实验一使用Ethereal工具分析网络协议一、实验目的通过使用Ethereal软件掌握Sniffer（嗅探器）工具的使用方法，实现捕捉网络协议的数据包，以理解TCP/IP协议族中多种协议的数据结构以及多种协议的交互过程。
二、实验环境安装Windows 2000/XP的PC机，在每一台上安装Ethereal软件。
将PC机通过路由器/交换机相连，组成一个局域网。
三、实验内容和步骤（1）Ethereal 使用说明1、Ethereal 简介Ethereal是一款免费的网络协议分析程序，支持Unix、Windows。
借助这个程序，你既可以直接从网络上抓取数据进行分析，也可以对由其他嗅探器抓取后保存在硬盘上的数据进行分析。
你能交互式地浏览抓取到的数据包，查看每一个数据包的摘要和详细信息。
Ethereal有多种强大的特征，如支持几乎所有的协议、丰富的过滤语言、易于查看TCP会话经重构后的数据流等。
它的主要特点为：∙支持Unix系统和Windows系统∙可以根据不同的标准进行包过滤∙通过过滤来查找所需要的包∙根据过滤规则，用不同的颜色来显示不同的包∙提供了多种分析和统计工具，实现对信息包的分析2、Ethereal 安装安装软件可以从网站上下载。
3、Ethereal操作指导3.1 Ethereal 操作界面Ethereal软件界面如图上图所示，在这个窗口上，整个界面环境分为三个窗口，最上面的窗口是抓包列表窗口，经过Ethereal软件抓包后的数据包都会列在这个窗口中，同时你可以根据抓包序列号，抓包时间、源地址、目标地址、协议等进行包列表的排序，这样你可以很容易的找到你所需要的信息包。
中间的窗口中显示的是抓包列表上所选择的包对应的各层协议说明，其中，协议层次信息以树型的结构进行显示。
最下面的窗口是数据窗口，显示的是上层窗口选中的信息包的具体数据，同时，在中间树型窗口中所选择的某一协议数据域的内容，在数据窗口中会被突出地显示出来。
3.2 Ethereal 界面菜单菜单中主要有以下几个部分：File：这个子菜单下的操作与Windows菜单下File下的操作类似，包括了文件的打开，保存、打印以及系统的退出等等。
不过这里的文件仅仅指的是抓包文件。
Edit：这个子菜单下所包含的操作有：查找某一个特定的帧、跳到某个帧、在一个或更多的帧上打上标记、设置首选项、设置过滤、协议剖析允许/不允许等。
在这个菜单下，Windows界面中的一些常用的操作，例如剪切、复制、粘贴等将不再使用。
Capture：在这个菜单下进行开始抓包和停止抓包的操作。
3.3 相关操作3.3.1 抓包3.3.2 Capture options选项对话框Interfaces：指定在哪个网卡上抓包。
一般情况下都是单网卡，所以使用缺省的就可以了。
Capture packets in promiscuous mode：是否打开混杂模式。
如果打开，抓取所有的数据包。
一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。
Limit each packet：限制每个包的大小，缺省情况不限制。
Filter：过滤器。
只抓取满足过滤规则的包。
File：如果需要将抓到的包写到文件中，在这里输入文件名称。
ring buffer：是否使用循环缓冲。
缺省情况下不使用，即一直抓包。
注意，循环缓冲只有在写文件的时候才有效。
如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。
其他项：选择缺省的就可以了。
3.3.3 过滤设置抓包过滤器用来抓取感兴趣的包，用在抓包过程中。
抓包过滤器使用的是libcap 过滤器语言，在tcpdump 的手册中有详细的解释，基本结构是：[not] primitive [and|or [not] primitive ...]，如下：Ethereal提供了两种过滤设置方式：1）、一种是在抓包以前进行设置，通过此设置，整个抓包过程将只抓取用户所需要的特定的数据包。
2）、另一种方式是在抓包以后进行设置。
3.3.3.1 在抓包前进行过滤设置在抓包前进行过滤设置，是在抓包选项设置对话框中进行的（见上图）。
只需在Filter栏中填入特定的设置语句。
Ethereal使用libpcap filter语言来进行抓包的过滤设置。
过滤表达式由一系列简单的表达式和连词（and、or、not）组成：[not] primitive [and|or [not] primitive ...]过滤表达式的用法：抓取一个特定的主机的telnet数据包的过滤设置tcp port 23 and host 10.0.0.5通过这个过滤表达式，可以抓取从主机10.0.0.5发出或发向该主机的所有的telnet 数据包。
抓取除了来自/发往某主机的telnet数据包的过滤设置tcp port 23 and not host 10.0.0.5在过滤设置字符串中，primitive表达式通常由以下几种形式组成：1）、[src|dst] host <host>此表达式通过IP地址/主机名来过滤一个特定的主机，通过前缀src或dst选择源/目的主机。
如果不注明src或者dst，则将抓到流向/流出该主机的所有数据包。
