Sniffer功能和使用详解
一Sniffer介绍
Sniffer，中文翻译为嗅探器，是一种基于被动侦听原理的网络分析方式。使用这种技术方式，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文
的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。Sniffer技术常常被黑客们用来截获用户的口令，据说某个骨干网络的路由器网段曾经被黑客攻入，并嗅探到大量的用户口令。但实际上Sniffer技术被广泛地应用于网络故障诊断、协议分析、应用性能分析和网
络Sniffer的分类
如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。
二sniffer pro
Sniffer软件是NAI公司推出的功能强大的协议分析软件。
Sniffer Pro - 功能
●捕获网络流量进行详细分析
●利用专家分析系统诊断问题
●实时监控网络活动
●收集网络利用率和错误等
使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。因此，网络中捕获的流量越多，建议Sniffer系统应该有一个速度尽可能快的计算机。
1. Sniffer Pro计算机的连接
要使Sniffer能够正常捕获到网络中的数据，安装Sniffer的连接位置非常重要，必须将它安装在网络中合适的位置，才能捕获到内、外部网络之间数据的传输。如果随意安装在网络中的任何一个地址段，Sniffer就不能正确抓取数据，而且有可能丢失重要的通信内容。一般来说，Sniffer应该安装在内部网络与外部网络通信的中间位置，如代理服务器上，也可以安装在笔记本电脑上。当哪个网段出现问题时，直接带着该笔记本电脑连接到交换机或者路由器上，就可以检测到网络故障，非常方便。
(1) 监控Internet连接共享
如果网络中使用代理服务器，局域网借助代理服务器实现Internet连接共享，并且交换机为傻瓜交换机时，可以直接将Sniffer Pro安装在代理服务器上，这样，Sniffer
Pro就可以非常方便地捕获局域网和Internet之间传输的数据。
如果核心交换机为智能交换机，那么最好的方式是采用端口映射的方式，将局域网出口(连接代理服务器或者路由器的端口)映射为另外一个端口，并将Sniffer Pro计算机连接至该映射端口。例如，在交换机上，与外部网络连接的端口设为A，连接笔记本电脑的端口设置为B，将笔记本电脑的网卡与B端口连接，然后将A和B做端口映射，使得A端口传输的数据可以从B端口监测到，这样，Sniffer就可以监测整个局域网中的数据了。
2. 设置监控网卡
如果计算机上安装了多个网卡，在首次运行Sniffer Pro时，需要选择要监控的网卡，应该选择代理网卡或者连接交换机端口的网卡。当下次运行时，Sniffer Pro就会自动选择同样的代理。
1 启动sniffer pro
在安装sniffer pro之前需要安装Win_cap（监听包），然后选择网络适配器如图1.1，如果没有出现则点击”新建”,如图1.2：
●（描述）Description：为该网卡设置一个名称，可以是关于该网卡的描述。
●（网络适配器）Network：该下拉列表中列出了本地计算机上的所有网卡，可以
选择要使用的网卡。
●（netpod类型）Netpod Configuration：在这里可以设置高速以太网Pod，为了
使以太网可以以全双工模式工作，在“Netpod”下拉列表中选择“Full Duplex
Pod(全双工Pod)”选项，在“Netpod IP”框中输入Sniffer Pro系统的网络适
配器的IP地址再加1。例如，Sniffer Pro IP地址为192.168.1.1，Netpod IP地
址就必须设置为192.168.1.2。全双工Pod要求有静态IP地址，所以应该禁用
DHCP。
●（拷贝设置从）Copy settings：在该下拉列表中显示了本地计算机中以前定义
过的网卡设置，可以选择一种配置，将其复制到该新添加的网卡中。
设置完成以后单击“OK”按钮，添加到“Settings”对话框中，然后就可以选择监控该网卡了。
图1.1 选择网络适配器
图1.2 添加网络适配器
图1.3 Sniffer pro 协议分析器主界面2.认识sniffer pro 界面
2.1 仪表盘
首先我们能看到的是三个类似汽车仪表的图象，从左到右依次为“Utiliz ation%网络使用率”，“Packets/s数据包传输率”，“Error/s错误数据情况”。其中红色区域是警戒区域，如果发现有指针到了红色区域我们就该引起一定的重视了，说明网络线路不好或者网络使用压力负荷太大。一般我们浏览网页的情况，使用率不高，传输情况也是9到30个数据包每秒，错误数基本没有。
在Sniffer主窗口中，默认会显示Dashboard(仪表盘)窗口，共显示了三个仪表盘，即“Utilization%”“Packets/s”“Errors/s”，分别用来显示网络利用率、传输的数据和错误统计。
(1) Utilization%(利用率百分比)
用传输量与端口能处理的最大带宽值的比值来表示线路使用带宽的百分比。表盘的红色区域表示警戒值，表盘下方有两个数字，第一个数字代表当前利用率百分比，第二个是最大的利用率百分比数值。监控网络利用率是网络分析中很重要的部分。但是，网络数据流通常都是突发型的，一个几秒钟内爆发的数据流和能在长时间保持活性数据流的重要性是不同的。表示网络利用率的理想方法要因网络不同而改变，而且很大程度上要取决于网络的拓扑结构。在以太网端口，利用率到40%，效率可能已经很高了，但是在全双工可转换端口，80%的利用率才是高效的。
(2) Packets/s(每秒传输的数据包)
显示当前数据包的传输速度。同样，红色区域表示警戒值，下方的数字显示当前的数据包传输速度及其峰值。根据数据包速率可以得出网络上流量类型的一些重要信息。例如，如果网络利用率很高，而数据包传输速度相对较低，则说明网络上的帧比较大;而如果网络利用率很高，数据包传输速率也很高，说明帧比较小。通过查看规模分布的统计结果，可以更详细的了解帧的大小。
(3) Errors/s(每秒产生的错误)
该表盘可显示当前出错率和最大出错率。不过，并非所有的错误都产生故障。例如，以太网中经常会发生冲突，并不一定会对网络造成影响，但过多的冲突就会带来问题。
如果要重新设定仪表盘的值，可以单击仪表盘窗口上方的Reset(重置)按钮。
2.2 主机表。对单个主机进行分析
图2.2主机显示表
通过这个表我们可以对网络内的单个工作站进行数据捕获，排序可以按照MAC地址、IP地址和IPX协议。实际上在大部分的情况下一旦网络出现异常，可以在第一时间直观的通过HostTable功能找到问题的根源，在这个表种显示了每台计算机的上行速率和下行速率，用来分析各主机的通信量。
在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。
图 2.3 查看捕获面板
图2.4 显示面板统计信息
捕获面板能够显示捕获保温的大小，以及显示缓冲器的使用率，
2.3 矩阵
图 2.3 局域网正常数据传输
