sniffer_Pro的使用大全
实验十 sniffer网络嗅探软件的使用
实验十 sniffer网络嗅探软件的使用
【实验目的】
1．熟悉网络监听工具Sniffer Pro操作界面；
2．了解Sniffer Pro捕获与监听网络数据方法；
3．强化网络安全意识。
【实验内容】
1.安装Sniffer Pro，执行SnifferPro.exe安装程序，完成注册和安装。
2.运用Sniffer pro的一些基本操作命令
【实验步骤】
（一）安装和运行Sniffer Pro
1.启动软件，先选择一个网卡，点击确定
2.Sniffer Pro主界面如图所示
（二）运用Sniffer Pro的操作命令
1.Ping操作：ping也属于一个通信协议，是TCP/IP协议的一部分。
利用“ping”命令可以检查网络是否连通，可以很好地帮助我们分析和判定网络故障。
应用格式：Ping空格IP地址。
该命令还可以加许多参数使用，具体是键入Ping按回车即可看到详细说明。
2.Dns look up：域名查询解析工具
3.Traceroute：traceroute (Windows 系统下是tracert) 命令利用ICMP 协议定位您的计算机和目标计算机之间的所有路由器。
TTL 值可以反映数据包经过的路由器或网关的数量，通过操纵独立ICMP 呼叫报文的TTL 值和观察该报文被抛弃的返回信息，traceroute命令能够遍历到数据包传输路径上的所有路由器。
Sniffer Pro软件的报文捕获及解码分析功能
本节主要介绍Sniffer Pro软件的报文捕获及解码分析功能。
1. 选择网络接口⑴在计算机A上，依次单击“开始”→“程序”→“Sniffer Pro”→“Sniffer”菜单，打开Sniffer Pro软件主窗口，如图3-5所示。
图3-5 Sniffer Pro主窗口⑵在主窗口中，依次点击“文件”→“选定设置”，弹出“当前设置”窗口，如图3-6所示。
如果本地主机具有多个网络接口，且需要监听的网络接口不在列表中，可以单击“新建”按钮添加。
图3-6 “当前设置”窗口⑶选择正确的网络接口后，单击“确定”按钮。
2. 报文捕获与分析⑴在Sniffer Pro主窗口（如图3-5）中，依次单击“捕获”→“开始”菜单或直接单击工具栏中的“开始”按钮，开始捕获经过选定网络接口的所有数据包。
⑵打开IE浏览器，登录Web服务器（如），同时在主窗口观察数据捕获情况。
⑶依次单击主窗口中“捕获”→“停止并显示”菜单或直接单击工具栏中的“停止并显示”按钮，在弹出的窗口中选择“解码”选项卡，如图3-7所示。
图3-7 “解码”选项卡⑷在上侧的窗格中，选中向Web服务器请求网页内容的HTTP报文，在中间的窗格中选中一项，在下方的窗格将有相应的十六进制和ASCII码的数据与之相对应。
⑸从图3-7中间窗格的TCP报文段描述中可以看出，数据偏移为20字节，即TCP报文段的首部长度为20字节。
对照图3-3所示的TCP报文段的格式，可以清楚地分析捕获的报文段的十六进制代码，如图3-8所示。
z“源端口”字段的值0420，即为客户端（IP地址为222.24.21.129）进程使用的端口号；z“目的端口”字段的值0050（十进制表示为80），表示Web服务器（IP地址为202.117.128.8）使用了HTTP的默认端口；z“数据偏移”字段的值5，指出了TCP报文段首部的长度为20字节。
3. 定义过滤器有时我们并不关心经过网络接口的所有数据，可以通过定义过滤器来捕获指定的数据包。
snifferpor的使用
使用Sniffer Pro监控网络流量(1)Sniffer Pro 著名网络协议分析软件。
本文利用其强大的流量图文系统Host Table来实时监控网络流量。
在监控软件上，我们选择了较为常用的NAI公司的sniffer pro，事实上，很多网吧管理员都有过相关监控网络经验：在网络出现问题、或者探查网络情况时，使用P2P终结者、网络执法官等网络监控软件。
这样的软件有一个很大优点：不要配置端口镜像就可以进行流量查询（其实sniffer pro也可以变通的工作在这样的环境下）。
这种看起来很快捷的方法，仍然存在很多弊端：由于其工作原理利用ARP地址表，对地址表进行欺骗，因此可能会衍生出很多节外生枝的问题，如掉线、网络变慢、ARP广播巨增等。
这对于要求正常的网络来说，是不可思议的。
在这里，我们将通过软件解决方案来完成以往只有通过更换高级设备才能解决的网络解决方案，这对于很多管理员来说，将是个梦寐以求的时刻。
硬件环境（网吧）：100M网络环境下，92台终端数量，主交换采用D-LINK（友讯）DES-3226S二层交换机(支持端口镜像功能)，级联普通傻瓜型交换机。
光纤10M接入，华为2620做为接入网关。
软件环境：操作系统Windows2003 Server企业标准版（Sniffer Pro4.6及以上版本均支持Windows2000 Windows-xp Windows2003）、NAI协议分析软件-Sniffer Portable 4.75（本文选用网络上较容易下载到的版本做为测试）环境要求：1、如果需要监控全网流量，安装有Sniffer Portable 4.7.5(以下简称Sniffer Pro)的终端计算机，网卡接入端需要位于主交换镜像端口位置。
（监控所有流经此网卡的数据）2、Snffier pro 475仅支持10M、100M、10/100M网卡，对于千M网卡，请安装SP5补丁，或4.8及更高的版本网络拓扑：监控目的：通过Sniffer Pro 实时监控，及时发现网络环境中的故障（例如病毒、攻击、流量超限等非正常行为）。
实验4 Siniffer Pro的使用
专家分析 系统
捕获报文的 图形分析
捕获报文的其他 统计信息
专家分分析系统提供了一个智能的分析平台， 对网络上的流量进行了一些分析
双击此记录可以 查看详细信息
捕获的 报文
报文解 码
二进制 内容
报文解析界面
实验4 使用Sniffer Pro网络分析器
实验目的：
（1）掌握Sniffer工具的安装与使用方法。 （2）理解TCP/IP协议栈中IP、TCP、UDP等协议的数据结构。 （3）掌握ICMP协议的类型和代码 （4）理解网络中数据留流的封包格式与输出字段。 （5）掌握碎片的原理和重组过程。 （6）充分理解采用加密和不加密和技术数据的传播状态。
Sniffer Pro主界面
2）定义要捕捉的目的地址和数据包类型 在Capture菜单中选中Define Filter。 目的地址：Address选项 数据包类型 ：Advanced选项
Sniffer的抓包过滤器设置完毕后，接下来就开始发送和接收数据包。 并使用Sniffer报文捕获命令捕获报文