例如：抓取从主机172.18.66.66发出的数据包：src host 172.18.66.662）、ether [src|dst] host <ehost>此表达式用于过滤以太网上流入/流出特定的主机的数据包，不同的是ehost 是以太网地址，为主机的物理地址。
例如：抓取发往物理地址为00：04：76：42：24：80的数据包ether dst host 00：04：76：42：24：803）、[src|dst] net <net> [{mask <mask>}|{len <len>}]此表达式根据网络地址来过滤来自/发往特定的网络的数据包。
例如：抓取发往/发自网络172.18.0.0的数据包net 172.18.0.0 mask 255.255.0.04）、[tcp|udp] [src|dst] port <port>此表达式可以设置过滤来自/发往特定的tcp/udp协议端口的数据包。
例如：抓取SNMP协议数据包udp port 1615）、less|greater <length>此表达式用于过滤数据包长度小于等于/大于等于特定长度的数据包。
例如：抓取数据包长度小于400byte的数据包less 4006）、ip|ether proto <protocol>此表达式用于过滤IP层/数据链路层（Ethernet层）上特定的协议数据包。
例如：抓取IP层上UDP数据报ip proto UDP7）、ether|ip broadcast|multicast此表达式用于过滤IP/Ethernet的广播包/多播包8）、<expr> relop <expr>此表达式用于创建复杂的过滤表达式，用于选择数据包中特定byte的数据或者某一段数据。
3.3.3.2 在抓包后进行过滤设置只需要在filter文本框中填入相应的表达式即可。
如下图：注：如果Filter的背景是绿色的，证明所设定的Filter是合乎规则的；如果Filter 的背景是红色的，证明所设定的Filter是Ethereal不允许的，是错误的。
3.3.4 分析数据包内容中间是协议树，通过协议树可以得到被截获的数据包的更多信息，如主机的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口号(Transmission Control Protocol)，以及HTTP协议的具体内容(Hypertext Trnasfer Protocol)。
通过扩展协议树中的相应节点，可以得到该数据包中携带的更详尽的信息。
最下边是以十六制显示的数据包的具体内容，这是被截获的数据包在物理媒体上传输时的最终形式，当在协议树中选中某行时，与其对应的十六进制代码同样会被选中，这样就可以很方便地对各种协议的数据包进行分析。
（2）实验1、以太网帧结构通过Ethereal抓包，并观察以太帧结构，如下图：1.2 Ethernet Example捕捉并显示所有从本地机器发出和接收的数据包。
1）获取本地MAC地址：在命令行输入 arp -a2）通过Ethereal抓包。
方法一：将Ethereal的capture filter 的filter string设置为：eth.addr==00.17.9a.ce.81.08方法二：将主界面上Filter设置为：eth.addr==00.17.9a.ce.81.082、IP报头结构2.1 IP协议概述IP提供无连接的数据转发，是Internet数据通信的基础IP提供的是最底层的、最基础的一部分这种服务是不提供服务保证的，分组可能丢失、延迟，也不通知发送方或接受方。
一个分组序列有可能沿着不同的路径发送。
服务是全力转发，不因为资源耗尽或网络故障而停止，因而会引起丢失等不可靠的情形出现。
2.2 IP 数据报结构通过Ethereal查看IP数据报报头，如下图：通过Ethereal查看IP地址为192.168.0.103的数据包3、ARP协议3.1 ARP协议概述ARP协议（Address Resolution Protocol），即地址解析协议。
ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。
整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。
3.2 ARP命令在安装了以太网网络适配器的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。
在Windows中要查看或者修改ARP缓存中的信息，可以使用arp命令来完成，比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP 缓存中的内容；键入“arp -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。
arp命令的其它用法可以键入“arp /?”查看到。
3.2 ARP协议应用举例为了解释ARP协议的作用，就必须理解数据在网络上的传输过程。
这里举一个简单的PING例子。
假设我们的计算机IP地址是192.168.1.1，要执行这个命令：ping192.168.1.2。
![[工学]协议分析软件Ethereal的使用](https://img.taocdn.com/s1/m/9d96b0b0011ca300a7c39078.png)