矩阵用于直观的显示整个网络的数据传输情况。上图位局域网正常的数据传输，当出现异常情况时出现下图2.3.1，一台主机跟多台计算机在通信，如果发生在服务器上，是正常的，但是这种情况发生在其它非服务器的计算机上就有可能是攻击行为了。
图 2.3.1 局域网内主机异常通信
点击查看“饼图”可以查看那台计算机的流量最大（如下图）。
图 5.2 饼图显示各主机通信量
3 ART 监控 请求响应时间
图3.1
4 历史取样
图 4.1 历史取样图
5.协议分布
协议分布，列出局域网
内计算机使用协议的
分布图，如图5.1
图 5.1 协议分布图
此试图能够检测网络当中各计算机使用的网络协议，包括FTP、HTTP、ICMP、DNS等，
并监测其数据流量。
6 定义过滤器，设置缓冲大小
选择捕获—定义过滤器
图6.1 选择定义过滤器
图 6.2 设置缓冲器大小
二捕获报文查看
Sniffer软件提供了强大的分析能力和解码功能。如下图所示，对于捕获的报文提供了一
个Expert专家分析系统进行分析，还有解码选项及图形和表格的统计信息。
专家分析
专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。
在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方
便了解网络中高层协议出现故障的可能点。
对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都
可以通过查看帮助来了解起产生的原因。
解码分析
下图是对捕获报文进行解码的显示，通常分为三部分，目前大部分此类软件结构都采用
这种结构显示。对于解码主要要求分析人员对协议比较熟悉，这样才能看懂解析出来的
报文。使用该软件是很简单的事情，要能够利用软件解码分析来解决问题关键是要对各
种层次的协议了解的比较透彻。工具软件只是提供一个辅助的手段。因涉及的内容太
多，这里不对协议进行过多讲解，请参阅其他相关资料。
对于MAC地址，Snffier软件进行了头部的替换，如00e0fc开头的就替换成Huawei，这
样有利于了解网络上各种相关设备的制造厂商信息。
功能是按照过滤器设置的过滤规则进行数据的捕获或显示。在菜单上的位置分别为Capture->Define Filter和Display->Define Filter。
过滤器可以根据物理地址或IP地址和协议选择进行组合筛选。
在最上面的窗口中显示了捕获的帧和捕获的顺序、“Source Address(源地址)”、“Dest Address(目的地址)”、“Summary(摘要信息)”以及时间等信息。此时可以选中需要的帧左侧的复选框，然后就可以保存为新的捕获文件。选择“Display”菜单中的“Save Select”选项，即将选择的帧保存为新的捕获文件;选择“Select Range(选择范围)”选项可以选择全部帧、取消对全部范围的选择，或者选择和取消任何一个范围的选择。
UDP文件头信息
以太报文结构
EthernetII以太网帧结构
Ethernet_II以太网帧类型报文结构为：目的MAC地址（6bytes）＋源MAC地址＋（6bytes）上层协议类型（2bytes）＋数据字段（46-1500bytes)＋校验（4bytes）Ethernet_II
DMAC SMAC Type DATA/PAD FCS
Sniffer会在捕获报文的时候自动记录捕获的时间，在解码显示时显示出来，在分析问题时提供了很好的时间记录。
源目的MAC地址在解码框中可以将前3字节代表厂商的字段翻译出来，方便定位问题，
例如网络上2台设备IP地址设置冲突，可以通过解码翻译出厂商信息方便的将故障设备
找到，如00e0fc为华为，010042为Cisco等等。如果需要查看详细的MAC地址用鼠标在
解码框中点击此MAC地址，在下面的表格中会突出显示该地址的16进制编码。
IP网络来说Ethertype字段承载的时上层协议的类型主要包括0x800为IP协议，0x806为ARP协议。
IP协议
IP报文结构为IP协议头＋载荷，其中对IP协议头部的分析，时分析IP报文的主要内容之一，关于IP报文详细信息请参考相关资料。这里给出了IP协议头部的一个结构。
版本：4——IPv4
首部长度：单位为4字节，最大60字节
TOS：IP优先级字段
总长度：单位字节，最大65535字节
标识：IP报文标识字段
标志：占3比特，只用到低位的两个比特
MF（More Fragment）
MF=1，后面还有分片的数据包
MF=0，分片数据包的
最后一个
DF（Don't Fragment）
DF=1，不允许分片
DF=0，允许分片
段偏移：分片后的分组在原分组中的相对位置，总共13比特，单位为8字节
寿命：TTL（Time To Live）丢弃TTL=0的报文
协议：携带的是何种协议报文
1 ：ICMP
6 ：TCP
17：UDP
89：OSPF
头部检验和：对IP协议首部的校验和
源IP地址：IP报文的源地址
目的IP地址：IP报文的目的地址
IP文件头信息
上图为Sniffer对IP协议首部的解码分析结构，和IP首部各个字段相对应，并给出了各个
字段值所表示含义的英文解释。如上图报文协议（Protocol）字段的编码为0x11，通过
Sniffer解码分析转换为十进制的17，代表UDP协议。其他字段的解码含义可以与此类
似，只要对协议理解的比较清楚对解码内容的理解将会变的很容易
●Version(版本)：版本序号为4，代表IPv4。
?Header length：Internet文件头长度，为20个字节。
●Type of service(服务类型值)：该值为00，我们会看到ToS下面一直到总长度部分都是0。
这里可以提供服务质量(QoS)信息;每个二进制数位的意义都不同，这取决于最初的设定。
例如，正常延迟设定为0，说明没有设定为低延迟，如果是低延迟，设定值应该为1。
?Total length(总长度)：显示该数据的总长度，为Internet文件头和数据的长度之和。
?Identification：该数值是文件头的标识符部分，当数据包被划分成几段传送时，接
收数据的主机可以用这个数值来重新组装数据。
?Flag(标记)：数据包的“标记”功能，例如，数据包分段用0标记，未分段用1标记。
?Fragment offset(分段差距)：分段差距为0个字节。可以设定0代表最后一段，或者设
定1代表更多区段，这里该值为0。分段差距用来说明某个区段属于数据包的哪个部分。
?Time to live(保存时间)：表示TTL值的大小，说明一个数据包可以保存多久。
?Protocol(协议)：显示协议值，在Sniffer Pro中代表传输层协议。文件头的协议部分
只说明要使用的下一个上层协议是什么，这里为UDP。
?Header checksum(校验和)：这里显示了校验和(只在这个头文件中使用)的值，并且已
经做了标记，表明这个数值是正确的。
?Source address(源地址)：显示了数据的来源地址。
?Destination address(目的地址)：显示了数据访问的目的地址。
?IP文件头下面为TCP或者UDP文件头，这里为UDP协议(如图14所示)。
