Sniffer抓包分数据包分析手册
Sniffer的数据包分析与防范
Sniffer的数据包分析与防范Sniffer的数据包分析与防范【摘要】本文首先阐述了当前信息监听的重要意义，并简单介绍了目前比较常见的信息监听软件Sniffer的特点及工作原理。
然后系统地介绍了网络中几种重要的协议的数据报格式，在此基础上，介绍Snifer对这几种协议进行的解码分析，通过Sniffer的分析能够清楚地看到几种数据报的详细内容。
鉴于Sniffer对信息的监听，本文提出了几种防范Sniffer监听的方法，主要有防火墙技术、加密技术等。
最后，针对当前我国的信息监听面临的形势，提出了自己对信息监听技术发展前景的看法。
关键字：信息监听 Sniffer 数据包分析信息安全 Sniffer的防范1．信息监听的意义；我国的网络正在快速发展中，相应的问题也就显现出来，网络管理及相关应用自然将越发重要，而监听技术正是网络管理和应用的基础，其意义当然重要，随着中国网络的发展，监听系统必将大有用武之地，因此监听技术的研究已是时势的要求。
监听技术有助于网络管理、故障报警及恢复，也就是运用强大的专家分析系统帮助维护人员在最短时间内排除网络故障。
2、Sniffer的介绍；Sniffer Pro是一款一流的便携式网管和应用故障诊断分析软件，不管是在有线网络还是在无线网络中，它都能够给予网管管理人员实时的网络监视、数据包捕获以及故障诊断分析能力。
进行快速的网络和应用问题故障诊断，基于便携式软件的解决方案具备最高的性价比，却能够让用户获得强大的网管和应用故障诊断功能。
Sniffer程序是一种利用以太网的特性把网络适配卡置为杂乱模式状态的工具，一旦同卡设置为这种模式，它就能接收传输在网络上的每一个信息包。
Sniffer之所以著名，是因它在很多方面都做的很好，它可以监听到网上传输的所有信息。
Sniffer可以是硬件也可以是软件。
主要用来接收在网络上传输的信息。
网络是可以运行在各种协议之下的，包括以太网Ethernet、TCP/IP 等等，也可以是集中协议的联合体系。
Packet_Sniffer_用户手册(中文)
Packet Sniffer
1 介绍
SmartRF™数据包嗅探器是一个PC应用软件，用于显示和存储通过射频硬件节点侦听而 捕获的射频数据包。支持多种射频协议。数据包嗅探器对数据包进行过滤和解码，最后用一 种简洁的方法显示出来。过滤包含几种选项，以二进制文件格式储存。
安装Packet Sniffer时与SmartRF® Studio分开,而且必须在Texas Instruments网站下载. 安装完成后，支持信令协议的所有快捷键被显示在"Start menu"窗口下 注意: 选择“IEEE802.15.4/ZigBee (CC2420)” 协议后启动的Packet Sniffer是独特的.最突出的不 同点是： 数据包只储存在RAM 缓存区里. 欲了解Packet Sniffer CC2420的更多细节请参阅 CC2420的用户手册. 1.1 硬件平台
SmartRF™ Packet Sniffer 用户手册 Rev. 1.10
Packet Sniffer
Packet Sniffer
目录
1 介绍 .........................................................................................................................................3 1.1 硬件平台....................................................................................................................................3 1.2 协议......................................................................................................................................................7 1.3 数据流程......................................................................................................................................................9 1.4 软件 .......................................................................................................................................................9 2 用户界面 ....................................................................................................................................10 2.1 启动窗口. .........................................................................................................................................10 2.2 PACKET SNIFFER WINDOW OF AN ACTIVE SESSION. ........................................................................................10 2.3 菜单与工具栏 .................................................................................................................................12 2.4 安装.............................................................................................................................................................13 2.5 可选区域 ............................................................................................................................. ..................14 2.6 数据包细节 ............................................................................................................................................15 2.7 地址区 ..............................................................................................................................................16 2.8 显示器 .............................................................................................................................................17 2.9 时间轴.......................................................................................................................................................19 2.10 无线设置.............................................................................................................................................19
Siniffer抓包分析实验指导
Siniffer软件的使用题目下载网络数据包捕获工具（如Ethereal，Sniffer，Iris等），安装，运行，进行数据捕获。
找出TCP数据包。
进行如下操作：1）分析某个TCP数据包各字段的值并解释；2）找出建立连接时的TCP数据包进行分析；3）找出TCP数据包，解释TCP的确认机制；4）找出TCP数据包，解释TCP的流量控制和拥塞控制机制。
以Iris为例，具体实验步骤如下：1．组建对等网，2．在两台计算机上分别安装siniffer软件，指定服务器和客户机，3．在服务器上安装FTP服务器软件，4．在客户机上运行FTP程序，从服务器上下载一个文件到客户机，5．利用Iris捕获数据包，按要求分析TCP各字段的值。
1 组建对等网这个环节省略，因为实验室中都已经建好了。
但要自己要决定哪一台作为服务器，哪一台作为客户器，现在分别记为server和client。
2 在两台计算机上分别安装siniffer，简单使用注：这里只讲解在一台计算机（server）上安装网络数据包捕获工具s iniffer。
2.1 sniffer的大概工作原理Sniffer程序是一种利用以太网的特性把网络适配卡(NIC,一般为以太同卡)置为杂乱模式状态的工具，一旦网络卡设置为这种模式，它就能接收传输在网络上的每一个信息包。
Sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。
2.2 siniffer安装过程（1）安装过程提醒sniffer软件的安装还是比较简单的，我们只需要按照常规安装方法进行即可。
需要说明的是: 在选择sniffer pro的安装目录时，默认安装目录即可，我们可以通过旁边的Browse按钮修改路径，不过为了更好的使用还是建议各位用默认路径进行安装。
在注册用户时，注册信息随便填写即可，不过EMAIL一定要符合规范，需要带“@”。
在随后出现的“Sniffer Pro Uesr Registration”对话框中，大家注意有一行"Sniffer Serial Number"需要大家填入注册码（SR4 24-255RR-255OO-255RR，这个只能保证现在还可以，以后可能就失效，如失效各位使用者可尝试上网搜索新的可用的）（2）开始安装截图（这些资料来自51CTO技术“子旭”个人博客）在安装开始时通常会提醒你，系统要重启才能继续安装，这是正常的过程。
sniffer抓包分析参考模型
实验时间
2012年X月X日
实验人
xxx
模块章节
xxxx第X章
实验名称
xxxxxxxxxxx
实验目的
通过本实验验证.....................