3）报文捕获解析
报文捕获功能可以在报文捕获面板或Capture菜单中进行完成
捕获条件 编辑
选择捕获 条件
捕获开始
捕获暂停 捕获停止 捕获停止 并查看 捕获查看
网络性能监 视快捷键
捕获面板
定义要捕捉目的地址的另一种方法
选中Monitor菜单下的Matrix，可以查看网络中的Traffic Map视图
Sniffer Pro简介
Sniffer软件是NAI（美国网络联盟）公司推出 的功能强大的协议分析软件。 主要功能
– –
–
–
捕获网络流量进行详细分析 利用专家分析系统诊断问题 实时监控网络活动 收集网络利用率和错误等
Sniffer_Pro中文使用教程
Sniffer_Pro中文使用教程Sniffer Pro中文使用教程第1章Sniffer软件简介............................................................................................................ 1-11.1 概述 .......................................................................................................................... ... 1-11.2 功能简介...................................................................................................................... 1-1第2章报文捕获解析................................................................................................................ 2-12.1 捕获面板...................................................................................................................... 2-12.2 捕获过程报文统计 ....................................................................................................... 2-12.3捕获报文查看.............................................................................................................. 2-22.4设置捕获条件.............................................................................................................. 2-3第3章报文放送...................................................................................................................... 3-13.1 编辑报文发送............................................................................................................... 3-13.2捕获编辑报文发送....................................................................................................... 3-2第4章网络监视功能................................................................................................................ 4-14.1Dashbord ........................................................................................................... .......... 4-14.2 Application Response Time (ART) ............................................................................. 4-1第5章数据报文解码详解......................................................................................................... 5-15.1数据报文分层.............................................................................................................. 5-15.2以太报文结构.............................................................................................................. 5-15.3 IP协议......................................................................................................................... 5-35.4 ARP协议..................................................................................................................... 5-45.5 PPPOE协议 .................................................................................................................. 5-65.6 Radius协议................................................................................................................. 5-9第1章 Sniffer软件简介1.1 概述Sniffer软件是NAI公司推出的功能强大的协议分析软件。