使用Sniffer工具分析以太网帧和IP数据报 一、实验目的 通过使用Sniffer Pro软件掌握Sniffer(嗅探器)工具的使用方法，实现捕捉FTP、HTTP等协议的数据包，以理解TCP／IP协议中多种协议的数据结构。 二、实验原理 Sniffer即网络嗅探器，用于监听网络中的数据包，分析网络性能和故障。Sniffer 主要用于网络管理和网络维护，系统管理员通过Sniffer可以诊断出通过常规工具难以解决的网络疑难问题，包括计算机之间的异常通信、不同网络协议的通信流量、每个数据包的源地址和目的地址等，它将提供非常详细的信息。 通常每个网络接口都有一个互不相同的硬件地址(MAC地址)，同时，每个网段有一个在此网段中广播数据包的广播地址(代表所有的接口地址)。一般情况下，一个网络接口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，并由操作系统进一步进行处理，同时丢弃不是发给自己的数据帧。 通过Sniffer工具，可以将网络接口设置为“混杂”(promiscuous)模式。在这种模式下，网络接口就处于一个对网络进行“监听”的状态，它可以监听此网络中传输的所有数据帧-而不管数据帧的目标地址是广播地址还是自己或者其它网络接口的地址了。它将对遭遇的每一个数据帧产生硬件中断．交由操作系统对这个帧进行处理，比如截获这个数据帧，进而实现实时分析数据帧中包含的内容。 当然，如果一个数据帧没有发送到目标主机的网络接口，则目标主机将无法监听到该帧。所以Sniffer所能监听到的信息将仅限于在同一个物理网络内传送的数据帧．就是说和监听的目标中间不能有路由(交换)或其它屏蔽广播包的设备。因此。当Sniffer 工作在由集线器(hub)构建的广播型局域网时，它可以监听到此物理网络内所有传送的数据；而对于由交换机(switch)和路由器(router)构建的网络中，由于这些网络设备只根据目标地址分发数据帧，所以在这种网络中，Sniffer工具就只能监测到目标地址是自己的数据帧再加上针对广播地址的数据帧了。 Sniffer工作在OSI模型中的第2层，它一般在已经进入对方系统的情况下使用。实验中要注意，虽然Sniffer能得到在局域网中传送的大量数据，但是不加选择的接收所有的数据包，并且进行长时间的监听，那么你需要分析的数据量将是非常巨大的，并且会浪费大量硬盘空间。 Sniffer工具分为软件和硬件两大类，在这里我们主要以Sniffer Pro软件为例对Sniffer工具的使用方法和功能进行简单的介绍。当然，Sniffer软件工具还有很多种，例如 SQLServerSniffer、FsSniffer等，它们的功能和使用的环境有所不同，如果读者感兴趣，可以自己进行深入探索。 对于Sniffer工具的防范可以从以下几个方面进行：首先，如果通过网管工具发现在局域网内存在长时间占用较大带宽的计算机，这台计算机可能在进行嗅探：其次，Sniffer的记录文件增长很快，通过分析文件系统大小的变换情况，可以找到这个文件；最后，如果计算机的网络接口处于混杂模式下(在Unix环境下通过ifconfig -a命令查看网络接口状态)，则它很可能运行了Sniffer。通过上面的几种方法，可以对Sniffer 进行分析监测。除了这些间接分析方法外，还可以利用AntiSniff工具，它具有直接检测Sniffer的功能，从而可以对Sniffer进行有效防范。
目录 第1章 Sniffer软件简介............................................................................................................ 1-1 1.1 概述.................................................................................................................................... 1-1 1.2 功能简介............................................................................................................................. 1-1第2章报文捕获解析................................................................................................................ 2-1 2.1 捕获面板............................................................................................................................. 2-1 2.2 捕获过程报文统计.............................................................................................................. 2-1 2.3捕获报文查看..................................................................................................................... 2-2 2.4设置捕获条件..................................................................................................................... 2-4第3章报文放送 ...................................................................................................................... 3-1 3.1 编辑报文发送 ..................................................................................................................... 3-1 3.2捕获编辑报文发送 ............................................................................................................. 3-2第4章网络监视功能................................................................................................................ 4-1 4.1 Dashbord ........................................................................................................................... 