Ethereal 使用

Ethereal

标签 ： 网络抓包工具

界面菜单

File : 这个菜单包含：打开文件 、合并文件、保存、打印、导出文件
Edit : 这个菜单包含：查找包、时间参照、···
View : 这个菜单控制捕获数据的显示，包括：给定特定的一类包标以不同的颜色、字体缩放、在一个新窗口中显示一个包、展开&折叠详细信息面板的树状结构
Go : 这个菜单实现转到一个特定包
Capture : 这个菜单实现开始、停止捕获，编辑捕获过滤条件的功能
Analyze : 这个菜单包含编辑显示过滤、enable(开)或disable(关)协议解码器、配置用户指定的解码方法、追踪一个TCP 流
Statistics : 该菜单完成统计功能。包括捕获的包的一个摘要、基于协议的包的数量等树状统计图等许多功
Help : 这个菜单包含了一些对用户有用的信息。比如基本帮助、支持的协议列表、手册页、在线访问到网站等等

嗅探选项

1. Interface（接口）

首先要选择合适的接口，也就是网卡，如果不选择合适的接口，可能捕获不到数据包。
如果一台机器同时拥有以太网网卡和无线网络网卡，你必须选择其中一个进行监测。
2. IP address(IP 地址)
所选接口卡的IP 地址。如果不能解析出IP 地址，则显示”unknown”。
3. Link-layer header type(链路层头类型)
除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。
4. Buffer size: n megabyte(s) (缓冲区大小：n 兆)
输入捕获时使用的buffer 的大小。这是核心buffer 的大小，捕获的数据首先保存在这里，直到写入磁盘。
如果遇到包丢失的情况，增加这个值可能解决问题。实验中保持默认值。
5. Capture packets in promiscuous mode (在混杂模式捕获包)
这个选项允许设置是否将网卡设置在混杂模式。
如果不指定，Ethereal 仅仅捕获那些进入你的计算机的或送出你的计算机的包。(而不是LAN 网段上的所有包)。
要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。可以选。
6. Limit each packet to n bytes (限制每一个包为n 字节)
这个字段设置每一个数据包的最大捕获的数据量。有时称作snaplen 。
如果disable 这个选项默认是65535, 对于大多数协议来讲足够了，保持默认值。
7. Capture Filter(捕获过滤)
这个字段指定一个捕获过滤。默认是空的，即没过滤。
也可以点击标为Capture Filter 的按钮, Ethereal 将弹出Capture Filters(捕获过滤)对话框，来建立或者选择一个过滤。
8. Capture File（捕获文件）
可以指定将捕获的分组直接保存在一个文件中，而不是在内存中。选择一个合适的文件夹，将捕获的信息存入。
9. Use Multiple Files（使用多个文件）
使用这个选项，分组可以被写入多个文件。这些控制对于捕获较大较长的跟踪记录是很重要的。
10. Stop Capture（停止捕获）
可以设定一些停止捕获的选项，自动停止捕获。
11. Name Resolution（名字解析）
在任何可能的情况下，可以要求Ethereal把分中不同的数字翻译成为人们易读的名字。如：启用MAC地址转换，Ethereal会将一部分地址转化为厂商的名称。如启用网络地址转换，Ethereal会试图将一个网络地址（201.100.1.9的IP地址）转化为一个主机名，如www.foo.com。
12. Update list of packets in real time （实时更新分组列表）
每个新的分组都会被添加到主窗口中的分组列表中去。

过滤语法

过滤器名称  Filter name   (自定义起名)
过滤法则    Filter string （规范语法使用）
过滤语法    由 表示式 和 and/or/not 组成

host http://www.example.com and not (port 80 or port 25) //圆括号优先级较高
host http://www.example.com and not port 80 and not port 25 

src host 192.168.1.1          //只捕获  源IP   地址的包,可加上src关键字
dst host 192.168.255.255      //只捕获  目的IP 地址的包,可加上dst关键字

udp dst port 53 //捕获客户机发送UDP请求数据包到DNS（端口号53）服务器的情况
udp src port 53 //要探测DNS服务器对客户机的响应数据包

host 192.168.1.1              //捕获IPv4地址（源或目的地址）的流量
host 2::8100:2:30a:c392:fc5a  //捕获IPv6地址的主机流量

host Billgates        //捕获域名
host www.google.com   //捕获域名解析

src net 192.168.100.0/24  //用net关键字来捕获指定子网的数据包
ether host 00:d0:f8:00:00:03  //捕获 MAC地址为 00:d0:f8:00:00:03 网络设备通信的所有报文
port 4559 //