超级网络分析工具Sniffer Pro详解
目录基本的TCP/IP协议介绍(IP/TCP/UDP) 1超级网络分析工具Sniffer Pro详解 6TCP/IP网络数据报分析26使用Sniffer工具进行TCP/IP、ICMP数据包分析32TCP协议分析实验37基本的TCP/IP协议介绍(IP/TCP/UDP)IP/IPv4：网际协议IP/IPv4：网际协议（IP/IPv4：Internet Protocol）网际协议（IP）是一个网络层协议，它包含寻址信息和控制信息，可使数据包在网络中路由。
IP 协议是TCP/IP 协议族中的主要网络层协议，与TCP 协议结合组成整个因特网协议的核心协议。
IP 协议同样都适用于LAN 和WAN 通信。
IP 协议有两个基本任务：提供无连接的和最有效的数据包传送；提供数据包的分割及重组以支持不同最大传输单元大小的数据连接。
对于互联网络中IP 数据报的路由选择处理，有一套完善的IP 寻址方式。
每一个IP 地址都有其特定的组成但同时遵循基本格式。
IP 地址可以进行细分并可用于建立子网地址。
TCP/IP 网络中的每台计算机都被分配了一个唯一的32 位逻辑地址，这个地址分为两个主要部分：网络号和主机号。
网络号用以确认网络，如果该网络是因特网的一部分，其网络号必须由InterNIC 统一分配。
一个网络服务器供应商（ISP）可以从InterNIC 那里获得一块网络地址，按照需要自己分配地址空间。
主机号确认网络中的主机，它由本地网络管理员分配。
当你发送或接受数据时（例如，一封电子信函或网页），消息分成若干个块，也就是我们所说的“包”。
每个包既包含发送者的网络地址又包含接受者的地址。
由于消息被划分为大量的包，若需要，每个包都可以通过不同的网络路径发送出去。
包到达时的顺序不一定和发送顺序相同，IP 协议只用于发送包，而TCP 协议负责将其按正确顺序排列。
除了ARP 和RARP ，其它所有TCP/IP 族中的协议都是使用IP 传送主机与主机间的通信。
sniffer_pro使用教程
sniffer pro的使用先来看看， sniffer proDashboard 网络流量表Host Table 网络连接表，可以直观的看出连接你的主机，还可以用MAC/IP/IPX，三种显示。
Applicatien Response Time 主机回应指数，可以选择协议的， TCP/UDP下的http.Ftp 等等。
Matrix （让我想到黑客帝国）这里是查看网路连结，很立体的那种。
Protocol Distribution 显示网络中协议的使用量， IP/ARP/IPXGlobal statistics 整体网络使用显示下面是Capture 下的选项:Start 开始捕捉Display 显示Define Filter 设置过滤下面是Tools 下的选项:Address Book 地址本Packet Generator 数据发送机Ping 工具 (这些都是常用的工具）Trace RouteDns lookupFingerWho isCustomize user Tools 用户自定义工具，可自己把工具加上去。
选项高级选项大体上是这样了！现就抓几个包来看看啦！1. Telnet密码1.1 由本机连接到别的开telnet的主机和netxray的用法一样， Define filter ---> advanced在协议中选上 IP/TCP/TELNET, 然后Packet Size --> Equal 55, Packet Type --> Normal.截取的数据包:当你想停止sniff时，按capture --> stop en display , 然后会选Decode 就可一看到数据包的内容了!你就可一在 Summary 中看到用户和密码，从上往下， chi就是用户名。
1.2 本地主机开了Telnet, 并进行监听这里也许会麻烦点，不过是为了过滤掉没用的Tcp数据包，好，Capture --> Define filter -> Advanced选IP/TCP/Telnet , Packet Size --> Equal 67, Packet Type --> Normal.然后用Data Pattern --> Add Pattern, 大家可以看到，这里有2个and 关系的Pattern, 上面这个name: TCP : Flags = 18 的意思就是 PSH ACK 的数据包，大家看图啦，还有一个Name: IP: Type of service = 10 , 开了Telnet, 好了，设好后就可以，抓包了!看看数据包，一目了然，一看就知道是 administrator.2。
Sniffer_pro_使用说明 图解
1．与自己硬件地址相匹配的数据祯
2.发向所有机器的广播数据帧。
在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接收数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就接收后产生中断信号通知CPU，认为不该接收就丢掉不管，所以不该接收的数据网卡就截断了，计算机根本就不知道。CPU得到中断信号产生中断，操作系统就根据网卡的驱动程序设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号堆栈让操作系统处理。而对于网卡来说一般有四种接收模式：
第一、地址类型，选择IP了。选择模式,如果选包括，其意义就是指sniffer在捕获的时候就会只对你在Station1中和Station2中所列的节点包进行捕获。选择除外则恰相反。也就是说它在捕获的时候会过滤掉Station1和Station2中所列及的地址数据包的。
第二、在Station1和Station2以及DIR的设置中，你可以指定地址对，而我要对它截获的是与他连接的所有主机，也就是说这个Any代表的是任何主机的意思。至于Dir，则是要选择你要捕获的目标主机与其连接主机间的信息流向，这里选的是互流，即为要截获的是与之所连接的所有主机与它的信息数据.
