ethereal抓包工具

ethereal抓包工具是一款非常不錯(cuò)的計(jì)算機(jī)網(wǎng)絡(luò)調(diào)試和數(shù)據(jù)包嗅探軟件。它支持WINDOWS和UNIX系統(tǒng)，通過它可以抓取運(yùn)行的網(wǎng)站的相關(guān)資訊，包括每一封包流向及其內(nèi)容、資訊可依操作系統(tǒng)語系看出,方便查看，可以TCP session動(dòng)態(tài)等等。該軟件具備監(jiān)聽異常封包的功能。ethereal抓包工具需要一個(gè)底層的抓包平臺，在Linux中是采用Libpcap函數(shù)庫抓包，在windows系統(tǒng)中采用winpcap函數(shù)庫抓包。軟件基本類似于tcpdump，還具有設(shè)計(jì)完美的GUI和眾多分類信息及過濾選項(xiàng)。用戶通過該軟件，同時(shí)將網(wǎng)卡插入混合模式，可以查看到網(wǎng)絡(luò)中發(fā)送的所有通信流量，可以應(yīng)用于故障修復(fù)、分析、軟件和協(xié)議開發(fā)以及教育領(lǐng)域。如果您也需要這么一款軟件那就來本站下載吧！

使用教程

一、打開抓包配置項(xiàng)
1. 通過Capture--Options，點(diǎn)開抓包選項(xiàng)配置

二、設(shè)置抓包配置項(xiàng)
1. 設(shè)置抓包的網(wǎng)卡
2. 設(shè)置抓包的過濾項(xiàng)：只有滿足條件的數(shù)據(jù)才會(huì)被ethereal捕捉，如果不填則捕捉所有的數(shù)據(jù)包

capture選項(xiàng)
interface: 指定在哪個(gè)接口（網(wǎng)卡）上抓包。一般情況下都是單網(wǎng)卡，所以使用缺省的就可以了
Limit each packet: 限制每個(gè)包的大小，缺省情況不限制
Capture packets in promiscuous mode: 是否打開混雜模式。如果打開，抓取所有的數(shù)據(jù)包。一般情況下只需要監(jiān)聽本機(jī)收到或者發(fā)出的包，因此應(yīng)該關(guān)閉這個(gè)選項(xiàng)。
Filter：過濾器。只抓取滿足過濾規(guī)則的包（可暫時(shí)略過）
File：如果需要將抓到的包寫到文件中，在這里輸入文件名稱。
use ring buffer： 是否使用循環(huán)緩沖。缺省情況下不使用，即一直抓包。注意，循環(huán)緩沖只有在寫文件的時(shí)候才有效。如果使用了循環(huán)緩沖，還需要設(shè)置文件的數(shù)目，文件多大時(shí)回卷
其他的項(xiàng)選擇缺省的就可以了
三、開始抓包
點(diǎn)擊start按鈕，開始抓包

四、停止抓包
點(diǎn)擊停止按鈕，停止抓包

五、再次開始抓包
如果不需要重新設(shè)置抓包的選項(xiàng)，可以直接點(diǎn)擊Capture--Start來再次抓包

主要特征

在實(shí)時(shí)時(shí)間內(nèi)，從網(wǎng)絡(luò)連接處捕獲數(shù)據(jù)，或者從被捕獲文件處讀取數(shù)據(jù)；
Ethereal 可以讀取從 tcpdump（libpcap）、網(wǎng)絡(luò)通用嗅探器（被壓縮和未被壓縮）、SnifferTM 專業(yè)版、NetXrayTM、Sun snoop 和 atmsnoop、Shomiti/Finisar 測試員、AIX 的 iptrace、Microsoft 的網(wǎng)絡(luò)監(jiān)控器、Novell 的 LANalyzer、RADCOM 的 WAN/LAN 分析器、 ISDN4BSD 項(xiàng)目的 HP-UX nettl 和 i4btrace、Cisco 安全 IDS iplog 和 pppd 日志（ pppdump 格式）、WildPacket 的 EtherPeek/TokenPeek/AiroPeek 或者可視網(wǎng)絡(luò)的可視 UpTime 處捕獲的文件。此外 Ethereal 也能從 Lucent/Ascend WAN 路由器和 Toshiba ISDN 路由器中讀取跟蹤報(bào)告，還能從 VMS 的 TCPIP 讀取輸出文本和 DBS Etherwatch。
從以太網(wǎng)、FDDI、PPP、令牌環(huán)、IEEE 802.11、ATM 上的 IP 和回路接口（至少是某些系統(tǒng)，不是所有系統(tǒng)都支持這些類型）上讀取實(shí)時(shí)數(shù)據(jù)。
通過 GUI 或 TTY 模式 tethereal 程序，可以訪問被捕獲的網(wǎng)絡(luò)數(shù)據(jù)。
通過 editcap 程序的命令行交換機(jī)，有計(jì)劃地編輯或修改被捕獲文件。
當(dāng)前602協(xié)議可被分割。
輸出文件可以被保存或打印為純文本或 PostScript格式。
通過顯示過濾器精確顯示數(shù)據(jù)。
顯示過濾器也可以選擇性地用于高亮區(qū)和顏色包摘要信息。
所有或部分被捕獲的網(wǎng)絡(luò)跟蹤報(bào)告都會(huì)保存到磁盤中。

