计算机网络实验2 分析 Ethernet帧.

实验2：使用包嗅探及协议分析软件Ethereal 分析Ethernet帧.实验内容：1. 在windows中安装Ethereal软件。

2、配置包捕获模式为混杂模式，捕获网络中所有机器的数据包当捕获到一定数量的数据报后，停止捕获，观察捕获到的数据包，并对照解析结果和原始数据包的具体字段（如了解本机网卡地址字段、IP地址字段、端口号等）3、配置包捕获过滤器，只捕获特定IP地址、特定端口或特定类型的包，然后重新开始捕获4. （a）捕捉任何主机发出的Ethernet 802.3格式的帧（帧的长度字段<=1500），Ethereal 的capture filter 的filter string设置为：ether[12:2] <= 1500（b）捕捉任何主机发出的DIX Ethernet V2（即Ethernet II）格式的帧（帧的长度字段>1500, 帧的长度字段实际上是类型字段），Ethereal的capture filter 的filter string 设置为：ether[12:2] > 1500观察并分析帧结构，802.3格式的帧的上一层主要是哪些PDU？是IP、LLC还是其它哪种？观察并分析帧结构，Ethernet II的帧的上一层主要是哪些PDU？是IP、LLC还是其它哪种？5. 捕捉并分析局域网上的所有ethernet broadcast广播帧，Ethereal的capture filter 的filter string设置为：ether broadcast(1). 观察并分析哪些主机在发广播帧，这些帧的高层协议是什么？主要做什么用处？(2). 你的LAN的共享网段上连接了多少台计算机？1分钟内有几个广播帧？有否发生广播风暴？6. 捕捉局域网上的所有ethernet multicast帧，Ethereal的capture filter 的filter string 设置为：ether multicast(1). 观察并分析哪些节点在发multicast帧，这些帧的高层协议是什么？思考问题：1) 本地数据存放的字节顺序和网络包中的字节顺序是否相同？请按照字符型、短整数型和长整数型分别比较。

2) 怎样知道哪些数据包是MAC广播包或IP子网广播包？3) 通过包捕获软件能否捕获到通过交换机连接的计算机发出的包？能够捕捉到其他计算机发出的哪些包？实验时间：2机时。

参考资料：Ethereal自带的帮助文档附：EtheReal分析软件的使用方法ethereal可以用来从网络上抓包，并能对包进行分析。

下面介绍windows下面ethereal 的使用方法。

一、安装1、下载安装winpcap/download/hacker/aidance/2005/0805/87.html2、下载安装ethereal/download/hacker/sniffer/2005/1227/152.html说明：新版本ethereal已经整合winpcap，下载ethereal即可完成安装。

二、使用启动ethereal以后，选择菜单Capature->Start，就OK了。

当你不想抓的时候，按一下stop，抓的包就会显示在面板中，并且已经分析好了。

下面是一个截图：1、ethereal使用－capture选项nterface：指定在哪个接口（网卡）上抓包。

一般情况下都是单网卡，所以使用缺省的就可以了。

Limit each packet：限制每个包的大小，缺省情况不限制。

Capture packets in promiscuous mode：是否打开混杂模式。

如果打开，抓取所有本网卡接收和发送的数据包。

一般情况下只需要监听本机收到或者发出的包，此时可以关闭这个选项。

Filter：过滤器。

只抓取满足过滤规则的包。

File：如果需要将抓到的包写到文件中，在这里输入文件名称。

use ring buffer：是否使用循环缓冲。

缺省情况下不使用，即一直抓包。

注意，循环缓冲只有在写文件的时候才有效。

如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。

其他的项选择缺省的就可以了。

2、ethereal的抓包过滤器抓包过滤器用来抓取感兴趣的包，用在抓包过程中。

抓包过滤器使用的是libcap 过滤器语言，在tcpdump的手册中有详细的解释，基本结构是：[not] primitive [and|or [not] primitive ...]个人观点：如果你想抓取某些特定的数据包时，可以有以下两种方法，你可以任选一种，个人比较偏好第二种方式：（1）在抓包的时候，就先定义好抓包过滤器，这样结果就是只抓到你设定好的那些类型的数据包；（2）先不管三七二十一，把本机收到或者发出的包一股脑的抓下来，然后使用下节介绍的显示过滤器，只让Ethereal 显示那些你想要的那些类型的数据包；3、ethereal的显示过滤器（重点内容）在抓包完成以后，显示过滤器可以用来找到你感兴趣的包，可以根据协议、是否存在某个域、域值、域值之间的比较来查找你感兴趣的包。