广播方式：该模式下的网卡能够接收网络中的广播信息。组播方式：设置在该模式下的网卡能够接收组播数据。直接方式：在这种模式下，只有目的网卡才能接收该数据。混杂模式：在这种模式下的网卡能够接收一切通过它的数据，而不管该数据是否是传给它的。
总结一下，首先，我们知道了在以太网中是基于广播方式传送数据的，也就是说，所有的物理信号都要经过我的机器，再次，网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够接收到一切通过它的数据，而不管实际上数据的目的地址是不是他。这实际上就是我们SNIFF工作的基本原理：让网卡接收一切他所能接收的数据。
实验6：Sniffer_Pro的基本使用和实例
超级网络嗅探器——Sniffer pro 的使用Sniffer软件是NAI公司推出的功能强大的协议分析软件。
实现对网络的监控，更深入地了解网络存在的问题，检测和修复网络故障和安全问题。
Sniffer可以监听到网上传输的所有信息，主要用来接收在网络上传输的信息。
Sniffer可以截获口令、专用信道内的信息、信用卡号、经济数据、E-mail等，还可以用来攻击与自己相临的网络。
Sniffer的功能主要包括如下几方面：捕获网络流量进行详细分析。
利用专家分析系统诊断问题。
实时监控网络活动情况。
监控单个工作站、会话或者网络中任何一部分的网络利用情况和错误统计。
支持主要的LAN、WAN和网络技术。
提供在位和字节水平过滤数据包的能力。
1 Sniffer Pro的启动和设置2 理解Sniffer Pro主要4种功能组件的作用：监视：实时解码并显示网络通信流中的数据。
捕获：抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用。
分析：利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。
显示：对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。
3 学会sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。
环境：windows XP， windows 7，能访问INTERNET。
Sniffer pro主界面在默认情况下，Sniffer将捕获其接入的域中流经的所有数据包，但在某些场景下，有些数据包可能不是我们所需要的，为了快速定位网络问题所在，有必要对所要捕获的数据包作过滤。
Sniffer提供了捕获数据包前的过滤规则的定义，过滤规则包括2、3层地址的定义和几百种协议的定义。
定义过滤规则的做法一般如下：(1) 在主界面选择【Capture】→【Define Filter】。
(2) 在“Define Filter”对话框中选择“Address”选项卡，这是最常用的定义。
其中包括MAC地址、IP地址和IPX地址的定义。
使用Sniffer+Pro工具嗅探0(Sniffer+Pro+4.7.5的安装)
实验Sniffer的环境搭建
课程名称: 网络安全与保密
实验名称: Sniffer的环境搭建
实验目的：
通过本实验，学会怎样进行Sniffer的安装
预备知识：
Windows基本知识
实验环境：
PC机
Windows操作系统
实验任务
任务一：Sniffer的安装
实验步骤
任务一：Sniffer的安装
1、打开安装程序。
2、单击Next按钮，进入欢迎画面。
3、Sniffer安装中。
4、Sniffer安装加载中。
5、单击Next按钮。
6、单击Y es按钮。
7、计算机名默认，单击Next按钮。
8、选择Sniffer安装路径，单击Next按钮。
9、Sniffer安装过程中。
10、输入英文名字，*号为必填内容，随便输入一些就可以，单击下一步。
11、以上文本框按要求填写，单击下一步。
12、以上是输入的地址、城市、电话等，按要求输入，单击下一步。
13、这些也都是随便输入，问的是如何知道Sniffer的，下面的是Sniffer序列号，单击下一步。
14、让Sniffer连接网络，单击下一步。
15、全部选中，使Sniffer的功能更加强大，单击下一步。
16、单击Finish，完成安装。
17、单击Finish，完成安装。
18、是否重启计算机，使Sniffer生效。
网络嗅探使用SnifferPro监控ARP协议
banker将向网友介绍如何使用sniffer pro来监控ARP欺骗行为。
文中会介绍一些更为简便和直接的snffer程序，它们都属于snffer程序的一种，只是在功能上更有针对性。
一、使用sniffer pro监控ARP实际上，使用sniffer pro程序的监控功能可以更方便、更为迅速的帮助我们定位问题。
步骤一：首先，我们在已经做了端口镜像的机器上启动snffer pro程序。
选择菜单栏中Monitor→Define Filter 来定义我们需要的过滤器。
在弹出的define Filter对话框中选择Profiles→New 来新建一个过滤器，我们这里取名为ARP。
图1步骤二：点击Advanced高级标签，我们这里选中ARP协议。
单击OK后完成过滤器的新建。
图2步骤三：系统默认过滤器为Default，我们来选择刚才新建过滤器ARP。
首先，选择Monitor →Select Filter。
图3步骤四：在弹出的对话框中点击ARP。
在这里要注意的是：一定要把Apply monitor勾选。
点击确定后，过滤器定义和选择工作准备完毕。
图4步骤五：鼠标点击工具栏中Host Table按钮(联网图标)，在弹出的子窗口中选择Detail工具(放大镜图标)。
注意观察本图同之前程序使用默认Default Filter过滤器的不同之处。
现在，按照我们的定义，监视器内Protocol(协议类型)仅包括IP_ARP.这对于我们查找问题，层次上更加分明。
这里需要注意的是：①这里的Address(地址)以IP或者机器名的形式显示，如果显示MAC，请先使用Tools →Address book进行扫描，IP-MAC的显示转换后，将有利于我们快速定位节点。
②网内终端中所有ARP广播包的和，合计后等于Broadcast数据包(广播包)。
图5步骤六：我们先来观察，在正常网络状况下，ARP协议的TOP流量分布图，这将方便我们的区分、判断。
sniffer类软件使用指南
sniffer类软件使用指南
在分析网络故障的时候，sniffer是一个很好的东西，必不可少。
常用的大概有两种：
一个是sniffer pro,一个是iris。
这两个软件都可以嗅探数据，但偏重不一样， sniffer pro偏重于图表，对于流量，连接等很直观，缺点是不能及时显示数据。
Iris则是偏重于协议的分析和还原上，它的过滤规则比sniffer pro丰富.