实验拓扑
实验环境
需要2台虚拟机
1)win7-1
IP：192.168.0.50/24，连接在vmnet2交换机
在虚拟机上安装抓包软件sniffer，重启后安装成功
3.在winxp-1上对sniffer设置，确定要抓包的主机和抓包的数据类型
1.打开sniffer，点击“capture”（捕获）－“Define Filter”(规定过滤)－“Address”（地址）－“Address”中选择“IP”－在“station1”中填写虚拟机winxp-1的IP地址－“station2”中填写win2003-1的IP地址，
2.单击“Advance”（高级）－“IP”－“TCP”－勾选“Telnet”－“确定”
4.在winxp-1上抓包，
1.注意先启动抓包程序，再使用telnet访问。点击
开始抓包，
2.在winxp-1上“开始”－“运行”－输入“cmd”进入仿真DOS界面
执行：telnetห้องสมุดไป่ตู้192.168.0.10，
输入用户名和密码，远程登入虚拟机，
2.关闭防火墙
右键单击屏幕右下角网络图标－“更改windows防火墙设置”－“关闭”－“确定”
3.特别提示：最好为administrator用户设置密码
右键单击“我的电脑”－“管理”－“本地用户和组”－右键单击“administrator”用户－选择“设置密码”，设置密码为123，点击“确定”
指导手册-SnifferPro 数据包捕获与协议分析
网络分析工具Sniffer Pro一、训练目标1、了解常用网络分析工具2、会使用网络分析工具Sniffer Pro二、实训环境要求利用VMware软件虚拟出一台计算机（称为“虚拟机”或“虚拟系统”），与物理机组成一个最小的网络实验环境，作为网络攻击的目标计算机，物理机作为实施网络攻击的主机。
建议安装方式：在XP系统中，安装虚拟的windows2003/2000 Server系统三、实训内容任务1：网络分析工具Sniffer Pro的使用Sniffer Pro是一种很好的网络分析程序，允许管理员逐个数据包查看通过网络的实际数据，从而了解网络的实际运行情况。
它具有以下特点：1. 可以解码至少450种协议。
除了IP、IPX和其它一些“标准”协议外，Sniffer Pro还可以解码分析很多由厂商自己开发或者使用的专门协议，比如思科VLAN中继协议(ISL)。
2. 支持主要的局域网(LAN)、城域网(WAN)等网络技术(包括高速与超高速以太网、令牌环、802.11b无线网、SONET传递的数据包、T-1、帧延迟和ATM)。
3. 提供在位和字节水平上过滤数据包的能力。
4. 提供对网络问题的高级分析和诊断，并推荐应该采取的正确措施。
5. Switch Expert可以提供从各种网络交换机查询统计结果的功能。
6. 网络流量生成器能够以千兆的速度运行。
7. 可以离线捕获数据，如捕获帧。
因为帧通常都是用8位的分界数组来校准，所以SnifferPro只能以字节为单位捕获数据。
但过滤器在位或者字节水平都可以定义。
需要注意的是，使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。
如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。
因此，网络中捕获的流量越多，Sniffer系统就应该运行得更快、功能更强。
实验四snifferpro数据包捕获与协议分析
实验四SnifferPro数据包捕获与协议分析一. 实验目的1.了解Sniffer的工作原理。
2.掌握SnifferPro工具软件的基本使用方法。
3.掌握在交换以太网环境下侦测、记录、分析数据包的方法。
二、实验原理数据在网络上是以很小的被称为“帧”或“包”的协议数据单元（PDU）方式传输的。
以数据链路层的“帧”为例，“帧”由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网帧的前12个字节存放的是源MAC地址和目的MAC地址，这些数据告诉网络该帧的来源和去处，其余部分存放实际用户数据、高层协议的报头如TCP／IP的报头或IPX报头等等。
帧的类型与格式根据通信双方的数据链路层所使用的协议来确定，由网络驱动程序按照一定规则生成，然后通过网络接口卡发送到网络中，通过网络传送到它们的目的主机。
目的主机按照同样的通信协议执行相应的接收过程。
接收端机器的网络接口卡一旦捕获到这些帧，会告诉操作系统有新的帧到达，然后对其进行校验及存储等处理。
在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的MAC地址和自己的物理地址一致或者是广播地址，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。
如果网络中某个网络接口卡被设置成“混杂”状态，网络中的数据帧无论是广播数据帧还是发向某一指定地址的数据帧，该网络接口卡将接收所有在网络中传输的帧，这就形成了监听。
如果某一台主机被设置成这种监听（Snfffing）模式，它就成了一个Sniffer。
一般来说，以太网和无线网被监听的可能性比较高，因为它们是一个广播型的网络，当然无线网弥散在空中的无线电信号能更轻易地截获。
三、实验内容及要求要求：本实验在虚拟机中安装SnifferPro4.7版本，要求虚拟机开启FTP、Web、Telnet等服务，即虚拟机充当服务器，物理机充当工作站。
物理机通过Ping命令、FTP访问及网页访问等操作实验网络数据帧的传递。
实验八--网络性能监测分析工具Sniffer捕获高层协议数据包并分析
实验八-网络性能监测分析工具Sniffer捕获高层协议数据包并分析实验目的: 使用Sniffer抓取ftp的数据报分析FTP的三次“握手”的过程。
分析FTP客户端和服务器端通信过程实验环境: Windows环境下常用的协议分析工具: sniffer 搭建Serv-U FTP Server, 在计算机上建立FTP服务器VMware虚拟机, 用虚拟机进行登录FTP。
