实验三网络协议分析器Ethereal
一、实验目的和要求
•了解网络协议分析器Ethereal的基本知识
•掌握Ethereal安装过程
•掌握使用Ethereal捕捉数据包的方法
•能对捕获到的包简单分析
二、实验内容
安装Ethereal软件和相应的WinpCap软件，启动Ethereal并设置相应的选项，捕获一段记录。
三、实验设备
PC机、Ethereal软件、WinpCap软件
四、背景知识
Ethereal是一个有名的网络端口探测器，是可以在Linux、Solaris、SGI等各种平台运行的网络监听软件，它主要是针对TCP/IP协议的不安全性对运行该协议的机器进行监听。
其功能相当于Windows下的Sniffer，都是在一个共享的网络环境下对数据包进行捕捉和分析，而且还能够自由地为其增加某些插件以实现额外功能。
Ethernet网络监测工具可在实时模式或离线模式中用来捕获和分析网络通信。
下面是使用Ethereal 可以完成的几个工作：
网络管理员使用它去帮助解决网络问题
✧网络安全工程师用它去测试安全问题
✧开发人员用它是调试协议的实现过程
✧用它还可以帮助人员深入的学习网络协议
下面是Ethereal 提供的一些特性：
✧支持UNIX 平台和Windows 平台。
✧从网络接口上捕获实时数据包
✧以非常详细的协议方式显示数据包
✧可以打开或者存贮捕获的数据包
✧导入/导出数据包，从/到其它的捕获程序
✧按多种方式过滤数据包
✧按多种方式查找数据包
✧根据过滤条件，以不同的颜色显示数据包
✧可以建立多种统计数据
五、实验步骤
1、安装Ethereal和 WinpCap。
有的Ethereal中自带WinpCap就不需要再另外安装了。
实验室里面一般安装好了。
下载地址：
安装好后，桌面上会出现“”图标，为Ethereal的桌面快捷方式。
2、启动Ethereal，界面如下：
图1 Ethereal启动界面
最初的窗口中没有数据，因为还没有开始捕获数据包，首先来认识一下界面。
Ethereal主窗口有很多的GUI程序组成：
(1) File(文件)：这个菜单包含：打开文件、合并文件、保存/打印/导出整个或部分捕获文件、退出。
(2) Edit(编辑)这个菜单包括：查找包、时间参照、标记一个或多个包、设置参数、(剪切、复制、粘贴)。
(3) View(查看)：这个菜单控制捕获数据的显示，包括：给定特定的一类包标以不同的颜色、字体缩放、在一个新窗口中显示一个包、展开&折叠详细信息面板的树状结构。
(4) Go：这个菜单实现转到一个特定包。
(5) Capture(捕获)：这个菜单实现开始、停止捕获，编辑捕获过滤条
件的功能。
(6) Analyze(分析)：这个菜单包含编辑显示过滤、enable(开)或disable(关)协议解码器、配置用户指定的解码方法、追踪一个TCP 流。
(7) Statistics(统计)：该菜单完成统计功能。
包括捕获的包的一个摘要、基于协议的包的数量等树状统计图等许多功
(8) Help(帮助)这个菜单包含了一些对用户有用的信息。
比如基本帮助、支持的协议列表、手册页、在线访问到网站等等。
3、使用Capture Options对话框。
要想获得一个跟踪记录，我们首先从Capture(捕获)菜单中选择“Capture Options”（捕获选项）,并用Capture Options对话框来指定跟踪记录的各个方面。
图2 Caption Options 选项框
（1）Interface（接口）
首先要选择合适的接口，也就是网卡，如何不选择合适的接口，可能捕获不到数据包。
图2中黄色框1，这个字段指定在哪个接口进行捕获。
这是一个下拉字段，只能从中选择Ethereal 识别出来的接口，要想捕获到数据，首先要选择正确的适配器（网卡），如果一台机器同时拥有以太网网卡和无线网络网卡，你必须选择其中一个进行监测。
（2）IP address(IP 地址)
所选接口卡的IP 地址。
如果不能解析出IP 地址，则显示
"unknown"。
（3）Link-layer header type(链路层头类型)
除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。
