ethereal抓包工具

ethereal抓包⼯具
ethereal是⽬前⽹络上开源的⼀款功能强⼤的以太⽹抓包⼯具，该软件可以监听异常封包，检测软件封包问题，从⽹络上抓包，并且能对数据包进⾏分析，从⽽帮助⽤户解决各种⽹络故障，更加⽅便查看、监控TCP session动态等等。

ethereal抓包⼯具需要⼀个底层的抓包平台，在Linux中是采⽤Libpcap函数库抓包，在windows系统中采⽤函数库抓包。

软件基本类似于tcpdump，但ethereal还具有设计完美的GUI和众多分类信息及过滤选项。

⽤户通过ethereal，同时将⽹卡插⼊混合模式，可以查看到⽹络中发送的所有通信流量，可以应⽤于故障修复、分析、软件和协议开发以及教育领域。

对于ethereal，有图形界⾯和字符界⾯两种⽅式。

到linux系统上执⾏rpm -qa | grep ethereal-gnome可查看是否安装了图形版本，但是如果服务器上没有xwin图形环境，那么就只能⽤字符界⾯了。

命令：tethereal
可选参数：-V、-f
如果只执⾏tethereal，那么将只抓取数据包的包头，不显⽰⾥边的内容。

加上-V参数后，即可显⽰内容。

-f 参数⽤于过滤，默认情况下将抓取tcp和udp所有协议。

如果想抓取UDP数据包并显⽰内容，则执⾏tethereal -V -f udp 即可另外还可以配合grep命令提取需要的关键内容。

图形化：
ethereal使⽤教程
⼀、打开抓包配置项
1. 设置抓包的⽹卡
2. 设置抓包的过滤项：只有满⾜条件的数据才会被ethereal捕捉，如果不填则捕捉所有的数据包
capture选项
interface: 指定在哪个接⼝（⽹卡）上抓包。

⼀般情况下都是单⽹卡，所以使⽤缺省的就可以了
Limit each packet: 限制每个包的⼤⼩，缺省情况不限制
Capture packets in promiscuous mode: 是否打开混杂模式。

如果打开，抓取所有的数据包。

⼀般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。

Filter：过滤器。

只抓取满⾜过滤规则的包（可暂时略过）
File：如果需要将抓到的包写到⽂件中，在这⾥输⼊⽂件名称。

use ring buffer：是否使⽤循环缓冲。

缺省情况下不使⽤，即⼀直抓包。

注意，循环缓冲只有在写⽂件的时候才有效。

如果使⽤了循环缓冲，还需要设置⽂件的数⽬，⽂件多⼤时回卷
其他的项选择缺省的就可以了
三、开始抓包
点击start按钮，开始抓包
四、停⽌抓包
点击停⽌按钮，停⽌抓包
五、再次开始抓包
如果不需要重新设置抓包的选项，可以直接点击Capture--Start来再次抓包
ethereal主要特征
在实时时间内，从⽹络连接处捕获数据，或者从被捕获⽂件处读取数据；
Ethereal 可以读取从 tcpdump（libpcap）、⽹络通⽤嗅探器（被压缩和未被压缩）、SnifferTM 专业版、NetXrayTM、Sun snoop 和atmsnoop、Shomiti/Finisar 测试员、AIX 的 iptrace、Microsoft 的⽹络监控器、Novell 的 LANalyzer、RADCOM 的 WAN/LAN 分析器、ISDN4BSD 项⽬的 HP-UX nettl 和 i4btrace、Cisco 安全 IDS iplog 和 pppd ⽇志（ pppdump 格式）、WildPacket 的
EtherPeek/TokenPeek/AiroPeek 或者可视⽹络的可视 UpTime 处捕获的⽂件。

此外 Ethereal 也能从 Lucent/Ascend WAN 路由器和Toshiba ISDN 路由器中读取跟踪报告，还能从 VMS 的 TCPIP 读取输出⽂本和 DBS Etherwatch。

从以太⽹、FDDI、PPP、令牌环、IEEE 802.11、ATM 上的 IP 和回路接⼝（⾄少是某些系统，不是所有系统都⽀持这些类型）上读取实时
数据。

通过 GUI 或 TTY 模式 tethereal 程序，可以访问被捕获的⽹络数据。

通过 editcap 程序的命令⾏交换机，有计划地编辑或修改被捕获⽂件。

当前602协议可被分割。

输出⽂件可以被保存或打印为纯⽂本或 PostScript格式。

通过显⽰过滤器精确显⽰数据。

显⽰过滤器也可以选择性地⽤于⾼亮区和颜⾊包摘要信息。

所有或部分被捕获的⽹络跟踪报告都会保存到磁盘中。