实验内容和步骤:1. 建立网络环境。
用Serv-U FTP Server在计算机上建立一台FTP服务器, 设置IP地址为: 192.168.0.10。
在Serv-U FTP Server中已设定用户xyz, 密码123123。
（也可以自行设定其他帐号）2. 在此计算机上安装了sniffer。
3．启动该机器上的虚拟机作为一台FTP客户端, 设置IP地址为: 192.168.0.12。
4. 使用ping命令看是否连通。
记录结果。
5. 使用虚拟机登录FTP服务器。
6. 运行sniffer嗅探器, 并在虚拟机的“运行”中输入ftp://192.168.0.10, 点确定后出现如下图的登录窗口:在登录窗口中输入：用户名（xyz）, 密码（123123）使用sniffer抓包, 再在sniffer软件界面点击“stop and display”, 选择“Decode”选项, 完成FTP命令操作过程数据包的捕获。
8.在sniffer嗅探器软件上点击Objects可看到下图, 再点击“DECODE(反解码)。
记录FTP三次握手信息, 写出判断这三个数据包的依据（如syn及ack）。
记录端口信息等内容。
9．找出数据包中包含FTPUSER命令的数据包, 记录显示的用户名。
10．捕获用户发送PASS命令的数据包, 记录显示的密码。
11. 找出FTP服务器端与客户端端口20进行三次握手打开数据传输。
记录数据信息。
用Sniffer命令抓包分析操作说明_Jimmy
FortiGate 用Sniffer 命令命令抓包分析说明文档抓包分析说明文档说明说明：：本文档针对FortiGate 产品的后台抓包命令使用进行说明，相关详细命令参照相关手册。
在使用后台抓包分析命令时，建议大家使用如SecureCRT 这样的远程管理工具，通过telnet 或者ssh 的方式登陆到网关，由于UTM 本身不支持将抓包的结果保存在设备自身的存储空间，因此需要借助SecureCRT 这样远程管理工具接收文件。
1．基本命令命令: diagnose sniffer packet.# diag sniffer packet <interface> <'filter'> <verbose> <count>2．参数说明2.1 interface<interface> 指定实际的接口名称，可以是真实的物理接口名称，也可以是VLAN 的逻辑接口名称，当使用“any ”关键字时，表示抓全部接口的数据包。
例：＃diag sniffer packet port1 //表示抓物理接口为port1的所有数据包＃diag sniffer packet any //表示抓所有接口的所有数据包＃diag sniffer packet port1-v10 //当在物理接口建立一个VLAN 子接口，其逻辑接口名为port1-v10，此时表示抓port1-v10接口的所有数据包，此处一定注意一个问题，由于抓包命令中的空格使用来区分参数字段的，但是在逻辑接口创建时，接口名称支持空格，考虑到今后抓包分析的方便，建议在创建逻辑接口时不要带有空格。
2.2 verbose<verbose> 指控制抓取数据包的内容1: print header of packets, //只抓取IP的原地址、源端口、目的地址、目的端口和数据包的Sequence numbers 为系统缺省设置2: print header and data from ip of packets, //抓取IP数据包的详细信息，包括IP数据的payload。
(完整word版)Sniffer 网络抓包
MySniffer抓包程序一、开发思路在windows操作系统下，要想捕获网络上的数据包,必须要对网卡进行控制,因为本机的数据报从网络上来到本机是通过网卡然后再保存到本地缓冲区上的，所以要抓获网包就必须调用网卡驱动中的对外函数.因此，通过调用网卡驱动函数,将网卡设置为杂乱模式状态,使得网卡不能阻塞、过滤或控制其他应用程序数据报的收发，以达到抓取数据包的目的.开发环境：系统:Windows XP;IDE:MyEclipse6.0。
1；工具包： winpcap；Jpcap;开发语言：java二、开发流程1、MySniffer功能本程序基本功能:包括对ipv6数据包的抓取,分析.扩展功能：提供友好的可视化界面和操作。
2、MySniffer层次结构MySniffer抓包程序分为三大部分：访问网络底层部分、数据包分析部分、可视化界面部分。
因此，层次结构大概为下图所示：图一、MySniffer抓包程序层次结构图从MySniffer抓包程序层次结构图可知,程序各部分的主要功能包括：●可视化界面部分:提供友好界面显示，抓包操作(网卡选择、开始抓包、停止抓包）及显示数据包分析结果。
●数据包分析部分：负责分析数据包及保存抓取到的数据包.●访问网络底层部分：提供底层服务，检测网卡设备及抓取网络中的原始数据包.3、MySniffer操作流程MySniffer操作流程具体为：初始化界面—〉检测网卡—〉调用网卡抓包—〉对抓到的数据包即时统计、分析->停止抓包—〉显示数据包内容。
如下图所示：图二、MySniffer抓包程序操作流程图4、MySniffer具体实现MySniffer抓包程序包括4个类,分别是IPV6Main(主函数）、IPV6Frame（界面)、IPV6Packet(数据包信息）、IPV6Captor（抓包）。
IPV6Frame提供界面显示，有以下方法：startButton（）//开始按钮触发方法，调用doCapture（）。
sniffer抓包详细讲解教程
1Mbps (megabits per second兆比特每秒)，亦即 1 x 1024 / 8 = 128KB/sec（字节/秒），我们常用的ADSL下行512K指的是每秒 512K比特(Kb)， 也就是每秒512/8=64K字节（KB）
图26
图27
图28
步骤1：设置规则
按照下图29、30进行设置规则，设置方法同上。
图29
图30
步骤2：抓包
按F10 键开始抓包。