4-1 4.2 Application Response Time (ART) .................................................................................... 4-1第5章数据报文解码详解......................................................................................................... 5-1 5.1数据报文分层..................................................................................................................... 5-1 5.2以太报文结构..................................................................................................................... 5-1 5.3 IP协议................................................................................................................................ 5-3 5.4 ARP协议............................................................................................................................ 5-5 5.5 PPPOE协议......................................................................................................................... 5-6 5.6 Radius协议 ....................................................................................................................... 5-9
sniffer使用及图解 sniffer软件的安装还是比较简单的，我们只需要按照常规安装方法进行即可。需要说明的是: 在选择sniffer pro的安装目录时，默认是安装在c:\program files\nai\snifferNT目录中，我们可以通过旁边的Browse按钮修改路径，不过为了更好的使用还是建议各位用默认路径进行安装。 在注册用户时，随便输入注册信息即可，不过EMAIL一定要符合规范，需要带“@”。（如图1） 注册诸多数据后我们就来到设置网络连接状况了，一般对于企业用户只要不是通过“代理服务器”上网的都可以选择第一项——direct connection to the internet。（如图2）
接下来才是真正的复制sniffer pro必需文件到本地硬盘，完成所有操作后出现setup complete提示，我们点finish按钮完成安装工作。 由于我们在使用sniffer pro时需要将网卡的监听模式切换为混杂，所以不重新启动计算机是无法实现切换功能的，因此在安装的最后，软件会提示重新启动计算机，我们按照提示操作即可。（如图3） 重新启动计算机后我们可以通过sniffer pro来监测网络中的数据包。我们通过“开始->所有程序->sniffer pro->sniffer”来启动该程序。 第一步：默认情况下sniffer pro会自动选择你的网卡进行监听，不过如果不能自动选择或者本地计算机有多个网卡的话，就需要我们手工指定网卡了。方法是通过软件的file菜单下的select settings来完成。 第二步：在settings窗口中我们选择准备监听的那块网卡，记得要把右下角的“LOG ON”前打上对勾才能生效，最后点“确定”按钮即可。（如图4） 第三步：选择完毕后我们就进入了网卡监听模式，这种模式下将监视本机网卡流量和错误数据包的情况。首先我们能看到的是三个类似汽车仪表的图象，
sniffer使用及图解 注：sniffer使用及图解sniffer pro 汉化注册版下载 黑白影院高清免费在线电影聚集网无聚集无生活，聚集网络经典资源下载 sniffer软件的安装还是比较简单的，我们只需要按照常规安装方法进行即可。需要说明的是: 在选择sniffer pro的安装目录时，默认是安装在c:\program files\nai\snifferNT目录中，我们可以通过旁边的Browse按钮修改路径，不过为了更好的使用还是建议各位用默认路径进行安装。 在注册用户时，随便输入注册信息即可，不过EMAIL一定要符合规范，需要带“@”。（如图1） 图1 点击放大 注册诸多数据后我们就来到设置网络连接状况了，一般对于企业用户只要不是通过“代理服务器”上网的都可以选择第一项——direct connection to the internet。（如图2） 图2 接下来才是真正的复制sniffer pro必需文件到本地硬盘，完成所有操作后出现setup complete提示，我们点finish按钮完成安装工作。 由于我们在使用sniffer pro时需要将网卡的监听模式切换为混杂，所以不重新启动计算机是无法实现切换功能的，因此在安装的最后，软件会提示重新启动计算机，我们按照提示操作即可。（如图3） 重新启动计算机后我们可以通过sniffer pro来监测网络中的数据包。我们通过“开始->所有程序->sniffer pro->sniffer”来启动该程序。 第一步：默认情况下sniffer pro会自动选择你的网卡进行监听，不过如果不能自动选择或者本地计算机有多个网卡的话，就需要我们手工指定网卡了。方法是通过软件的file菜单下的select settings来完成。 第二步：在settings窗口中我们选择准备监听的那块网卡，记得要把右下角的“LOG ON”前打上对勾才能生效，最后点“确定”按钮即可。（如图4） 图4 第三步：选择完毕后我们就进入了网卡监听模式，这种模式下将监视本机网卡流量和错误数据包的情况。首先我们能看到的是三个类似汽车仪表的图象，从左到右依次为“Utiliz ation%网络使用率”，“Packets/s 数据包传输率”，“Error/s错误数据情况”。其中红色区域是警戒区域，如果发现有指针到了红色区域我们就该引起一定的重视了，说明网络线路不好或者网络使用压力负荷太大。一般我们浏览网页的情况和我图11中显示的类似，使用率不高，传输情况也是9到30个数据包每秒，错误数基本没有。（如图5） 图5
