Ethereal抓包工具使用大全

Ethereal抓包工具使用大全

新太科技股份有限公司

2009年6月

目录

1.ETHEREAL 简介 (3)

2.ETHEREAL基本操作 (3)

3. ETHEREAL几个使用场景 (5)

3.1根据协议过滤 (5)

3.2指定IP和端口进行过滤 (6)

3.3指定某个呼叫的过滤 (10)

3.4把抓到的RTP流存成语音文件 (11)

附录一：常用的DISPLAY FILTER (14)

附录二：ETHEREAL安装说明及重要链接 (15)

附录三：TCPDUMP使用方法 (16)

1．T CPDUMP简介 (16)

2．T CPDUMP安装 (16)

3．T CPDUMP使用示例 (16)

4．T CPDUMP使用方法链接 (16)

1.E thereal简介

E thereal是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。事实上，Ethereal本身并不能抓包，它只能用来解析数据包，要抓取数据包，它需要借助于PCap。Pcap在windows下面的实现称作winpcap，这也就是为什么我们在安装前要先安装好winpcap工具。

2.Ethereal基本操作

首先运行Ethereal,出现Ethereal的主界面，如下图所示：

图1 Ethereal主界面

要捕获网络上的数据包，首先进行相关设置，点击Capture->Options出现以下窗口，如图所示：

指定网卡

图2 指定网卡

设置完毕后，点击Start，Etheteal便会开始动态的统计目前所截获的数据包，点击Capture->Stop，即可停止。下图为Ethereal截获数据包后的界面：

封包列表

封包的详细资料

封包的内容

图4 Ethereal截获数据包后的界面

如果需要保存截获的数据包信息，可点击File->Save / Save as 进行保存。

3. Ethereal几个使用场景

在介绍使用场景之前，首先要明确Ethereal的两类不同的过滤器：一类是抓包过滤器Capture Filter，即只抓取符合规则的数据包；一类是显示过滤器Display Filter，是在抓取的数据包中显示符合规则的数据包。二者在使用上及在语法上是有区别的。如果您想抓取特定的数据包，可以采用以下两种方式：一在抓包的时候在capture->options->Capture Filter中定义过滤规则，这样结果就是只抓取您设定好的那些类型的数据包，二是把本机收到或发出的数据包全部抓取下来，然后使用显示过滤器，只显示您感兴趣的数据包。

注意：在这里我们介绍的几个场景都是针对显示过滤器的。

3.1根据协议过滤

当您截获数据包以后，如果您只想查看使用SIP协议的数据包，您可以在Filter中输入：sip，按enter键后，您可以看到在封包列表中显示的只有使用SIP协议的包了。同样的道理，您可以输入其它的协议：tcp, rtp, udp等等，来查看使用相应协议的数据包。

图1 根据SIP协议过滤数据包

3.2指定IP和端口进行过滤

在Filter中输入： ip.addr==10.200.100.222，按enter键后，您可以看到在封包列表中显示的只有源地址或目的IP地址为10.200.100.222主机的数据包了。

图2 ip.addr==10.200.100.222

如果你只想查看从该主机流出的数据包，则只需要把addr改为src即可，如下图所示：

图3 ip.src==10.200.100.222

如果你只想查看流向该主机的数据包，则只需要把addr改为dst即可，如下图所示：

图4 ip.dst==10.200.100.222

如果您想同时查看主机IP地址为：172.16..55.255的封包信息，可以用or操作，即在Filter中输入： ip.addr==10.200.100.222 or ip.addr==172.16.55.255。

图5 ip.addr==10.200.100.222 or ip.addr==172.16.55.255

如果您想查看主机IP地址为：172.16.55.83，使用UDP协议,端口号为7557的封包信息，可以用and操作，即在Filter中输入：ip.addr==172.16.55.83 and udp.port==7557。

图6 ip.addr==172.16.55.83 and udp.port==7557

3.3 指定某个呼叫的过滤

首先在Filter中输入：sip，可以查看所有关于SIP协议的封包信息，如果您只想查看关于某个指定过滤主叫号码或被叫号码的呼叫的封包信息，则可以在Filter中输入：sip contains 6324,如下图所示：

图1 指定过滤被叫号码是6324呼叫

3.4 把抓到的RTP流存成语音文件

在Fliter中输入：sip or rtp ，封包列表中，会显示所有使用SIP或RTP协议的数据包。选中一个使用RTP协议的数据流，然后点击Ethereal主界面菜单栏的Statistics->RTP->Stream Analysis，弹出 RTP Stream Analysis对话框。

图1打开RTP流分析

图2 RTP 流分析

点击想要保存的RTP 流，然后点击Save payload… 出现保存对话框，选择好存放的目录后，然后选择要保存的格式，一般选择.au格式，这种格式的文件在普通播放器中就可以播放，根据你保存的数据流向，选定Channels，在下方输入保存的数据流的名字（带后缀名），然后点击OK保存。如下图所示：

图3 RTP 流保存

如果想要打开保存后的RTP流文件，可以用windows Media Player播放。