步骤3：访问网站
步骤4：察看结果
图16中箭头所 指的望远镜图标变红时，表示已捕捉到数据，点击该图标出现图31界面，选择箭头所指的Decode选项即可看到捕捉到的所有包。在Summary中找到含有POST关键字的包，可以清楚地看出用户名为qiangkn997，密码为?，这可是我邮箱的真实密码！当然不能告诉你，不过欢迎来信进行交流。
图1
图2
如图3所示，点击图3中①所指的图标，出现图中显示的界面，选择图中②所指的IP选项，界面中出现的是所有在线的本网主机地址及连到外网的外网服务器地址，此时想看看192.168.113.88这台机器的上网情况，只需如图中③所示单击该地址出现图4界面。
图3
图4中清楚地显示出该机器连接的地址。点击左栏中其它的图标都会弹出该机器连接情况的相关数据的界面。
sniffer教程
2009-09-10 00:25
SnifferPro可运行在局域网的任何一台机器上，如果是练习使用，网络连接最好用Hub且在一个子网，这样能抓到连到Hub上每台机器传输的包。
sniffer pro数据包分析
、实验目的：1、理解协议分析仪的工作原理；2、学会使用Sniffer Pro捕获数据包；3、学会分析协议数据包。
二、实验设备硬件：PC机二台和交换机一台。
软件：作服务器的PC需安装Windows 2000 Server，另一台PC作客户机，可为Windows 2000/XP，并安装Sniffer Pro 4.7.5。
拓朴结构图：三、任务描述作为公司网络管理员需要熟悉网络协议，熟练使用协议分析仪。
使用协议分析仪，宏观上，可以进行统计以确定网络性能。
微观上，可以从数据包分析中了解协议的实现情况，是否存在网络攻击行为等，为制定安全策略及进行安全审计提供直接的依据。
四、实验内容和要求1、使用Sniffer Pro捕获数据包；2、定义过滤条件；3、分析数据包协议；4、截获HTTP网页内容（如手机号码）5、截获FTP客户名和密码。
五、实验步骤：1、设置IP地址：为了避免各组的IP地址发生冲突，各组将本组机的IP地址设为192.168.X.N，X为组号，N由组长指定，组内机要不相同。
服务器的IP地址： Sniffer Pro机的IP：2、新建文件夹和文件新建文件夹“D：\MyFTP”和文本文件：“test.txt”。
test.txt中的内容为：Hello, everybody! Miss you!3、新建本地用户：右击“我的电脑”—>“管理”—>“计算机管理” —>“用户”，新建用户FTPuser，密码为ftpXXXX，XXXX为班号+组号，如一班三组为：0103。
4、创建一个FTP站点：a）单击“开始”—》“程序”—》“管理工具”—》“Internet信息服务”，打开“Internet信息服务”管理工具。
b）右键单击“默认FTP站点”，选择“属性”，进入“默认FTP站点属性”设置界面。
c）修改主目录：在“本地路径”输入自己站点所在的文件夹“D:\MyFtp”。
d）设置客户对文件的操作类型（见上图），允许的操作有“读取”、“写入“和“日志”。
SnifferPro数据包捕获与协议分析
四、实验总结
1）体会Sniffer的危险性； 2）学习使用Cain & Abel 4.9软件，并与 SnifferPro4.7进行比较
Sniffer Pro数据包捕获与协议分析
一、实验目的
(1)了解Sniffer的工作原理。 (2)掌握SnifferPro工具软件的基本使用 方法。 (3)掌握在非交换以太网环境下侦测、记 录、分析数据包的方法。
二、实验设备与器具
本实验在虚拟机中安装SnifferPro4.7版本， 要求虚拟机开启FTP、HTTP等服务。 物理机通过Ping命令、FTP访问及网页访 问等操作实验网络数据帧的传递。
三、实训内容和要求
（5）监测分析网络中传输的HTTP数据 1）在服务器的Web目录下放置一网页文件。 2）定义过滤规则：点击菜单“Capture”“Define Filter”，在对话框中点“Advanced”选项卡，在该项下 选择“IP”→“TCP”→“HTTP”。设置完成后点击菜单中 “Capture”→“Start'’开始记录监测数据。 3）从工作站用浏览器访问服务器上的网页文件。 4）观察监测到的结果：点击菜单中“Capture”→“Stop and display”，将进入记录结果的窗口，点击下方各选 项卡可观察各项记录。点击“File”→Save”保存记录。 5）记录监测到的HTTP传输记录：点击记录窗口下方的 解码“Decode”选项，进入解码窗口，分析记录，找到 工作站向服务器发出的网页请求命令并记录有关信息。
三、实训内容和要求
（6）监测分析网络中传输的FTP数据 1）启用服务器的Serv-U软件，在FTP服务目录下放置一个文本文件。 2）定义过滤规则：点击菜单“Capture”→“Define Filter”，在 “Summary”选项卡下点击“Reset"按钮将过滤规则恢复到初始状 态，然后在“Advanced”选项卡下选择“IP”→“TCP”→“FTP”。设 置完成后点击菜单“Capture”→“Start”开始记录监测数据。 3）从工作站用FTP下载服务器上的文本文件。 4）观察监测到的结果：点击菜单“Capture”→“Stop and display”，进入记录结果的窗口，点击下方各选项卡观察各项记录并 保存记录。 5）记录监测到的FTP传输记录：点击记录窗口下方的解码 “Decode”选项，进入解码窗口，分析记录，找到工作站向服务器 发出的FTP命令并记录。
sniffer包分析
网络与信息安全技术报告实验一 sniffer【实验目的】熟练的掌握sniffer软件；【实验要求】（1）学会安装sniffer，并正确配置；（2）学会抓包；（3）熟悉的理解和分析包的内容【实验包分析】分析的包为：上面的包解析为：此包由数据链路层包里面封装一个IP数据包和一个TCP包构成,且数据包的填充字长是6个字节,以太网类型是0800,表示为IPV4协议.其中：1、数据链路层头部分析：此DLC头部显示出此包在下午14:46:30抓获，并且包的大小是60个字节。