目录 第1章 Sniffer软件简介 .............................................................................................................. 1-1 1.1 概述.................................................................................................................................... 1-1 1.2 功能简介............................................................................................................................. 1-1第2章报文捕获解析.................................................................................................................. 2-1 2.1 捕获面板............................................................................................................................. 2-1 2.2 捕获过程报文统计.............................................................................................................. 2-1 2.3捕获报文查看..................................................................................................................... 2-2 2.4设置捕获条件..................................................................................................................... 2-4第3章报文放送 ........................................................................................................................ 3-1 3.1 编辑报文发送 ..................................................................................................................... 3-1 3.2捕获编辑报文发送 ............................................................................................................. 3-2第4章网络监视功能.................................................................................................................. 4-1 4.1 Dashbord ........................................................................................................................... 4-1 4.2 Application Response Time (ART) .................................................................................... 4-1第5章数据报文解码详解 .......................................................................................................... 5-1 5.1数据报文分层..................................................................................................................... 5-1 5.2以太报文结构..................................................................................................................... 5-1 5.3 IP协议 ................................................................................................................................ 5-3 5.4 ARP协议 ............................................................................................................................ 5-5 5.5 PPPOE协议.......................................................................................................................... 5-6 5.6 Radius协议 ........................................................................................................................ 5-9
实验一Sniffer Pro的使用 【实验目的】 1) 熟练掌握Sniffer Pro对数据包捕获的使用方法。 2) 掌握利用Sniffer Pro进行数据包结构分析、进而理解协议对数据的封装。 【实验环境】 Windows XP、2003 Server等系统，Sniffer Pro软件。 【实验内容】 第一部分：学习sniffer 1．首先，打开Sniffer Pro程序，如果系统要求的话，还要选择一个适配器（使用哪个网卡）。打开了程序后，会看到图中的屏幕。 图1 Sniffer Pro程序主界面 2．打开Sniffer Pro程序后，选择Capture（捕获）－Start（开始），或者使用F10键，或者是工具栏上的开始箭头。因为捕获过程需要几分钟才能完成，这时我们可以先了解如何自定义Sniffer Pro高级与捕获窗口，这样后面就可以节省一点时间。 3．下面，在Sniffer Pro程序中，会看到高级系统（Expert）被自动调用，如图2所示。打开这个窗口后，不会看到任何东西，除非停止捕获过程才可以查看内容。让捕获过程持续运行一段时间，这时可以自定义高级系统，这样就能实时地看到不断出现的问题。
