选择后，点击ok就开始进行抓包同时就会弹出“Ethereal:capture form (nic) driver”，其中(nic)代表本机的网卡型号。同时该界面会以协议的不同统计捕获到报文的百分比点击stop即可以停止抓包,2018/11/19,网络工程,2018/11/19,网络工程,File的下拉菜单,“Open”即打开已存的抓包文件，快捷键是crtlQ“Open Recent”即打开先前已察看的抓包文件，类似windows的最近访问过的文档“Merge”字面是合并的意思，其实是追加的意思，即当前捕获的报文追加到先前已保存的抓包文件中。Save和s
4、ave as即保存 、选择保存格式。,2018/11/19,网络工程,其中save sa保存为是有个注意点：点击该展开按钮即可详细选择保存路径 2. File type保存选择时注意：缺省保存为libpcap格式，这个是linux下的tcpdump格式的文件。只有选择文件保存格式为sniffer（windowsbase）1.1和2.0都可，ethereal和sniffer才能双向互相打开对方抓包的文件。否则只有ethereal能打开sniffer的抓包文件。,Sinffer、ethereal可以相互 打开对方的文件,2018/11/19,网络工程,Export是输出的意思Print 打印Qui
5、t退出,2018/11/19,网络工程,Edit的下拉菜单,Find Packet 就是查询报文，快捷键是ctrl+F,可以支持不同格式的查找,输入正确的语句，那么背景为 绿色，语句错误或缺少背景就为 红色,2018/11/19,网络工程,Edit的下拉菜单,Find Next是向下查找Find Preyious是向上查找Time Reference 字面是时间参考，使用后明白是 做个报文的“时间戳”，方便大量报文的查询,2018/11/19,网络工程,Edit的下拉菜单报文标签,使用Time Reference标签后，原先time的就变成 “REF”缩写的标记附注：你可以在多个报文间 用时间
6、戳标记，方便 查询。通俗点就象书签一样。Mark Packet（toggle）是标记报文Mark all packets 和 Unamrk all packet即标记所有报文 、取消标记所有报文,2018/11/19,网络工程,Edit的下拉菜单,点击“preference”进行用户界面的选择，比如说 报文察看界面布局的选择，以及协议支持的选择。,2018/11/19,网络工程,View的下拉菜单,Main toolbar 主工具栏 Filter Toolbar 过滤工具栏 Statusbar 状态条Packet list 报文列表 Packet details 报文详解 Packet byt
7、e 报文字节察看Time display format 时间显示格式（可以显示年月日时分秒） Name Resolution 名字解析 Auto scroll in live capture 单看字面真的不好翻译（自动翻卷显示活动的报文），使用对比一下才获知：捕获时是否跟进显示更新的报文还是显示先前的报文。,2018/11/19,网络工程,View的下拉菜单,Zoom in 字体的放大 Zoom out 字体的缩小 Normal size 标准大小Resize columns 格式对齐 Collapse all 报文细节内容的缩进 Expand all 报文细节内容的展开Coloring Ru
8、les 颜色规则，即可以对特定的数据包定义特定的颜色。 Show packet in new window在新窗口中查看报文内容 Reload 刷新,2018/11/19,网络工程,go的下拉菜单,Back 同样双方的上个报文Forward 同样双方的下一个报文Go to packet 查找到指定号码的报文First packet 第一个报文Last packet 最后一个报文,2018/11/19,网络工程,capture的下拉菜单,Start 开始捕获报文,2018/11/19,网络工程,Interface 接口捕获过滤,capture的下拉菜单,2018/11/19,网络工程,captu
9、re的Capture filter,捕获过滤,如果要捕获特定的报文，那在抓取packet前就要设置，决定数据包的类型。,FIlter name：任意命名 Filter string：这里要注意了，这里语法输 入有点技巧。嘿嘿look：。,2018/11/19,网络工程,比如说： a.捕获 MAC地址为 00:d0:f8:00:00:03 网络设备通信的所有报文ether host 00:d0:f8:00:00:03 b.捕获 IP地址为 192.168.10.1 网络设备通信的所有报文host 192.168.10.1 c.捕获网络web浏览的所有报文tcp port 80 d.捕获192.1