举个例子，如果你只想查看使用tcp协议的包，在ethereal窗口的左下角的Filter 中输入tcp，然后回车，ethereal就会只显示tcp 协议的包。

如下图所示：值比较表达式可以使用下面的操作符来构造显示过滤器自然语言类c 表示举例eq ==ip.addr==10.1.10.20ne !=ip.addr!=10.1.10.20gt >frame.pkt_len>10lt <lt < frame.pkt_len<10ge >=frame.pkt_len>=10le <=frame.pkt_len<=10表达式组合可以使用下面的逻辑操作符将表达式组合起来自然语言类c 表示举例and &&：逻辑与ip.addr=10.1.10.20&&tcp.flag.finor ||：逻辑或ip.addr=10.1.10.20||ip.addr=10.1.10.21xor ^^：异或tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == not!：逻辑非!llc例如：我想抓取IP地址是192.168.2.10 的主机，它所接收收或发送的所有的HTTP报文，那么合适的显示Filter （过滤器）就是：4、在ethereal 使用协议插件ethereal 能够支持许多协议，但有些协议需要安装插件以后才能解，比如H.323，以H.323 协议为例：（1）首先下载ethereal 的H.323 插件，下载地址/（2）下载完了以后将文件(h323.dll) 解压到ethereal 安装目录的plugin\0.9.x 目录下面，比如我的是0.9.11。

（3）进行一下设置a、启动etherealb、菜单Edit->Preferencec、单击Protocols 前面的"+"号，展开Protocolsd、找到Q931 ，并单击e、确保"Desegment.... TCP segments" 是选中的（即方框被按下去）f、单击TCPg、确保"Allow....TCP streams" 是选中的h、确保没有选中"Check....TCP checksum" 和"Use....sequence numbers"i、单击TPKTj、确保"Desegment....TCP segments" 是选中的k、点击Save，然后点击Apply ，然后点击OKEthereal过滤器帮助文件：抓包时的过滤器设置抓包过滤器用于在抓取时过滤掉不感兴趣的帧。

这可以减小抓取文件的大小，特别在长时间抓取时或高流量网络中有用。

Ethereal使用pcap (libpcap/WinPcap)过滤语言来控制抓取过滤。

该语言详见tcpdump的主页()。

注意：抓取过滤器语言和Ethereal的显示过滤器并不相同。

通用例子：--------------------抓取物理地址为08:00:08:15:ca:fe接收和发送的所有数据帧：ether host 08:00:08:15:ca:fe抓取ＩＰ地址为192.168.0.10接收和发送的所有数据帧：host 192.168.0.10抓取tcp协议端口为80接收和发送的所有数据帧：tcp port 80综合例子：抓取Ip地址为192.168.0.10的所有数据，http数据除外host 192.168.0.10 and not tcp port 80抓取过滤器语法：---------------------以下为简介，详细介绍请参见: /tcpdump_man.html抓取过滤器采用用and/or/not等联结词来连接多个基本表达式primitive。

[not] primitive [and|or [not] primitive ...]基本表达式的形式：[src|dst] host <host>This primitive allows you to filter on a host IP address or name. You can optionally preceed the primitive with the keyword src|dst to specify that you are only interested in source or destination addresses. If these are not present, packets where the specified address appears as either the source or the destination address will be selected.ether [src|dst] host <ehost>This primitive allows you to filter on Ethernet host addresses. You can optionally include the keyword src|dst between the keywords ether and host to specify that you are only interested in source or destination addresses. If these are not present, packets where the specified address appears in either the source or destination address will be selected.gateway host <host>This primitive allows you to filter on packets that used host as a gateway. That is, where the Ethernet source or destination was host but neither the source nor destination IP address was host.[src|dst] net <net> [{mask <mask>}|{len <len>}]This primitive allows you to filter on network numbers. You can optionally preceed this primitive with the keyword src|dst to specify that you are only interested in a source or destination network. If neither of these are present, packets will be selected that have the specified network in either the source or destination address. In addition, you can specify either the netmask or the CIDR (Classless Inter-Domain Routing) prefix for the network if they are different from your own.[tcp|udp] [src|dst] port <port>This primitive allows you to filter on TCP and UDP port numbers. You can optionallypreceed this primitive with the keywords src|dst and tcp|udp which allow you to specify that you are only interested in source or destination ports and TCP or UDP packets respectively. The keywords tcp|udp must appear before src|dst.If these are not specified, packets will be selected for both the TCP and UDP protocols and when the specified address appears in either the source or destination port field.less|greater <length>This primitive allows you to filter on packets whose length was less than or equal to the specified length, or greater than or equal to the specified length, respectively.ip|ether proto <protocol>This primitive allows you to filter on the specified protocol at either the Ethernet layer or the IP layer.ether|ip broadcast|multicastThis primitive allows you to filter on either Ethernet or IP broadcasts or multicasts.<expr> relop <expr>This primitive allows you to create complex filter expressions that select bytes or ranges of bytes in packets. Please see the tcpdump man pages for more details.。