图2 开始捕获过程时调用高级系统 4．浏览图2中的屏幕。高级窗口这时会滚动到窗口左边，只能看到工具栏，而没有任何详细资料。如果要查看详细资料，就要找到高级窗口对话框左上角的箭头，这个箭头在“层次”这个词的右边。单击这个箭头后，会显示出高级功能的另一部分窗口，如图3所示。 5．你可以看到我们能自定义Sniffer Pro程序用于将来的捕获过程，所以我们在下面要对如何使用高级功能进行分析。如果要进一步自定义我们的Sniffe Pro高级功能，就要在一个视图中显示所有定义对象的详细资料。如果再看一次图3，你会发现在高级对话框的最右边有两个卷标：一个是“总结”卷标，另一个是“对象”卷标。在图4中，你会看到这两个卷标都消失了，被两个窗口取代。如果要改变视图，只需要将鼠标停在图4中圈起的位置，这时箭头的形状会改变，然后可以将这一栏上移，就可以看到Sniffer Pro高级窗口中对象的所有详细资料了。 图3 在高级系统中查看更多的细节
Sniffer功能和使用详解 一Sniffer介绍 Sniffer，中文翻译为嗅探器，是一种基于被动侦听原理的网络分析方式。使用这种技术方式，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文 的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。Sniffer技术常常被黑客们用来截获用户的口令，据说某个骨干网络的路由器网段曾经被黑客攻入，并嗅探到大量的用户口令。但实际上Sniffer技术被广泛地应用于网络故障诊断、协议分析、应用性能分析和网 络Sniffer的分类 如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。 二sniffer pro Sniffer软件是NAI公司推出的功能强大的协议分析软件。 Sniffer Pro - 功能 ●捕获网络流量进行详细分析 ●利用专家分析系统诊断问题 ●实时监控网络活动 ●收集网络利用率和错误等 使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。因此，网络中捕获的流量越多，建议Sniffer系统应该有一个速度尽可能快的计算机。 1. Sniffer Pro计算机的连接 要使Sniffer能够正常捕获到网络中的数据，安装Sniffer的连接位置非常重要，必须将它安装在网络中合适的位置，才能捕获到内、外部网络之间数据的传输。如果随意安装在网络中的任何一个地址段，Sniffer就不能正确抓取数据，而且有可能丢失重要的通信内容。一般来说，Sniffer应该安装在内部网络与外部网络通信的中间位置，如代理服务器上，也可以安装在笔记本电脑上。当哪个网段出现问题时，直接带着该笔记本电脑连接到交换机或者路由器上，就可以检测到网络故障，非常方便。 (1) 监控Internet连接共享 如果网络中使用代理服务器，局域网借助代理服务器实现Internet连接共享，并且交换机为傻瓜交换机时，可以直接将Sniffer Pro安装在代理服务器上，这样，Sniffer
sniffer pro的使用 先来看看， sniffer pro Dashboard 网络流量表 Host Table 网络连接表，可以直观的看出连接你的主机，还可以用MAC/IP/IPX，三种显示。 Applicatien Response Time 主机回应指数，可以选择协议的， TCP/UDP下的http.Ftp 等等。 Matrix （让我想到黑客帝国）这里是查看网路连结，很立体的那种。 Protocol Distribution 显示网络中协议的使用量， IP/ARP/IPX Global statistics 整体网络使用显示 下面是Capture 下的选项: Start 开始捕捉
Display 显示 Define Filter 设置过滤 下面是Tools 下的选项: Address Book 地址本 Packet Generator 数据发送机 Ping 工具 (这些都是常用的工具） Trace Route Dns lookup Finger Who is Customize user Tools 用户自定义工具，可自己把工具加上去。选项 高级选项 大体上是这样了！现就抓几个包来看看啦！ 1. Telnet密码 1.1 由本机连接到别的开telnet的主机 和netxray的用法一样， Define filter ---> advanced
在协议中选上 IP/TCP/TELNET, 然后Packet Size --> Equal 55, Packet Type --> Normal.截取的数据包: 当你想停止sniff时，按capture --> stop en display , 然后会选Decode 就可一看到数据包的内容了!你就可一在 Summary 中看到用户和密码，从上往下， chi就是用户名。 1.2 本地主机开了Telnet, 并进行监听 这里也许会麻烦点，不过是为了过滤掉没用的Tcp数据包，好， Capture --> Define filter -> Advanced
IRIS Traffic Analyzer简易教程 说到Sniffer软件大家可能马上就能想起NAI的Sniffer Pro。Sniffer Pro虽然功能特性丰富，但是操作起来有些繁缛。再这里我给大家介绍一款简单实用的Sniffer软件，那就是我们今天的主角：Iris Traffic Analyzer。我将以Iris Traffic Analyzer 4.0.7为蓝本结合几个简单案例给大家简单讲讲Iris的使用 一．IRIS特性简介 Iris师出名门---eeye，eeye是一家以网络安全见长的公司，它的扫描器以及其他安全方案在业界也算鼎鼎大名了。 好了，我也不废话了，先简单但说说Iris有哪些特性和优点。 简单小巧 Iris的最大特点，在你安装完成之后，只需简单的点一下界面上一个按钮就可以开始Sniffing抓包了！ Iris的安装文件也不到5M，安装下来才占用10多M。对比Sniffer Pro这些而言可谓苗条身材。
见下图中话圆圈的地方： 易上手 没有那么繁多的功能+简单易用的界面。上手当然是易如反掌。 再说说Iris有那些值得称道的功能。 （1）抓包 嘿嘿，只要是Sniffing软件这个功能是必备的！ Iris的一个非常好的方面就是把抓包和Decode，察看包的内容集成在一个界面里面。这样你就可以在一边抓包一边察看包的内容，以及包头含义等等。 （2）解码 支持大部分的TCP/IP协议！这样对一般的抓包分析应用就已经足够了。 （3）包的编辑以及重新发送功能 你可以对自己抓到的数据报文进行简单修改然后重新发送。 同时，IRIS也带简单的流量统计分析功能 二．IRIS的安装
