-
实验二
使用包嗅
探及协议分析软件Ｅ
th
ｅ
rea
ｌ
分析
Eth
e
ｒ
net
帧
【实验目的】
1
、
掌
握包嗅探及协议分析软件
Ethe
ｒ
e
ａ
l
的使用。
2
、掌握Ｅ
th
e
ｒｎ
e
ｔ帧的构成
< br>
【实验环境】
?
安装好Ｗ
i
ｎ
dows
２
000
S
erve
ｒ操作系统
+
Ｅｔｈｅｒｅ<
/p>
al
的计算机
【实验时间】
2
节课
【实验重点及难点】
?
重点学习掌握如何利用
Et
ｈｅｒｅ
al
来分析
E
ｔｈ
ern
ｅ
t
帧。
【实验内容】
1
、捕捉任何主机发出的
Et
ｈｅ
r
ｎ
et
80
2.3
格式的帧和
D
Ｉ
X
Ｅ
thernet <
/p>
V2(
即
Et
ｈ
ernet
?
II)
格式的帧并进行分析。
２、捕捉并分析局域网上的所有
ether
ｎ
et
br
ｏ
ａ
d
ｃ
a
ｓ<
/p>
t
帧进行分析。
３、捕捉局域网上的所有
eth
ｅ
r
ｎ
e
ｔ
mu
ｌｔｉｃ
a
ｓ
t
帧进行分析。
【实验步骤】
一、
< br>E
ｔｈ
er
ｅ
< br>al
的安装
E
ｔｈ
erea
ｌ是一个图形用户接口
< br>(G
Ｕ
I
）的网络嗅探器
,
由于Ｅ
th
ｅ
rea
ｌ需
要
Wi
ｎ
Pcap
库，
所以先安装
Win
Ｐ
c
ａｐ
_2_,
再安装<
/p>
Et
ｈ
ereal.
ｅ
xe
。
(
已
装好
)
二、仔细阅读附件中的Ｅ
ｔ
here
ａ
l
使用方法和
TcpDu
ｍ
p
的表达式详解，学习
E
ｔ
h
ｅ
r
ｅ
a
ｌ的使用。
三、
捕捉任何主机发出的Ｅ
t
ｈｅ
r
ｎ
et
8
０
2.3
格式的帧和
DIX
Eth
ｅｒ
net
V2(
即
E
ｔ
herne
ｔ
?
II)
格式的帧并进行分析。
捕捉任何主机发出的
E
ｔ
her
ｎ
et
８
02.3
格式的帧
(
帧的长度
字段
<=1
５
00
）
，
E
ｔ
here
ａ
l
的
c
ａ
pt
ｕ
re
fil
ｔ
er
的ｆ
ilt
ｅ
r
< br>s
ｔｒ
in
ｇ设置为
:ether[1
２
:2
］
<=
1
５
00
。
捕捉
任何主机发出的
DI
Ｘ
Ethern
ｅ
t
V2(
即
Et
ｈ
er
ｎ
e
ｔ
I
Ｉ
)
格式的帧
(
帧
的长度字段
>1500,
帧的长度字段实际上是类型字段）
，
Ｅ
t
ｈ
ere
ａ
l
的
cap
ｔ
u
ｒ
e
ｆ
ilter
的
filter s
ｔ
rin
ｇ设置为
:ethe
ｒ
[12:2] > 150
０。
①观察并分析帧结构，
8
０
2.3
格式的帧的上一层主要是哪些
P
ＤＵ？是
IP
、
LLC
?
还是其它哪种
?
(
学校里可能没有
,
如果没有，注明没有
就可以了）
②观察并分析帧结构
,E
th
ｅ
r
ｎ
e
t II
的帧的上一层主要是哪些
PDU
？是
IP
、
LL
Ｃ
还是其它哪种？
四、
捕捉并分析局域网上的所有
eth
ｅｒ
net
broadca
ｓｔ帧
,Et
ｈ
ere
ａ
l
的
capt
ｕ
re
filt
ｅ
r
的ｆｉ
lt
ｅ
r
strin
ｇ设置为：ｅｔ
her bro
ａ
dcast
。
①观察并分析哪些主机在发广播帧，这些帧的高层协议是什么
?
②你的Ｌ
A
Ｎ的共享网段上连接了多少
台计算机
?1
分钟内有几个广播帧？有
?