一般来说，看流量和连接情况，用sniffer pro, 看及时数据用iris.但iris没有sniffer pro稳定，经常崩溃掉。
1. sniffer pro
sniffer pro也有一个filter的规则过滤条件，和iris相比比较简单：
sniffer pro一启动就会自动抓包，根据网络上每个IP，MAC等流量用图表显示：
在判断网络流量异常的时候用这个来分析非常准确，一般的流量大故障都可以通过这些图表来分析出来。
和IRIS不同的是如果你想抓包的话，具体数据不能适时显示，只能在停止以后才可以看到
包的内容和解码后的东西。
2. iris
这里是及时的连接情况:
下面是sniffer到的数据:
左边则是解码内容:
解码之后的内容:
值得注意的是sniffer pro保存的文件可以由iris打开，但iris保存的文件sniffer pro不支持。
Sniffer_Pro中文使用教程
Sniffer Pro中文使用教程第1章 Sniffer软件简介 .............................................................................................................. 1-11.1 概述 ............................................................................................................................. 1-11.2 功能简介...................................................................................................................... 1-1第2章报文捕获解析.................................................................................................................. 2-12.1 捕获面板...................................................................................................................... 2-12.2 捕获过程报文统计 ....................................................................................................... 2-12.3捕获报文查看.............................................................................................................. 2-22.4设置捕获条件.............................................................................................................. 2-3第3章报文放送 ........................................................................................................................ 3-13.1 编辑报文发送............................................................................................................... 3-13.2捕获编辑报文发送....................................................................................................... 3-2第4章网络监视功能.................................................................................................................. 4-14.1 Dashbord ..................................................................................................................... 4-14.2 Application Response Time (ART) ............................................................................. 4-1第5章数据报文解码详解 .......................................................................................................... 5-15.1数据报文分层.............................................................................................................. 