1捕获面板 报文捕获功能可以在报文捕获面板中进行完成，如下是捕获面板的功能图：图中显示的是处于开始状态的面板 2捕获过程报文统计 在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。 3捕获报文查看
Sniffer软件提供了强大的分析能力和解码功能。如下图所示，对于捕获的报文提供了一个Expert专家分析系统进行分析，还有解码选项及图形和表格的统计信息。 专家分析 专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。 在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。 对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。
解码分析 下图是对捕获报文进行解码的显示，通常分为三部分，目前大部分此类软件结构都采用这种结构显示。对于解码主要要求分析人员对协议比较熟悉，这样才能看懂解析出来的报文。使用该软件是很简单的事情，要能够利用软件解码分析来解决问题关键是要对各种层次的协议了解的比较透彻。工具软件只是提供一个辅助的手段。因涉及的内容太多，这里不对协议进行过多讲解，请参阅其他相关资料。 对于MAC地址，Snffier软件进行了头部的替换，如00e0fc开头的就替换成Huawei，这样有利于了解网络上各种相关设备的制造厂商信息。
功能是按照过滤器设置的过滤规则进行数据的捕获或显示。在菜单上的位置分别为 Capture->Define Filter和Display->Define Filter。过滤器可以根据物理地址或IP地址和协议选择进行组合筛选。 统计分析 对于Matrix，Host Table，Portocol Dist. Statistics等提供了丰富的按照地址，协议等内容做了丰富的组合统计，比较简单，可以通过操作很快掌握这里就不再详细介绍了。 4设置捕获条件 基本捕获条件 基本的捕获条件有两种： 1、链路层捕获，按源MAC和目的MAC地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。 2、IP层捕获，按源IP和目的IP进行捕获。输入方式为点间隔方式，
Sniffer嗅探、抓包实验 实验目的 通过实验，掌握常用嗅探工具的安装与使用方法，理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构，了解FTP、HTTP等协议明文传输的特性，建立安全意识，防止此类协议传输明文造成的泄密。 建议实验工具 Sniffer Pro、FsSniffer或SQLServerSniffer等、至少两台安装了Windows 2000或XP的PC机，其中一台安装Sniffer软件，两台PC机互联。 实验用时 3学时（约120分钟） 实验原理 Sniffer即网络嗅探器，用于监听网络中的数据包，分析网络性能和故障，主要用于网络管理和维护，通过它，可以诊断处通过常规工具难以解决的疑难问题，包括计算机之间的异常通信，不同网络协议的通信流量，每个数据包的源地址和目的地址等，可以提供非常详细的信息。 实验步骤： 1、首先安装Sniffer软件。安装过程有关图片如下：如果此过程速度比较缓慢，一般与电脑速度较慢有关。安装完成后重新启动计算机。注意：需要重新启动才可以使用sniffer。 2、启动Sniffer。可以看到它的 界面如下：包括工具栏、网络监视面 板、多种视图等，其中，Dashboard可以监控网络的利用率、流量、及错误报文等内容，从Host table可以直观的看出连接的主机，用其IP显示。 3、获取被监视方机器的IP，假设A机监视B机的活动，A应知道B机的IP 地址，在实验环境下，操作B机的同学可以输入Ipconfig命令查询自己的IP 地址，并告之操作A机的同学。 4、选中Monitor菜单下的Matirx或直接点击网络性能监视快捷键，可以看到网络中的Traffic Map视图，单击左下角的MAC地址，IP地址或IPX使视图
①虚拟机安装： 实验环境： 操作系统Microsoft Windows 8 专业版(64位) CPU (英特尔)Intel(R) Core(TM) i7-3517U CPU @ 1.90GHz(2401 MHz) 主板华硕S400CA 内存12.00 GB ( 1600 MHz) 主硬盘500 GB (希捷ST500LT012-9WS142 已使用时间: 2715小时) 显卡Intel(R) HD Graphics 4000 (2112 MB) 显示器LG LG Display 32位真彩色60Hz 声卡High Definition Audio 设备 网卡Qualcomm Atheros AR9485WB-EG Wireless Network Adapter 虚拟机版本：Vmware 9.0 一.下载XP系统的光盘镜像(可在内网下载浙师大版的XP) 二.虚拟机软件的安装 桌面上下载完的文件 解压得到 先运行setup，将软件安装到电脑上，注册码可以在注册机中生成，然后汉化，汉化需要先将VM相关的服务停止才可以，右击计算机-管理-服务与应用程序-服务
将VMware的相关服务的启动类型改为停用，然后将汉化文件覆盖到安装目录中，汉化就完成了，下面是汉化好的VMware 9.0：(网上最新有10.0，支持原生中文) VM的图标： 系统托盘的图标： 主界面：
三.虚拟系统的安装与配置选择文件-新建虚拟机 选择自定义，下一步
兼容性选择9.0就行，下一步 选择安装盘的位置，软件会自动识别操作系统版本，然后下一步
从网上找一个XP系统的密钥，然后下一步 设定虚拟机的名称和位置，下一步
实训一、网络诊断工具Sniffer的使用 一、Sniffer工具介绍 概述 Sniffer软件是NAI公司推出的功能强大的协议分析软件。本文针对用Sniffer Pro网络分析器进行故障解决。利用Sniffer Pro 网络分析器的强大功能和特 征，解决网络问题，将介绍一套合理的故障解决方法。 与Netxray比较，Sniffer支持的协议更丰富，例如PPPOE协议等在Netxray 并不支持，在Sniffer上能够进行快速解码分析。Netxray不能在Windows 2000 和Windows XP上正常运行，Sniffer Pro 4.6可以运行在各种Windows平台上。 Sniffer软件比较大，运行时需要的计算机内存比较大，否则运行比较慢，这 也是它与Netxray相比的一个缺点。 功能简介 下面列出了Sniffer软件的一些功能介绍，其功能的详细介绍可以参考Sniffer 的在线帮助。 捕获网络流量进行详细分析 利用专家分析系统诊断问题 实时监控网络活动 收集网络利用率和错误等 在进行流量捕获之前首先选择网络适配器，确定从计算机的哪个网络适配器 上接收数据。位置：File->select settings 选择网络适配器后才能正常工作。该软件安装在Windows 98操作系统上，Sniffer可以选择拨号适配器对窄带拨号进行操作。如果安装了EnterNet500等PPPOE软件还可以选择虚拟出的PPPOE 网卡。对于安装在Windows 2000/XP上则无上述功能，这和操作系统有关。 本文将对报文的捕获几网络性能监视等功能进行详细的介绍。下图为在软件中快捷键的位置。