目的计算机的MAC地址是1FA60B，源计算机的MAC地址是6D9CE5。
数据报的类型是IP数据报。
2、此包中包含的IP数据包的数据分析如下：由上得：计算机连接此网络的IP协议版本是IPV4,数据报的头部固定字长是20个字节;服务类型值是00，我们看到Type of service下面一直到总长度部分都是0,每个二进制数位的意义都不同,取决于最初的设定, 例如，正常延迟设定为0，说明没有设定为低延迟，如果是低延迟，设定值应该为1。
数据的总长度(Total length)是40 字节,为Internet文件头和数据的长度之和,除去20字节的首部长度,它的数据长度是20字节.Identification :该数值是文件头的标示符部分,即此头文件的标示符为23657，当数据包被划分成几段传送时，接收数据的主机可以用这个数值来重新组装数据。
Flags(标记):数据包的“标记”功能，1。
=don’t fragment说明它是没有被分片的，下面标记0说明这个数据包是最后一个数据包，不可分片！Fragment offset(分段差距)：上图表示分段差距是0字节，分段差距用来说明某个区段数据包的那个部分。
Time to live（生存时间）：表示TTL值的大小，由上可以得知这个数据包可以保存64S或者经过64个路由器；Protocol（协议）：显示协议值，代表传输层协议，文件头的写一部分只说明要使用的下一个上层协议是什么，这里是TCP；Header checksum(校验和)：这里显示了校验和(只在这个头文件中使用)的值，并且已经做了标记，表明这个数值是正确的；Source address(源地址)：显示了数据的来源地址，此处的数据来源IP 地址是222.18.75.60；Destination address(目的地址)：显示了数据访问的目的地址，此处的目的地址是118.215.189.1913、TCP数据包:Source port(源计算机开放端口):说明此包的源计算机开放端口是2953;Destination port(本地计算机的访问端口): 本地计算机的访问端口是80;并且使用的HTTP协议访问网络;Sequence number(序列码):表示当前访问数据的数据序号是818207329;Next expected Seq number(下一访问数据序列码):下一个访问的数据序列号是818207329;Acknowledgment number(确认码): 32位，如果设置了ACK控制位，这个值表示一个准备接收的包的序列码，只有ACK标志为1时，确认号字段才有效。
sniffer抓包分析讲解
用Sniffer抓包分析以太网帧用sniffer抓icmp包来分析。
1。
ping 192.168.1.1 -l 0ping一个ip，指定携带的数据长度为0抓包分析如图：从图上的1处我们可以看到这个数据总大小是：60byte从2处看到ip数据总长度：28byteip数据为什么是28byte？因为ip头部是20个字节（4处标记的），而icmp头部是8个字节，因为我们的ping是指定数据长度为0的，所以icmp里不带额外数据，即：28＝20＋8而我们知道以太网类型帧头部是6个字节源地址＋6个字节目标地址＋2个字节类型＝14字节以太网帧头部＋ip数据总长度＝14＋28＝42注意3处标记的，填充了18个字节。
42＋18＝60刚好等于总长度，其实这里我们需要注意到这里捕捉到帧不含4个字节的尾部校验，如果加上4字节尾部校验，正好等于64！64恰好是以太类型帧最小大小。
在图中我们还可以看到这个帧没有分割，flags＝0x，因为不需要分割。
再分析一个ping 192.168.1.1 -l 64数据大小106byte106－14（以太类型帧头部）=92刚好等于ip部分的显示大小92－20（ip）－8（icmp头）＝64刚好等于我们指定的64字节ping 包以太网帧实际承载数据部分最大为1500，这里面还包含其他协议的报头，所以实际承载数据肯定小于1500，如果ping 192.168.1.1 -l 1500，那么数据必要会被分割，但计算方法还是一样的，只是需要特别注意，后续帧无需包含第一个帧所包含的icmp报头。
所以第一个帧的大小会是1500（实际数据部分大小，含ip和icmp报头）＋14（以太类型帧头部）＝1514，在第一个帧里实际携带了多少数据的是1500－20（IP 报头）－8（icmp 报头）＝1472，剩余28bytes数据会在后续帧中后续帧大小：14（以太类型头）＋20（ip头）＋28（实际数据）＝62注意上面的计算我们都不计算尾部4字节校验的。
实验四SnifferPro数据包捕获与协议分析(2)报告
3）“42 5E”表示数据包中ICMP部分上的一个16位检验和。
4）“02 00”表示示数据包中ICMP部分的16位识别号。
5）“0B 00”表示示数据包中ICMP部分的16位报文序列号。
6）“41 42……表示示数据包中ICMP数据包中的的可选项内容。
04 30 00 15 3C F3 42 08 00 00 00 00 70 02
FA F0 81 35 00 00 02 04 05 B4 01 01 04 02
TCP协议的头结构
由上截图和TCP协议的头部结构图，可进行一下详细分析：
TCP包头占有20个字节，后面02 04 05 B4 01 01 04 02部分是可选项和数据部分。
实验步骤及内容：
一、规划IP地址，使得虚拟机与主机通信（自定义模式）主机使用虚拟网卡1，主机IP为192.168.1.100子网掩码255.255.255.0，共享的VMNET1虚拟机IP为192.168.1.4子网掩码255.255.255.0默认网关为192.168.1.4，首选DNS为114.114.114.114。
以下截取的是TP头部的部分对应的详细信息。
（2）抓取ICMP协议数据包，分析ICMP协议的头部信息。
由上抓包截图可知，ICMP的报头头为：08 00 42 5E 02 00 0B 00 41 42……