5-15.2以太报文结构.............................................................................................................. 5-15.3 IP协议.......................................................................................................................... 5-35.4 ARP协议...................................................................................................................... 5-45.5 PPPOE协议 ................................................................................................................... 5-65.6 Radius协议.................................................................................................................. 5-9第1章 Sniffer软件简介1.1 概述Sniffer软件是NAI公司推出的功能强大的协议分析软件。
sniffer pro协议分析新手教程、工具及文档
sniffer pro (学习笔记)边学边记系列~~~好戏马上就开始喽~~~一:sniffer pro问题集锦1.为什么SNIFFER4.75在我的机子上用不了？4.7.5 With SP5以上支持千兆以太网,一般我们从网络上下载的4.75不支持千M 网卡2.如何导入导出snifferPro定义的过滤器的过滤文件?方法一、强行覆盖法C:\Program Files\NAI\SnifferNT\Program\下面有很多Local打头的目录，对应select settings里各个profile，进入相应的local目录，用sniffer scan.csf 去覆盖Sniffer.csf(捕获过滤）或者snifferdisplay.csf（显示过滤）方法二、声东击西法C:\Program Files\NAI\SnifferNT\Program\下面有个文件Nxsample.csf，备份。
用Sniffer scan.csf替换nxsample.csf启动Sniffer新建过滤器在新建过滤器对话框的sample选择里选择相应的过滤器，建立新过滤。
反复新建，直到全部加入3.sniffer的警报日志是些做什么用的??sniffer警报日志也是sniffer专家系统的一部分,通常不正常的TCP/IP通讯会产生警报和日志.比如: ping 的反映时间太长, 某一个会话中丢包或者重传数过多,单位时间产生的广播/多播数过多等等.4.利用ARP检测混杂模式的节点文章很长,原贴位于:/viewthread.php?tid=1605.sniffer 中，utilization是按什么计算的？Octect就是字节的意思。
Sniffer表盘的利用率是根据你的网卡的带宽来计算的，如果要监测广域网带宽的话，需要使用Sniffer提供的相应的广域网接口设备：比如 Snifferbook用来接入E1、T1、RS/V等链路，这时它所显示出的带宽就是正确的广域网带宽（如非信道化E1它会显示2.048Mbs）。
Sniffer_Pro的基本使用和实例
实验三： Sniffer Pro的基本使用和实例一、实验目的：练习sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。
二、实验环境：通过交换机连接的多台PC，预装Windows XP操作系统。
三、运行环境及安装：Sniffer Pro可运行在局域网的任何一台机器上，如果是练习使用，网络连接最好用交换机且在一个子网，这样能抓到连到交换机上每台机器传输的包。
本文用的版本是 4.7.5，Sniffer Pro软件的获取可在或 中输入Sniffer Pro 4.7.5，查找相应的下载站点来下载。
四、常用功能介绍1、Dashboard （网络流量表）点击图1中①所指的图标，出现三个表，第一个表显示的是网络的使用率（Utilization），第二个表显示的是网络的每秒钟通过的包数量（Packets），第三个表显示的是网络的每秒错误率（Errors）。
通过这三个表可以直观的观察到网络的使用情况，红色部分显示的是根据网络要求设置的上限。
选择图1中②所指的选项将显示如图2所示的更为详细的网络相关数据的曲线图。
每个子项的含义无需多言，下面介绍一下测试网络速度中的几个常用单位。
在TCP/IP协议中，数据被分成若干个包（Packets）进行传输，包的大小跟操作系统和网络带宽都有关系，一般为64、128、256、512、1024、1460等，包的单位是字节。
很多初学者对Kbps、KB、Mbps 等单位不太明白，B 和 b 分别代表Bytes(字节) 和bits（比特），1比特就是0或1。
1 Byte = 8 bits 。
1Mbps (megabits per second兆比特每秒)，亦即1 x 1024 / 8 = 128KB/sec（字节/秒），我们常用的ADSL下行512K指的是每秒512K比特(Kb)，也就是每秒512/8=64K字节（KB）图1图22、Host table（主机列表）如图3所示，点击图3中①所指的图标，出现图中显示的界面，选择图中②所指的IP选项，界面中出现的是所有在线的本网主机地址及连到外网的外网服务器地址，此时想看看192.168.113.88这台机器的上网情况，只需如图中③所示单击该地址出现图4界面。