Sniffer的数据包分析与防范 【摘要】本文首先阐述了当前信息监听的重要意义，并简单介绍了目前比较常见的信息监听软件Sniffer的特点及工作原理。然后系统地介绍了网络中几种重要的协议的数据报格式，在此基础上，介绍Snifer对这几种协议进行的解码分析，通过Sniffer的分析能够清楚地看到几种数据报的详细内容。 鉴于Sniffer对信息的监听，本文提出了几种防范Sniffer监听的方法，主要有防火墙技术、加密技术等。最后，针对当前我国的信息监听面临的形势，提出了自己对信息监听技术发展前景的看法。 关键字：信息监听 Sniffer 数据包分析信息安全 Sniffer的防范 1．信息监听的意义； 我国的网络正在快速发展中，相应的问题也就显现出来，网络管理及相关应用自然将越发重要，而监听技术正是网络管理和应用的基础，其意义当然重要，随着中国网络的发展，监听系统必将大有用武之地，因此监听技术的研究已是时势的要求。 监听技术有助于网络管理、故障报警及恢复，也就是运用强大的专家分析系统帮助维护人员在最短时间内排除网络故障。 2、Sniffer的介绍； Sniffer Pro是一款一流的便携式网管和应用故障诊断分析软件，不管是在有线网络还是在无线网络中，它都能够给予网管管理人员实时的网络监视、数据包捕获以及故障诊断分析能力。进行快速的网络和应用问题故障诊断，基于便携式软件的解决方案具备最高的性价比，却能够让用户获得强大的网管和应用故障诊断功能。Sniffer程序是一种利用以太网的特性把网络适配卡置为杂乱模式状态的工具，一旦同卡设置为这种模式，它就能接收传输在网络上的每一个信息包。 Sniffer之所以著名，是因它在很多方面都做的很好，它可以监听到网上传输的所有信息。Sniffer可以是硬件也可以是软件。主要用来接收在网络上传输的信息。网络是可以运行在各种协议之下的，包括以太网Ethernet、TCP/IP 等等，也可以是集中协议的联合体系。 Sniffer的优点是易于安装部署，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，具备支持各类扩展的链路捕获能力以及高性能的数据实时捕获分析的功能。 Sniffer是个非常之危险的东西，它可以截获口令，可以截获到本来是秘密的或者专用信道内的信息，截获到信用卡号、经济数据、E-mail等等，更加可以用来攻击与己相临的网络。 3、网络数据包的结构；
实验二 网络抓包——sniffer pro 的使用 实验目的： 1. 了解网络嗅探的原理； 2. 掌握Sniffer Pro 嗅探器的使用方法； 实验学时：2课时 实验形式：上机 实验器材： 联网的PC 机 实验环境：操作系统为Windows2000/XP 实验内容： 任务一 熟悉Sniffer Pro 工具的使用 任务二 使用Sniffer Pro 抓获数据包 实验步骤： 任务一 熟悉Sniffer Pro 工具的使用 1. Sniffer Pro 工具简介 Sniffer 软件是NAI 公司推出的功能强大的协议分析软件，具有捕获网络流量进行详细分析、利用专家分析系统诊断问题、实时监控网络活动和收集网络利用率和错误等功能，实验中使用Sniffer Pro4.7.5来截获网络中传输的FTP 和HTTP 数据包，并进行分析。 2. 使用说明 在sniffer pro 初次启动时，可能会提示选择一个网络适配器进行镜像，如图1所示，此时正确选择接入网络的网卡，这样sniffer pro 才可以把网卡设置为混杂（Promiscuous ）模式，以接收在网络上传输的数据包。 Sniffer Pro 运行后的主界面如图2所示。 （1 ）工具栏简介如图3所示。 图1 网卡设置 图2 sniffer pro 主界面 图3工具栏
快捷键的含义如图4所示。 （2 ）网络监视面板简介 在捕获过程中可以通过Capture Panel 查看网络的利用率、捕获报文的数量和缓冲区的利用率,如图 5所示。 （3）捕获数据包窗口简介 Sniffer 软件提供了强大的分析能力和解码功能。如图6所示，对于捕获的报文提供了一个Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。 专家分析 专家分析系统提供了一个智能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。 在图7中显示出在网络中WINS 查询失败的次数及TCP 重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。 捕获停止 捕获条件 选择捕获捕获开始 捕获暂停 捕获停止并查看捕获查看 编辑条件 图4 快捷键含义 图5 Capture Panel 图6 捕获数据窗口
超级网络嗅探器——Sniffer pro 的使用 Sniffer软件是NAI公司推出的功能强大的协议分析软件。实现对网络的监控，更深入地了解网络存在的问题，检测和修复网络故障和安全问题。 Sniffer可以监听到网上传输的所有信息，主要用来接收在网络上传输的信息。 Sniffer可以截获口令、专用信道内的信息、信用卡号、经济数据、E-mail等，还可以用来攻击与自己相临的网络。 Sniffer的功能主要包括如下几方面： 捕获网络流量进行详细分析。 利用专家分析系统诊断问题。 实时监控网络活动情况。 监控单个工作站、会话或者网络中任何一部分的网络利用情况和错误统计。 支持主要的LAN、WAN和网络技术。 提供在位和字节水平过滤数据包的能力。 1 Sniffer Pro的启动和设置 2 理解Sniffer Pro主要4种功能组件的作用： 监视：实时解码并显示网络通信流中的数据。 捕获：抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用。 分析：利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。 显示：对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。 3 学会sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。 环境： windows XP， windows 7，能访问INTERNET。
Sniffer pro主界面 在默认情况下，Sniffer将捕获其接入的域中流经的所有数据包，但在某些场景下，有些数据包可能不是我们所需要的，为了快速定位网络问题所在，有必要对所要捕获的数据包作过滤。Sniffer提供了捕获数据包前的过滤规则的定义，过滤规则包括2、3层地址的定义和几百种协议的定义。 定义过滤规则的做法一般如下： (1) 在主界面选择【Capture】→【Define Filter】。 (2) 在“Define Filter”对话框中选择“Address”选项卡，这是最常用的定义。其中包括MAC地址、IP地址和IPX地址的定义。以定义IP地址过滤为例，如图3-20所示。 图3-20 定义IP地址过滤 (3) 在“Define Filter”对话框中选择“Advanced”选项卡，定义希望捕获的相关协议