（4）Buffer size: n megabyte(s) (缓冲区大小：n 兆)
输入捕获时使用的buffer 的大小。
这是核心buffer 的大小，捕获的数据首先保存在这里，直到写入磁盘。
如果遇到包丢失的情况，增加这个值可能解决问题。
本实验中保持默认值。
（5） Capture packets in promiscuous mode (在混杂模式捕获包，绿色框2)
这个选项允许设置是否将网卡设置在混杂模式。
如果不指定，Ethereal 仅仅捕获那些进入你的计算机的或送出你的计算机的包。
(而不是LAN 网段上的所有包)。
要想把网络接口设置为混杂模式，需要对这台计算机具有管理员特权。
本实验中保持默认值。
（6）Limit each packet to n bytes (限制每一个包为n 字节)
这个字段设置每一个数据包的最大捕获的数据量。
有时称作snaplen 。
如果disable 这个选项默认是65535, 对于大多数协议来讲中够了。
本实验中保持默认值。
（7） Capture Filter(捕获过滤，蓝色框3)
这个字段指定一个捕获过滤。
“在捕获时进行过滤”部分进行讨论。
默认是空的，即没过过滤。
也可以点击标为Capture Filter 的按钮,
Ethereal 将弹出Capture Filters(捕获过滤)对话框，来建立或者选择一个过滤。
例如，你可以用下面的过滤器来捕获那些只从IP地址192.168.0.1发出和发往它的分组：host 192.168.0.1。
Ethereal过滤器功能很强，但是需要学习一种简单的过滤语言。
本实验中保持默认值，暂时不需设置。
（8）Capture File（捕获文件，紫色框4）
可以指定将捕获的分组直接保存在一个文件中，而不是在内存中。
选择一个合适的文件夹，将捕获的信息存入。
（9）Use Multiple Files（使用多个文件，枚红色框5）
使用这个选项，分组可以被写入多个文件。
这些控制对于捕获较大较长的跟踪记录是很重要的。
本实验中保持默认值。
（10）Stop Capture（停止捕获）
可以设定一些停止捕获的选项，自动停止捕获。
本实验中保持默认值。
（11）Name Resolution（名字解析，黑色框7）
在任何可能的情况下，可以要求Ethereal把分中不同的数字翻译成为人们易读的名字。
如：启用MAC地址转换，Ethereal会将一部分地址转化为厂商的名称。
如启用网络地址转换，Ethereal会试图将一个网络地址（201.100.1.9的IP地址）转化为一个主机名，如。
本实验中保持默认值。
（12）Update list of packets in real time （实时更新分组列表，
红色框6）
每个新的分组都会被添加到主窗口中的分组列表中去。
本实验中请勾选。
4、开始捕获数据包。
上述的各项选择好后，点击“start”开始捕获数据包，下图为捕获时的情形。
图2 捕获数据包
这个窗口概述了被捕捉的各种类型包的量。
5、停止捕获。
大约等一段时间后（30-60秒），点击“stop”按钮，停止捕获后，会弹出下面的窗体，显示了刚才捕获到的包。
图3 网络分析器Ethereal 主界面
上图中标示出了主界面的各个部分，大家要仔细观察，了解捕获的内容。
6、完成捕获。
恭喜你！现在，你拥有了刚才在你的电脑通过网络进行交换的协议消息，你已经完成了一次成功的协议数据捕获。
六、思考题
Q1、你没有手动进行网络访问操作，但还是抓到了一些数据，请列出你抓到的各种包的协议名称，并上网查询下这些包分别是起什么作用的？各是由谁发出的？
Q2、从你抓到的第一个包到最后一个包持续的时间是多久？ （默认 time 列显示的是开始捕获后的以秒为单位的持续时间，如果要在 time 列
捕捉包序号 捕捉时间 目的地址 源地址 上层协议 包内容提要
菜单栏
工具栏
过滤器工具栏
包概况窗
体
协议树
窗体
协议树
窗体
包的16进制代码区 包的ASCII 代码区
以time-of-day 格式显示，请选择 Ethereal 的 View 下拉菜单，然后选择时间显示格式为Time-of-day）
Q3、导出这些数据，你可以在 Ethereal 的 File 命令菜单中选择save 菜单，作为实验报告的结果。