Sniffer Pro的基本使用和实例
图15
步骤3：运行 步骤 ：运行telnet命令 命令
• 本例使tபைடு நூலகம்lnet到一台开有telnet服务的Linux 机器上。 • telnet 192.168.113.50 • login: test • Password:
步骤4： 步骤 ：察看结果
• 图16中箭头所指的望远镜图标变红时，表 示已捕捉到数据，点击该图标出现图17界 面，选择箭头所指的Decode选项即可看到 捕捉到的所有包。可以清楚地看出用户名 为test密码为123456。
图31
• 步骤 ：抓包 步骤2： • 按F10 键开始抓包。 • 步骤 ： 步骤3： • 访问网站 访问 网站
步骤4： 步骤 ：察看结果
• 图16中箭头所 指的望远镜图标变红时，表 示已捕捉到数据，点击该图标出现图31界 面，选择箭头所指的Decode选项即可看到 捕捉到的所有包。在Summary中找到含有 POST关键字的包，可以清楚地看出用户名 为qiangkn997，密码为?，这可是我邮箱的 真实密码！当然不能告诉你，不过欢迎来 信进行交流。
Sniffer Pro的基本使用和实例 的基本使用和实例
1.抓Telnet密码
• 本例从192.168.113.208 这台机器telnet到 192.168.113.50，用Sniff Pro抓到用户名和 密码。
步骤1： 步骤 ：设置规则
图12
图13
图14
步骤2： 步骤 ：抓包
• 按F10键出现图15界面，开始抓包。
2.抓FTP密码 抓 密码
• 本例从192.168.113.208 这台机器ftp到 192.168.113.50，用Sniff Pro抓到用户名和 密码。
步骤1：设置规则
Sniffer Pro使用详解
Sniffer Pro使用详解当一个网络出现故障时，就需要由网络管理员查找故障并及时进行修复。
但局域网一般都有几十台到几百台计算机，以及多个服务器、交换机、路由器等设备，管理员需要检查这些设备，检查各个端口的连接等，检查是否是黑客或者木马所为，工作量非常大，而且排除故障也非常麻烦。
有了Sniffer Pro，就可以很容易的找出问题所在。
Sinffer Pro是美国Network Associates公司生产的一款网络分析软件，可用于网络故障与性能管理，在局域网领域应用非常广泛，占到网络分析软件市场的76%。
Sniffer Pro是一种很好的网络分析程序，允许管理员逐个数据包查看通过网络的实际数据，从而了解网络的实际运行情况。
它具有以下特点：1. 可以解码至少450种协议。
除了IP、IPX和其它一些“标准”协议外，Sniffer Pro还可以解码分析很多由厂商自己开发或者使用的专门协议，比如思科VLAN中继协议(ISL)。
2. 支持主要的局域网(LAN)、城域网(WAN)等网络技术(包括高速与超高速以太网、令牌环、802.11b无线网、SONET传递的数据包、T-1、帧延迟和ATM)。
3. 提供在位和字节水平上过滤数据包的能力。
4. 提供对网络问题的高级分析和诊断，并推荐应该采取的正确措施。
5. Switch Expert可以提供从各种网络交换机查询统计结果的功能。
6. 网络流量生成器能够以千兆的速度运行。
7. 可以离线捕获数据，如捕获帧。
因为帧通常都是用8位的分界数组来校准，所以Sniffer Pro 只能以字节为单位捕获数据。
但过滤器在位或者字节水平都可以定义。
需要注意的是，使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。
如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验一Sniffer Pro的使用
【实验目的】
1) 熟练掌握Sniffer Pro对数据包捕获的使用方法。
2) 掌握利用Sniffer Pro进行数据包结构分析、进而理解协议对数据的封装。
【实验环境】
Windows XP、2003 Server等系统，Sniffer Pro软件。
【实验内容】
第一部分：学习sniffer
1．首先，打开Sniffer Pro程序，如果系统要求的话，还要选择一个适配器（使用哪个网卡）。
打开了程序后，会看到图中的屏幕。
图1 Sniffer Pro程序主界面
2．打开Sniffer Pro程序后，选择Capture（捕获）－Start（开始），或者使用F10键，或者是工具栏上的开始箭头。
因为捕获过程需要几分钟才能完成，这时我们可以先了解如何自定义Sniffer Pro高级与捕获窗口，这样后面就可以节省一点时间。
3．下面，在Sniffer Pro程序中，会看到高级系统（Expert）被自动调用，如图2所示。
打开这个窗口后，不会看到任何东西，除非停止捕获过程才可以查看内容。
让捕获过程持续运行一段时间，这时可以自定义高级系统，这样就能实时地看到不断出现的问题。
图2 开始捕获过程时调用高级系统
4．浏览图2中的屏幕。
高级窗口这时会滚动到窗口左边，只能看到工具栏，而没有任何详细资料。
如果要查看详细资料，就要找到高级窗口对话框左上角的箭头，这个箭头在“层次”这个词的右边。
单击这个箭头后，会显示出高级功能的另一部分窗口，如图3所示。
5．你可以看到我们能自定义Sniffer Pro程序用于将来的捕获过程，所以我们在下面要对如何使用高级功能进行分析。