参照以上图并结合ICMP报文头部格式可以进行详细的ICMP数据报格式分析；
1）“08”表示一个8位类型字段，表示ICMP数据包类型。
3）“00 3C”，为IP数据报文总长，包含头部以及数据，这里表示60字节。这60字节由20字节的IP头部以及40字节的TCP头构成（最后的一个字节为数据）。因此目前最大的IP数据包长度是65535字节。
使用PacketSniffer抓包和分析（z-stack协议）
使⽤PacketSniffer抓包和分析（z-stack协议）以下内容仅是⾃⼰学习总结，可能会有错误，有发现问题的欢迎指正（图⽚可以⾃⼰放⼤，还是⽐较清晰的）。
1、协调器上电，其他设备均不上电，抓包如下：通过观察可以发现，协调器建⽴⽹络成功后，会以15秒为周期告知⾃⼰的⽹络连接状态，2、关闭协调器，路由器上电，抓包如下：路由器会不断的发送Beacon request来请求⽹络信息。
3、为了抓完整的包，先将协调器上电，然后再将路由器上电，抓完整组⽹包如下：从头开始看，1）⾸先协调器建⽴好⽹络，并且以15S的间隔⼴播⾃⼰的⽹络连接状态NWK Link Status2）路由器连续发了3个Beacon request,协调器分别回应了3次，3）然后路由器将⾃⼰的MAC地址信息加⼊，发送了Association request，即请求连接，协调器回复⼀个ACK信号4）路由器将⾃⼰的MAC地址信息加⼊(0x00124B000AF859CD)，发送了Data request,协调器再回复⼀个ACK信号5）协调器根据Data request，给路由分配⼀个short addr（0x4D13）发送给路由器(0x0000)。
路由器收到后给予⼀个ACK回应6）接着路由器和协调器分别⼴播⼀个APS CLUSTER ID = 0x0013的数据信息7）组⽹已经全部完成，这时候路由器和协调器分别会以15秒的间隔不断的⼴播⾃⼰的⽹路状态，8) 此时，⽤户可以发送⾃⼰的数据，我这⾥发送数据是截图的最后⼀帧（上⾯截图没有截完全，下⾯是上⾯最后⼀帧截图的补充），可以观看，MAC payload即MAC层接收到的数据，它左右的信息是物理层PHY头部解析后的表现形式，MAC payload⼜解析成了NWK头部和NWK payload（MAC payload黄⾊区域右边），同样NWK payload⼜分解成了APS头部和APS payload(NWK payload黄⾊区域右边),观察这些数据，发现不正是我们在⽤户程序⾥⾯⾃⼰定义的端点号，簇ID，和数据内容吗，这些数据我们将在⾃⼰的程序中解析并且处理我这⾥的端点号是0x0B,簇ID是0x0002，prifile ID 是0x0F05,数据内容是EA EB 4D 13 D9 5B F8 0A 00 4B 12 00（EA EB是头部，4D 13是路由器的短地址，D9 5B F8 0A 00 4B 12 00是路由器的长地址；仅测试使⽤，所以数据格式叫简单，没有数据长度，数据校验等信息）9）以上过程就完成了路由器，协调器组⽹，并且数据传送的整个过程。
Sniffer抓包分数据包分析手册
xxi
该数据包有以下特征： 1. 在 IP 的内容中，源地址（source address）为交换机（NAS）的 IP 地址，目的地址（destination address）为 SAM 服务器的 IP 地址。 UDP 的内容中，源端口(source port)为 1812，目的端口（destination port）为 1812。 3. Radius 的内容中，code 的值标识为 1 Radius 的内容中，Identifier 的值为 2，说明该数据包为二次请求包。 具备以上特征的数据包认定为交换机（NAS）向 SAM 服务器发起的二次接入请求包（RADIUS Access-request）。 四．SAM 服务器向交换机（NAS）发送的接入允许包（RADIUS access-accept） 数据包如图：
sniffer 抓包分析
Tcp协议的数据包GET / HTTP/1.1（“GET”表示我们所使用的HTTP动作，其他可能的还有“POST”等，GET的消息没有消息体，而POST消息是有消息体的，消息体的内容就是要POST的数据，HTTP1.1表示使用的是HTTP1.1协议）Accept: */* （什么都接收）Accept-Language: zh-cn （接受的语言形式）Accept-Encoding: gzip, deflate （代表本地可以接收压缩格式的数据）User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CIBA; .NET CLR3.0.04506.648; .NET CLR 3.5.21022; .NET CLR 2.0.50727) （本机信息）Host: 210.43.0.10 （请求的主机IP地址）Connection: Keep-Alive (表示使用Keep-Alive方式，即数据传递完并不立即关闭连接) Cookie: ASPSESSIONIDACSSDCBR=APMJMJMAIGOGBOAPIBPMDGGL （cookie信息，用于记录用户在该网站的浏览足迹）HTTP/1.1 200 OK （“HTTP/1.1”表示所使用的协议，后面的“200 OK”是HTTP返回代码，200就表示操作成功，还有其他常见的如404表示对象未找到，500表示服务器错误，403表示不能浏览目录等）Date: Sun, 05 Jun 2011 06:00:24 GMT （处理此请求的时间）Server: Microsoft-IIS/6.0 （主机服务器版本）X-Powered-By: （的一个附加提示，没什么实际用处）Content-Length: 22876 （表示消息体的长度，从空行以后的内容算起，以字节为单位，浏览器接收到它所指定的字节数的内容以后就会认为这个消息已经被完整接收了）Content-Type: text/html （浏览器会根据它来决定如何处理消息体里面的内容，例如这里是text/html，那么浏览器就会启用HTML解析器来处理它，如果是image/jpeg，那么就会使用JPEG的解码器来处理）Cache-control: private （当指定cache-control的值为private、no-cache、must-revalidate，那么打开新窗口访问时都会重新访问服务器）（以下为所得网页数据，由于太多省略中间body部分）<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN""/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html xmlns="/1999/xhtml"><head><meta http-equiv="Content-Type" content="text/html; charset=gb2312" /><title>..............Henan University of Science and Technology</title><metacontent="HAUST,............,........,......,....,..................,................,. .................,................,....................,....................,........, ........,..........," name="Keywords"/><meta content="............................................" name="Description"/><meta http-equiv="X-UA-Compatible" content="IE=EmulateIE7" /><link href="/2010/images/style.css(样式)" rel="stylesheet" type="text/css"></head><body></body></html>ftp协议的数据包TCP 192.168.2.153 192.168.2.154 2975 21 ftp 13 240 字节806 字节2011/6/5 13:58:59:468 2011/6/5 13:58:59:843noop200 NOOP command successful.CWD /250 CWD command successful.TYPE A200 Type set to A.PASV227 Entering Passive Mode (192,168,2,154,8,133).LIST125 Data connection already open; Transfer starting.226 Transfer complete.TCP 192.168.2.153 192.168.2.154 2986 2181 5 219 字节678 字节2011/6/5 13:58:59:468 2011/6/5 13:58:59:46812-19-09 03:36PM <DIR> Adobe PDF06-05-11 01:51PM 57309 ha_smartsniff1.71_lewen.rar12-24-08 01:22PM <DIR> My Music12-24-08 01:21PM <DIR> My PicturesUdp协议数据包UDP 192.168.2.153 210.43.0.8 50502 53 domain 2 257 字节372 字节2011/6/5 14:02:32:468 2011/6/5 14:02:32:46800000000 12 E3 01 00 00 01 00 00 00 00 00 00 03 77 77 77 ........ .....www 00000010 05 62 61 69 64 75 03 63 6F 6D 00 00 01 00 01 .baidu.c om.....(向目的网站发送请求)00000000 12 E3 81 80 00 01 00 03 00 04 00 04 03 77 77 77 ........ .....www 00000010 05 62 61 69 64 75 03 63 6F 6D 00 00 01 00 01 C0 .baidu.c om...... 00000020 0C 00 05 00 01 00 00 00 00 00 0F 03 77 77 77 01 ........ ....www. 00000030 61 06 73 68 69 66 65 6E C0 16 C0 2B 00 01 00 01 a.shifen ...+.... 00000040 00 00 02 53 00 04 3D 87 A9 69 C0 2B 00 01 00 01 ...S..=. .i.+.... 00000050 00 00 02 53 00 04 3D 87 A9 7D C0 2F 00 02 00 01 ...S..=. .}./.... 00000060 00 00 2D 55 00 06 03 6E 73 36 C0 2F C0 2F 00 02 ..-U...n s6././.. 00000070 00 01 00 00 2D 55 00 06 03 6E 73 32 C0 2F C0 2F ....-U.. .ns2././ 00000080 00 02 00 01 00 00 2D 55 00 06 03 6E 73 34 C0 2F ......-U ...ns4./ 00000090 C0 2F 00 02 00 01 00 00 2D 55 00 06 03 6E 73 35 ./...... -U...ns5 000000A0 C0 2F C0 78 00 01 00 01 00 00 00 A6 00 04 7B 7D ./.x.... ......{} 000000B0 71 42 C0 8A 00 01 00 01 00 00 00 6A 00 04 7B 7D qB...... ...j..{} 000000C0 71 43 C0 9C 00 01 00 01 00 00 00 51 00 04 DC B5 qC...... ...Q.... 000000D0 03 B2 C0 66 00 01 00 01 00 00 00 C7 00 04 DC B5 ...f.... ........ 000000E0 04 B2 ..。
