用Ethereal解析HTTP数据包.doc

创新实验（论文） 题目 用Ethereal分析HTTP数据包 院（系） 专业 班 学生姓名 学 号 指导教师 开题日期：2010 年 6 月 10 日 用Ethereal分析HTTP数据包 Ethereal （Ethereal：A Network Packet Sniffing Tool）是当前较为流行的一种计算机网络调试和数据包嗅探软件。Ethereal 基本类似于tcpdump，但Ethereal 还具有设计完美的GUI和众多分类信息及过滤选项。用户通过 Ethereal，同时将网卡插入混合模式，可以查看到网络中发送的所有通信流量。 Ethereal 应用于故障修复、分析、软件和协议开发以及教育领域。它具有用户对协议分析器所期望的所有标准特征，并具有其它同类产品所不具备的有关特征。Ethereal是一个图形用户接口（GUI）的网络嗅探器，能够完成与Tcpdump相同的功能，但操作界面要友好很多。Ehtereal和Tcpdump都依赖于pcap库（libpcap），因此两者在许多方面非常相似（如都使用相同的过滤规则和关键字）。Ethereal和其它图形化的网络嗅探器都使用相同的界面模式，如果能熟练地使用Ethereal，那么其它图形用户界面的嗅探器基本都可以操作。Ethereal 是一种开发源代码的许可软件，允许用户向其中添加改进方案。Ethereal 适用于当前所有较为流行的计算机系统，包括 Unix、Linux 和 WindowsEthereal 可以读取从 tcpdump（libpcap）、网络通用嗅探器（被压缩和未被压缩）、SnifferTM 专业版、NetXrayTM、Sun snoop 和 atmsnoop、Shomiti/Finisar 测试员、AIX 的 iptrace、Microsoft 的网络监控器处捕获的文件。此外 Ethereal 也能从 Lucent/Ascend WAN 路由器和 Toshiba ISDN 路由器中读取跟踪报告，还能从 VMS 的 TCPIP 读取输出文本和 DBS Etherwatch。Ethereal的安装1）安装winpcap 2）安装Ethereal 　　启动ethereal 以后，选择菜单Capature-Start ，就OK 了。当你不想抓的时候，按一下stop， 抓的包就会显示在面板中，并且已经分析好了。 　　interface: 指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以了 　　Limit each packet: 限制每个包的大小，缺省情况不限制 　　Capture packets in promiscuous mode: 是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。 　　Filter：过滤器。只抓取满足过滤规则的包（可暂时略过） 　　File：如果需要将抓到的包写到文件中，在这里输入文件名称。 　　use ring buffer： 是否使用循环缓冲。缺省情况下不使用，即一直抓包。注意，循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷 设置Ethereal的过滤规则： (1)一个原语：一个原语即一条最基本的过滤规则(2)用 “and”、“or”、“not”关系去处运算符，以及括号组合起来的原语。其中“and”的含义是它所连接的两个原语必须都成立；“or”的含义是它所连接的两个原语只要有一个成立即可；“not”的含义是它后面跟的原语不成立；括号的作用是对关系运算顺序作出规定。00:e0:fc:58:bc:a3的通信数据包，例如： Ether host 00:e0: 2. 捕获源IP地址为19的通信数据包，例如： src host 19 用PC机监听STB的通信数据包时，常常要用到这个过滤条件，以保证只捕获与STB相关的数据包。 3. 捕获通过80端口来通信的数据包，使用该端口通信的数据包是基于http协议的，例如： tcp port 80 或者为 ip proto http 以上过滤语句还可以通过and、or、not等连接成复合过滤语句。 例如：捕获除了http外的所有通信数据报文 ? and not tcp port 80 Name Resolution：名字解析，可将MAC地址、网络地址、端口地址解析为相应的名称。 Enable MAC na