实验三网络协议分析器Ethereal
一、实验目的和要求
•了解网络协议分析器Ethereal的基本知识
•掌握Ethereal安装过程
•掌握使用Ethereal捕捉数据包的方法
•能对捕获到的包简单分析
二、实验内容
安装Ethereal软件和相应的WinpCap软件，启动Ethereal并设置相应的选项，捕获一段记录。
三、实验设备
PC机、Ethereal软件、WinpCap软件
四、背景知识
Ethereal是一个有名的网络端口探测器，是可以在Linux、Solaris、SGI等各种平台运行的网络监听软件，它主要是针对TCP/IP协议的不安全性对运行该协议的机器进行监听。其功能相当于Windows下的Sniffer，都是在一个共享的网络环境下对数据包进行捕捉和分析，而且还能够自由地为其增加某些插件以实现额外功能。Ethernet网络监测工具可在实时模式或离线模式中用来捕获和分析网络通信。
下面是使用Ethereal 可以完成的几个工作：
网络管理员使用它去帮助解决网络问题
✧网络安全工程师用它去测试安全问题
✧开发人员用它是调试协议的实现过程
✧用它还可以帮助人员深入的学习网络协议
下面是Ethereal 提供的一些特性：
✧支持UNIX 平台和Windows 平台。
✧从网络接口上捕获实时数据包
✧以非常详细的协议方式显示数据包
✧可以打开或者存贮捕获的数据包
✧导入/导出数据包，从/到其它的捕获程序
✧按多种方式过滤数据包
✧按多种方式查找数据包
✧根据过滤条件，以不同的颜色显示数据包
✧可以建立多种统计数据
五、实验步骤
1、安装Ethereal和 WinpCap。
有的Ethereal中自带WinpCap就不需要再另外安装了。实验室里面一般安装好了。
下载地址：
安装好后，桌面上会出现“”图标，为Ethereal的桌面快捷方式。
2、启动Ethereal，界面如下：
图1 Ethereal启动界面
最初的窗口中没有数据，因为还没有开始捕获数据包，首先来认识一下界面。
Ethereal主窗口有很多的GUI程序组成：
(1) File(文件)：这个菜单包含：打开文件、合并文件、保存/打印/导出整个或部分捕获文件、退出。
(2) Edit(编辑)这个菜单包括：查找包、时间参照、标记一个或多个包、设置参数、(剪切、复制、粘贴)。
(3) View(查看)：这个菜单控制捕获数据的显示，包括：给定特定的一类包标以不同的颜色、字体缩放、在一个新窗口中显示一个包、展开&折叠详细信息面板的树状结构。
(4) Go：这个菜单实现转到一个特定包。
(5) Capture(捕获)：这个菜单实现开始、停止捕获，编辑捕获过滤条
件的功能。
(6) Analyze(分析)：这个菜单包含编辑显示过滤、enable(开)或disable(关)协议解码器、配置用户指定的解码方法、追踪一个TCP 流。
(7) Statistics(统计)：该菜单完成统计功能。包括捕获的包的一个摘要、基于协议的包的数量等树状统计图等许多功
(8) Help(帮助)这个菜单包含了一些对用户有用的信息。比如基本帮助、支持的协议列表、手册页、在线访问到网站等等。
3、使用Capture Options对话框。
要想获得一个跟踪记录，我们首先从Capture(捕获)菜单中选择“Capture Options”（捕获选项）,并用Capture Options对话框来指定跟踪记录的各个方面。
图2 Caption Options 选项框
（1）Interface（接口）
首先要选择合适的接口，也就是网卡，如何不选择合适的接口，可能捕获不到数据包。
图2中黄色框1，这个字段指定在哪个接口进行捕获。这是一个下拉字段，只能从中选择Ethereal 识别出来的接口，要想捕获到数据，首先要选择正确的适配器（网卡），如果一台机器同时拥有以太网网卡和无线网络网卡，你必须选择其中一个进行监测。
（2）IP address(IP 地址)
所选接口卡的IP 地址。如果不能解析出IP 地址，则显示
"unknown"。
（3）Link-layer header type(链路层头类型)
除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。
（4）Buffer size: n megabyte(s) (缓冲区大小：n 兆)
输入捕获时使用的buffer 的大小。这是核心buffer 的大小，捕获的数据首先保存在这里，直到写入磁盘。如果遇到包丢失的情况，增加这个值可能解决问题。
本实验中保持默认值。
（5） Capture packets in promiscuous mode (在混杂模式捕获包，绿色框2)
这个选项允许设置是否将网卡设置在混杂模式。如果不指定，Ethereal 仅仅捕获那些进入你的计算机的或送出你的计算机的包。(而不是LAN 网段上的所有包)。
要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。
本实验中保持默认值。
（6）Limit each packet to n bytes (限制每一个包为n 字节)
这个字段设置每一个数据包的最大捕获的数据量。有时称作snaplen 。如果disable 这个选项默认是65535, 对于大多数协议来讲中够了。
本实验中保持默认值。
（7） Capture Filter(捕获过滤，蓝色框3)
这个字段指定一个捕获过滤。“在捕获时进行过滤”部分进行讨论。默认是空的，即没过过滤。也可以点击标为Capture Filter 的按钮,