軟件特色

從以太網(wǎng)、FDDI、PPP、令牌環(huán)、IEEE 802.11、ATM 上的 IP 和回路接口（至少是某些系統(tǒng)，不是所有系統(tǒng)都支持這些類型）上讀取實(shí)時(shí)數(shù)據(jù)。
通過 GUI 或 TTY 模式程序，可以訪問被捕獲的網(wǎng)絡(luò)數(shù)據(jù)。
通過 editcap 程序的命令行交換機(jī)，有計(jì)劃地編輯或修改被捕獲文件。
當(dāng)前602協(xié)議可被分割。
輸出文件可以被保存或打印為純文本或 PostScript格式。
通過顯示過濾器精確顯示數(shù)據(jù)。
顯示過濾器也可以選擇性地用于高亮區(qū)和顏色包摘要信息。
所有或部分被捕獲的網(wǎng)絡(luò)跟蹤報(bào)告都會(huì)保存到磁盤中。

系統(tǒng)介紹

1捕包平臺
網(wǎng)絡(luò)分析系統(tǒng)首先依賴于一套捕捉網(wǎng)絡(luò)數(shù)據(jù)包的函數(shù)庫。這套函數(shù)庫工作在在網(wǎng)絡(luò)分析系統(tǒng)模塊的最底層。作用是從網(wǎng)卡取得數(shù)據(jù)包或者根據(jù)過濾規(guī)則取出數(shù)據(jù)包的子集，再轉(zhuǎn)交給上層分析模塊。從協(xié)議上說，這套函數(shù)庫將一個(gè)數(shù)據(jù)包從鏈路層接收，至少將其還原至傳輸層以上，以供上層分析。
在Linux系統(tǒng)中， 1992年Lawrence Berkeley Lab的Steven McCanne和Van Jacobson提出了包過濾器的一種的實(shí)現(xiàn)，BPF（BSD Packet Filter）。Libpcap是一個(gè)基于BPF的開放源碼的捕包函數(shù)庫。現(xiàn)有的大部分Linux捕包系統(tǒng)都是基于這套函數(shù)庫或者是在它基礎(chǔ)上做一些針對性的改進(jìn)。
在window系統(tǒng)中，意大利人Fulvio Risso和Loris Degioanni提出并實(shí)現(xiàn)了Winpcap函數(shù)庫，作者稱之為NPF。由于NPF的主要思想就是來源于BPF，它的設(shè)計(jì)目標(biāo)就是為windows系統(tǒng)提供一個(gè)功能強(qiáng)大的開發(fā)式數(shù)據(jù)包捕獲平臺，希望在Linux系統(tǒng)中的網(wǎng)絡(luò)分析工具經(jīng)過簡單編譯以后也可以移植到windows中，因此這兩種捕包架構(gòu)是非常相似的。就實(shí)現(xiàn)來說提供的函數(shù)調(diào)用接口也是一致的。
網(wǎng)絡(luò)分析系統(tǒng)也需要一個(gè)底層的抓包平臺，在Linux中是采用Libpcap函數(shù)庫抓包，在windows系統(tǒng)中采用winpcap函數(shù)庫抓包。
2 層次化的數(shù)據(jù)包協(xié)議分析方法
取得捕包函數(shù)捕回的數(shù)據(jù)包后就需要進(jìn)行協(xié)議分析和協(xié)議還原工作了。由于OSI的7層協(xié)議模型，協(xié)議數(shù)據(jù)是從上到下封裝后發(fā)送的。對于協(xié)議分析需要從下至上進(jìn)行。首先對網(wǎng)絡(luò)層的協(xié)議識別后進(jìn)行組包還原然后脫去網(wǎng)絡(luò)層協(xié)議頭。將里面的數(shù)據(jù)交給傳輸層分析，這樣一直進(jìn)行下去直到應(yīng)用層。
Ip
| \
Tcp udp
| \
HTTP TFTP