否发生广播风暴？
五、
捕捉局域网上的所有
ethe
< br>ｒ
net mu
ｌ
t
ｉ
cas
ｔ帧，
Ethe
real
的
capt
ｕｒ
e f
ｉｌ
ter
的
fi
ｌ
ter
ｓ
trin
ｇ设置为：
ethe
ｒ
ｍｕ
lticas
ｔ
①观察
并分析哪些节点在发
multi
ｃ
as
t
帧
,
这些帧的高层协议是什么？
【实验指导材料】
用
E
ｔ
her
ｅａｌ分析协议数据包
Eth
ｅｒ
eal
是一个图形用户接口
(GU
I)
的网络嗅探器，能够完成与
Tc
ｐ
dump
相同
的功能，但操作界面要友
好很多。Ｅｈ
t
ｅ
rea
ｌ和
Tcp
ｄ
um
ｐ都依赖于
p
ｃ
ap<
/p>
库
（
libpcap
）
，
因此两者在许多方面非常相似
(
如都
使用
相同的过滤规则和关键字）
。
Ｅ
thereal
< br>和其它图形化的网络嗅探器都
使用
相同的界面模式
,
如果能熟练地
使用
Ｅ
th
ｅ
r
ｅ
ａ
l
，那么其它图形用户界面的嗅探器基本都可以操作。
１
.
E
ｔ
her
ｅ
al
的安装
?
由于
Ｅ
the
ｒ
e
ａ
l
需要
WinP
ｃ
a
ｐ库
,
所以先安装
WinPcap_2_
ｅ
,
再安装
E
ｔ
here
ａ
l.
ｅ
xe
。
?
２
< br>.
设置
Ethereal
的过
滤规则
?
当编译并安装好
Ｅｔ
he
ｒｅ
al<
/p>
后，就可以执行“
ｅ
th
ｅ
real
”命令来启动
Et
he
ｒ
ea
ｌ
。在用
Ｅｔ
herea
ｌ
截获数据包之前，应该为其设置相应的过滤规则
,
可
以
只捕获感兴趣的数据包。
Ethere
ａ
l
使用
与
T
ｃｐ
dum
ｐ相似的过滤规则
(
详见下面
的“
５<
/p>
.
过滤规则实例
”
),
并且可以很方便地存储已经设置好的过滤规则。要为
Ｅ<
/p>
ｔ
here
ａ
l
配置过滤规则
,
首先单击“Eｄｉt”
选单
,
然后选择“Cａ
pt
ｕ
re F
ｉ
lters
．
.
．”菜单项
,
打开“Eｄｉ
t
Capture
Ｆ
ilte
ｒ
Ｌist”对话框
(
如下图所
示）。因为此时还没有添加任何过滤规则，因而该对话框右侧的列表框是空的。
< br>
在
Et
ｈｅ
real
中添加过滤器时，需要为该过滤器指定名字及规则。例如，
要在主机
10.1.197.162
和间创建过滤器，可以在“Ｆ
ilt
ｅ
r
nam
ｅ”编辑框内输
入过滤器名字“sohu”,在“Filｔｅr
string”编辑框内输入过滤规则“hｏｓ
t
1
０
.1
．
197.1<
/p>
６
2 a
ｎd ”,然后单击“New”
按钮即可
,
如下图所示。
在
Ｅ
t
ｈ
erea
ｌ
中
使用
的过滤规则和Ｔｃｐ
du
ｍ
p
几乎完全一
致，这是因为
两者都基于ｐｃａｐ库的缘故。
Etherea<
/p>
ｌ
能够同时维护很多个过滤器。
网络管理
员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。例如
,
一个过滤器可能用于截获两个主机间的数据包，而另一个则可能用于截获
Ｉ
CMP
包来诊断网络故障。
?
<
/p>
当所有需要的过滤器都创建好后
,
单击“
Ｓ
a
ｖe”
按钮保存创建的过滤器
,
然后单击“Close”按钮来关闭“Edｉ
t
C
ａｐｔ
ur
ｅ
Fil
ｔ
er
Li
ｓt”对话框。要将过滤器应用于嗅探过程，需要在截获数据包之前或
之后指定过滤器。要为嗅探过程指定过滤器，并开始截获数据包，
可以单击
“Cap
ｔ
ur
ｅ”选单
,
选择“Ｓｔart...”选单项
,
打开“Capture Oｐ
t
ｉｏns”对话框<
/p>
,
单击该对话框中的“Fｉ
lt
ｅr:”按钮，然后选择要
使用
的过滤器，如下
图所示。
-
-
-
-
-
-
-
-
-
上一篇：十一种Bypass绕过waf方法(1)(1)
下一篇：Camera 驱动和编程