如果要进一步自定义我们的Sniffe Pro高级功能，就要在一个视图中显示所有定义对象的详细资料。
如果再看一次图3，你会发现在高级对话框的最右边有两个卷标：一个是“总结”卷标，另一个是“对象”卷标。
在图4中，你会看到这两个卷标都消失了，被两个窗口取代。
如果要改变视图，只需要将鼠标停在图4中圈起的位置，这时箭头的形状会改变，然后可以将这一栏上移，就可以看到Sniffer Pro高级窗口中对象的所有详细资料了。
图3 在高级系统中查看更多的细节
图4浏览高级系统内的对象卷标
6．已经完全了解如何自定义Sniffer Pro高级窗口后，使浏览更容易。
现在，我们可以停止捕获过程。
再次进入Capture（捕获）菜单，然后选择Stop（停止）或者按下F10键。
还可以使用工具栏，选择黑方框图标来执行同样的功能。
7．停止了捕获过程后，屏幕上不会有任何反应。
这时因为没有要求Sniffer Pro显示捕获的内容。
还可以按F9键来执行“停止并显示”的功能，或者可以进入Capture（捕获）菜单，选择“停止并显示”。
也可以使用工具栏图标来执行同样的功能，这个图标的样子就像带望远镜的黑色的方盒。
因为我们先停止了捕获过程，所以也可以在停止后选择Capture（捕获）菜单中的“显示”，按下F5键，或者只使用工具栏中的“望远镜”。
在这里，我们使用的是第一种方法，选择了“显示”后，Sniffer Pro高级窗口会迅速地一直最小化，然后就会再次出现高级对话框，如图5所示。
图5 选择显示后查看高级对话框
8．现在查看对话框（停止捕获过程后），会看到几个非常重要的变化。
第一个变化是Sniffer Pro高级窗口中不再增加内容了，可以说是因为停止了捕获过程，所以不再有对象增加了。
第二个变化是对话框的标题栏。
起初只简单地显示“Expert”（高级）。
现在显示的是捕获文件的名字，以及Sniffer Pro在捕获过程中观察到的帧的数目。
9．另一个主要变化是对话框最下角增加了一组窗口卷标，包括高级（当前查看的视图）等。
10．选择了解码卷标(Decode)时，屏幕显示如图6，会看到Sniffer Pro缓冲器中的所有实际“数据”。
图6 查看解码卷标
1.2．详细资料窗格
了解了帧的内容，现在让我们来看看从数据的表格视图中可以得到哪些信息。
利用sniffer数据捕获功能捕获数据并进行数据桢解析分析，例如：
图8 专家分析系统
（1）如上图所示，你会看到IP头部的各部分内容。
（根据自己的Sniffer专家分析系统的分析内容查看以下段的值：）
✓版本
✓IHL
✓ToS ToS位可以提供服务质量（QoS）信息（Sniffer Pro会提供一些必要的信息）
✓总长度
✓ID
✓标记
✓分段差距
✓TTL
✓协议
✓校验和
✓SA
✓DA
✓选项与Padding 这里没有任何选项。
在文件头中不一定必须有选项这部分内容。
✓数据
(2) TCP头部可以分成几个部分。
现在可以查看TCP头部的所有详细内容。
在TCP中，需要使用端口序号来识别并建立与上层协议之间的连接。
这个头部会像IP头部一样被分解来查看各部分内容，现在我们来了其中各项的详细内容：
✓来源端口
✓目的端口
✓序号序号（和下一个期望序号）用来进行顺序控制。
✓确认号因为已经设定了ACK字节（在下面几行中，确认字节设定为1），确认号代表。
✓差距数据差设定为20个字节，可以说明。
✓标记标记为10。
✓U 紧急指针（URG）设定为？
✓ A 确认字节（ACK）设定为？
✓P 入栈程序（PSH）设定为？
✓R 重新连接（RST）设定为？
✓S 同步顺序号（SYN）设定为？
✓ F 释放连接（FIN）设定为？
✓窗口窗口为？
✓校验和校验和为？
✓选项＋Padding
✓数据？
这些信息会使我们更有兴趣深入了解这些内容，我们甚至还没有得到全部的负载内容。
Sniffer Pro是一种非常有价值的工具，可以用它来深入挖掘数据的详细资料，就像我们正在做的一样。
我们还只是在查看一个数据帧而已！即使你不能全部理解这些内容（关于协议代码的信息总量非常多），至少可以进行捕获过程，然后研究一些网络或者RFC中的信息，这样会发现正在解析的协议中的更多内容。
直到现在，我们还只是在告诉你如何使用Sniffer Pro分析窗格（总结、详细资料和Hex）来读取捕获的数据。
(3) Hex窗格
Hex窗格显示的内容最直观，同时也难以理解。
Hex窗格看上去就像是十六进制代码的信息集合。
它的确如此，但是，在这里我们会提供一种更好的方法来理解这个窗格中的内容，这样就可以了解它们，并进行分析。
图9 在Hex窗格中查看捕获的文件
在默认的情况下，Hex窗格会以ASCII格式显示数据。
如果想的话，也可以把格式改变为EBCDIC（IBM）代码，只需要在Hex窗格内单击鼠标右键，将选项改为EBCDIC即可。
现在已经进行了一个捕获过程，得到了一个帧，并在Sniffer Pro解码栏中用总结、详细资料和Hex窗格对这个帧进行了分析。
第二部分：使用sniffer
1．利用sniffer捕获用户名和密码
按照上面学习的内容，登录学校的ftp服务器,捕获登陆ftp的账号和密码。
2．使用ping命令抓取数据包，分析该数据包的IP协议首部的主要字段的内容和含义。
3．通过一次完整的FTP会话，抓取到一次完整的TCP连接的数据。
通过对这些数据的TCP协议首部进行分析，从而深入理解一次TCP连接中三次“握手”建立连接和和“四次”挥手释放连接的详细过程，以及在这些过程中一些典型字段的值的变化。
4．ping命令是向目标主机发送ICMP请求数据包，当目标主机给与ICMP echo类型数据包回应时就可以试探出本机和目标主机之间连通性。
使用ping命令并抓取目标主机送回的ICMP echo消息，分析ICMP数据报中的主要字段内容及其作用。