由于網(wǎng)絡(luò)協(xié)議種類很多，就軟件所識別的500多種協(xié)議來說，為了使協(xié)議和協(xié)議間層次關(guān)系明顯。從而對數(shù)據(jù)流里的各個(gè)層次的協(xié)議能夠逐層處理。系統(tǒng)采用了協(xié)議樹的方式。上圖就是一個(gè)簡單的協(xié)議樹。如果協(xié)議A的所有數(shù)據(jù)都是封裝在協(xié)議B里的，那么這個(gè)協(xié)議A就是協(xié)議B是另外一個(gè)協(xié)議的兒子節(jié)點(diǎn)。我們將最低層的無結(jié)構(gòu)數(shù)據(jù)流作為根接點(diǎn)。那么具有相同父節(jié)點(diǎn)的協(xié)議成為兄弟節(jié)點(diǎn)。那么這些擁有同樣父協(xié)議兄弟節(jié)點(diǎn)協(xié)議如何互相區(qū)分了？系統(tǒng)采用協(xié)議的特征字來識別。每個(gè)協(xié)議會(huì)注冊自己的特征字。這些特征字給自己的子節(jié)點(diǎn)協(xié)議提供可以互相區(qū)分開來的標(biāo)識。比如tcp協(xié)議的port字段注冊后。 Tcp.port=21就可以認(rèn)為是ftp協(xié)議， 特征字可以是協(xié)議規(guī)范定義的任何一個(gè)字段。比如ip協(xié)議就可以定義proto字段為一個(gè)特征字。
在軟件中注冊一個(gè)協(xié)議解析器首先要指出它的父協(xié)議是什么。另外還要指出自己區(qū)別于父節(jié)點(diǎn)下的兄弟接點(diǎn)協(xié)議的特征。比如ftp協(xié)議。在軟件中他的父接點(diǎn)是tcp協(xié)議，它的特征就是tcp協(xié)議的port字段為21。
這樣當(dāng)一個(gè)端口為21的tcp數(shù)據(jù)流來到時(shí)。首先由tcp協(xié)議注冊的解析模塊處理，處理完之后通過查找協(xié)議樹找到自己協(xié)議下面的子協(xié)議，判斷應(yīng)該由那個(gè)子協(xié)議來執(zhí)行，找到正確的子協(xié)議后，就轉(zhuǎn)交給ftp注冊的解析模塊處理。這樣由根節(jié)點(diǎn)開始一層層解析下去。
由于采用了協(xié)議樹加特征字的設(shè)計(jì)，這個(gè)系統(tǒng)在協(xié)議解析上由了很強(qiáng)的擴(kuò)展性，增加一個(gè)協(xié)議解析器只需要將解析函數(shù)掛到協(xié)議樹的相應(yīng)節(jié)點(diǎn)上即可。
3 基于插件技術(shù)的協(xié)議分析器
所謂插件技術(shù)，就是在程序的設(shè)計(jì)開發(fā)過程中，把整個(gè)應(yīng)用程序分成宿主程序和插件兩個(gè)部分，宿主程序與插件能夠相互通信，并且，在宿主程序不變的情況下，可以通過增減插件或修改插件來調(diào)整應(yīng)用程序的功能。運(yùn)用插件技術(shù)可以開發(fā)出伸縮性良好、便于維護(hù)的應(yīng)用程序。它著名的應(yīng)用實(shí)例有：媒體播放器winamp、微軟的網(wǎng)絡(luò)瀏覽器ie等。
由于現(xiàn)在網(wǎng)絡(luò)協(xié)議種類繁多，為了可以隨時(shí)增加新的協(xié)議分析器，一般的協(xié)議分析器都采用插件技術(shù)，這樣如果需要對一個(gè)新的協(xié)議分析只需要開發(fā)編寫這個(gè)協(xié)議分析器并調(diào)用注冊函數(shù)在系統(tǒng)注冊就可以使用了。通過增加插件使程序有很強(qiáng)的可擴(kuò)展性，各個(gè)功能模塊內(nèi)聚。
在協(xié)議分析器中新增加一個(gè)協(xié)議插件一般需要插件安裝或者注冊，插件初始化，插件處理3個(gè)步驟，下面以軟件為例進(jìn)行分析如何利用插件技術(shù)新增加一個(gè)協(xié)議分析模塊。