10、68.10.1除了http外的所有通信数据报文host 192.168.10.1 and not tcp port 80提示：如果以 默认主机和端口的设置捕获 tcp/ip报文，你将看不到自身的arp报文。,capture的Capture filter,2018/11/19,网络工程,Filter string 语法输入的格式,src|dst host ether src|dst host gateway host src|dst net mask |len tcp|udp src|dst port less|greater ip|ether proto ether|ip broadcast|
11、multicastrelop ,2018/11/19,网络工程,符号在Filter string语法中的定义,Equal: eq, = (等于）Not equal: ne, != （不等于）Greater than: gt, （大于）Less Than: lt, = （大等于）Less than or Equal to: le, = （小等于）,2018/11/19,网络工程,Capture filter的应用步骤,2018/11/19,网络工程,Display filters 显示过滤可以直接在主界面的filter上选择,Analyze的下拉菜单,2018/11/19,网络工程,Analyz
12、e下的Display filters,正确的语法如下，和“Capture Filter”的语法有所不同：显示 以太网地址为 00:d0:f8:00:00:03 设备通信的所有报文 eth.addr=00.d0.f8.00.00.03 显示 IP地址为 192.168.10.1 网络设备通信的所有报文 ip.addr=192.168.10.1 显示所有设备web浏览的所有报文 tcp.port=80 显示192.168.10.1除了http外的所有通信数据报文 ip.addr=192.168.10.1 & tcp.port!=80,2018/11/19,网络工程,Analyze的下拉菜单,Ena
13、ble protocols是否启用该协议的解析，点选该协议后，相关的上层协议才能显示出来。,2018/11/19,网络工程,Analyze的下拉菜单,Decode As 用户定义报文协议说明User Specified Decodes用户修改的报文编译,2018/11/19,网络工程,Analyze的Decode As,Decode As 用户定义报文协议说明通过定义后，数据包细节的窗口解释：原先是 tcp的解释，更改就直接显示ssl格式的报文了。,2018/11/19,网络工程,Analyze的follow tcp stream,好戏来了（follow tcp stream）,在 浏览器中
14、敲入 http:/ 同时ctrlk 开始抓包，嘿嘿 -,嘿嘿，看到你了。在packet detail的窗口里 安祥的躺着 decelopment.html报文。,2018/11/19,网络工程,Analyze的follow tcp stream,在 packet detail 窗口中选择这个报文（ decelopment.html报文）点击右键 选择 “ follow tcp stream”,2018/11/19,网络工程,Analyze的follow tcp stream,这就是 follow tcp stream窗口，然后全选 ，在ctrlc， 打开 记事本，ctrlv，另存为 1.htm
15、l。最后双击该文件。这只是 ethereal强大功能其中的一个小技巧,2018/11/19,网络工程,Statistics 顾名思义 统计就是相关的报文的统计信息,Statistics的下拉菜单,Summmary 报文的详细信息 Protocol hierarchy 协议层即各协议层报文的统计 Conversations 显示该会话报文的信息 （双方通信的报文信息） endpoints 分别显示单方的报文信息 IO Graphs 报文通信的心跳图（翻译的比较蹩脚）,2018/11/19,网络工程,Statistics的下拉菜单,Summmary 报文的详细信息,Protocol hierarc
16、hy 协议层即各协议层报文的统计,2018/11/19,网络工程,Statistics的下拉菜单,Conversations 显示该会话报文的信息 （双方通信的报文信息）,endpoints 分别显示单方的报文信息,2018/11/19,网络工程,Statistics的下拉菜单,IO Graphs报文通信的心跳图（翻译的比较蹩脚）,2018/11/19,网络工程,Help的下拉菜单,Help 帮助,Contents 帮助的目录,2018/11/19,网络工程,Help的下拉菜单,Supported Protocols 支持的协议,2018/11/19,网络工程,1.4 实验内容及要求,【实验题目】网络流量分析 【实验目的与要求】学会网络协议分析仪的安装；掌握利用网络协议分析仪进行网络流量分析;,