軟件由于采用插件技術(shù)，一個(gè)新加入開發(fā)的程序員開發(fā)一種新的協(xié)議分析模塊的時(shí)候不需要了解所有的代碼，他只需要寫好這個(gè)協(xié)議模塊的函數(shù)后，寫一個(gè)格式為proto_reg_handoff_XXX的函數(shù)，在函數(shù)內(nèi)調(diào)用注冊函數(shù)告訴系統(tǒng)在什么時(shí)候需要調(diào)用這個(gè)協(xié)議模塊。比如
你事先寫好了一個(gè)名為dissect_myprot的協(xié)議解析模塊，它是用來解析tcp協(xié)議端口為250的數(shù)據(jù)?？梢岳眠@些語句來將這個(gè)解析器注冊到系統(tǒng)中
proto_reg_handoff_myprot(void)
{
dissector_handle_t myprot_handle;
myprot_handle = create_dissector_handle(dissect_myprot,
proto_myprot);
dissector_add("tcp.port", 250, myprot_handle);
}
這段代碼告訴系統(tǒng)當(dāng)tcp協(xié)議數(shù)據(jù)流端口為250的時(shí)候要調(diào)用dissect_myprot這個(gè)函數(shù)模塊。
在軟件中有一個(gè)腳本專門來發(fā)現(xiàn)開發(fā)者定義的類式proto_reg_handoff_xxx這樣的注冊函數(shù)名，然后自動(dòng)生成調(diào)用這些注冊函數(shù)的代碼。這樣開發(fā)者不需要知道自己的注冊函數(shù)如何被調(diào)用的。這樣一個(gè)新的協(xié)議分析模塊就加入到系統(tǒng)中了。
由于采用了插件方式，軟件良好的結(jié)構(gòu)設(shè)計(jì)讓開發(fā)者只需要關(guān)系自己開發(fā)的協(xié)議模塊，不需要關(guān)心整個(gè)系統(tǒng)結(jié)構(gòu)，需要將模塊整合進(jìn)系統(tǒng)只需要寫一個(gè)注冊函數(shù)即可，連初始化時(shí)調(diào)用這個(gè)注冊函數(shù)都由腳本自動(dòng)完成了。正是因?yàn)橛泻芎玫捏w系結(jié)構(gòu)，這個(gè)系統(tǒng)才能夠開發(fā)出如此多的協(xié)議解析器。
盡管軟件是目前最好的開放源碼的網(wǎng)絡(luò)分析系統(tǒng)，但軟件仍然有一些可以改進(jìn)的地方，一個(gè)優(yōu)秀的網(wǎng)絡(luò)分析器，盡可能的正確分析出數(shù)據(jù)協(xié)議和高效的處理數(shù)據(jù)是兩個(gè)重要的指標(biāo)。在協(xié)議識別方面軟件大多采用端口識別，有少量協(xié)議采用內(nèi)容識別。這就讓一些非標(biāo)準(zhǔn)端口的協(xié)議數(shù)據(jù)沒有正確解析出來。比如ftp協(xié)議如果不是21端口的話，軟件就無法識別出來，只能作為tcp數(shù)據(jù)處理。另外對于內(nèi)容識別式。軟件是將所以內(nèi)容識別的函數(shù)組成一張入口表。每次協(xié)議數(shù)據(jù)需要內(nèi)容識別時(shí)，按字母順序逐個(gè)調(diào)用表里的每個(gè)識別函數(shù)。比如對于識別yahoo massanger協(xié)議。主要是看數(shù)據(jù)前幾個(gè)字節(jié)是不是’ymsg’.由于協(xié)議名為y開頭。所以當(dāng)識別出協(xié)議時(shí)已經(jīng)把所有內(nèi)容識別函數(shù)調(diào)用了一遍。這些都是由于軟件沒有實(shí)現(xiàn)tcp協(xié)議棧，無法做到流級別的識別。導(dǎo)致在協(xié)議識別方面有點(diǎn)缺陷。