FortiGate 用Sniffer 命令抓包分析说明文档-FGT、系统管理、培训
FortiGate 用Sniffer 命令抓包分析说明文档更多：说明：本文档针对FortiGate 产品的后台抓包命令使用进行说明，相关详细命令参照相关手册。
在使用后台抓包分析命令时，建议大家使用如SecureCRT 这样的远程管理工具，通过telnet 或者ssh 的方式登陆到网关，由于UTM 本身不支持将抓包的结果保存在设备自身的存储空间，因此需要借助SecureCRT 这样远程管理工具接收文件。
1．基本命令命令: diagnose sniffer packet.# diag sniffer packet <interface> <'filter'> <verbose> <count>2．参数说明2.1 interface<interface> 指定实际的接口名称，可以是真实的物理接口名称，也可以是VLAN 的逻辑接口名称，当使用“any”关键字时，表示抓全部接口的数据包。
例：＃diag sniffer packet port1 //表示抓物理接口为port1 的所有数据包＃diag sniffer packet any //表示抓所有接口的所有数据包＃diag sniffer packet port1-v10 //当在物理接口建立一个VLAN 子接口，其逻辑接口名为port1-v10，此时表示抓port1-v10 接口的所有数据包，此处一定注意一个问题，由于抓包命令中的空格使用来区分参数字段的，但是在逻辑接口创建时，接口名称支持空格，考虑到今后抓包分析的方便，建议在创建逻辑接口时不要带有空格。
2.2 verbose<verbose> 指控制抓取数据包的内容1: print header of packets, //只抓取IP的原地址、源端口、目的地址、目的端口和数据包的Sequence numbers 为系统缺省设置2: print header and data from ip of packets, //抓取IP数据包的详细信息，包括IP数据的payload。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Sniffer 抓包分数据包分析手册 前言
现在大家在一线解决故障过程中，经常会利用 sniffer 软件来分析网络中的数据包，从而 为故障的解决及相关的部门（如研发）提供更有说服力的数据。应该来说，sniffer 的包文对 于解决问题确实起到了很大的作用，但很多时候有些人所提供的 sniffer 数据包什么数据都抓， 很混，要花很大的力气才能对看明白该数据包，另外，很多时候没有给出相应的抓包的网络拓 扑图，数据包中的源端口、目的端口、IP 地址等方面的说明，这样不利于相关人员的分析和定 位。为此，我做个这方面的 case，供大家参考，望大家能够提供更有价值的数据给相关的人员。
xviii
交换机(NAS)向 Radius 服务器发起接入请求（RADIUS Access-request） 数据包如图:
xix
该数据包由以下特征： 1．在 IP 的内容中，源地址（source address）为交换机（NAS）的 IP 地址，目的地址（destination address）为 SAM 服务器的 IP 地址。 在 UDP 的内容中，源端口(source port)为 1812，目的端口（destination port）为 1812。 在 Radius 的内容中，code 的值标识为 1,含义为接入请求。 在 Radius 的内容中，Identifier 的值为 1，含义为第一次接入请求。 具备以上特征的数据包认定为交换机（NAS）向 SAM 服务器发起的接入请求包（RADIUS Access-request）。 二．SAM 服务器向交换机（NAS）发送的接入询问数据包（RADIUS access-challenge） 数据包如图：
dot1x port-control auto interface vlan 1
no shutdown ip address 192.168.0.249 255.255.255.0 radius-server key start ip default-gateway 192.168.0.254 五、开始捕获认证客户端电脑与 S2126G 交换机交互报文时，sniffer 程序的设置准备：由于我 们只关心认证客户端电脑与 S2126G 交换机之间的报文，因此我们需要将其他电脑或交换机所发 的广播等报文过过滤掉，而交换机与认证客户端之间报文的交互，都是通过二层的 MAC 地址来 进行的，因此我们要设置 sniffer 程序的捕获条件，即定义“定义捕获数据过滤板”，设置过程 如下：
i
认证客户端与 NAS 设备（交换机）报文交互
一、捕获数据包拓扑图：
SAMII 服务器 192.168.0.232/24 MAC：
F0/2 F0/16
S2126G 交换机 192.168.0.244/24 MAC：00D0-F8EF-99DC
二、捕获数据包的目的：
认证客户端电脑 192.168.0.241/16 MAC：0040-050c-0AC4
xvii
对 NAS 的上联端口进行双向的数据流进行捕获（如图所示），上连端口为连接上层交换机的端口， 此口为非受控口，一般选择交换机的第一个端口或最后一个端口。将此口镜像到交换机的其他 端口上，然后利用装有 Sniffer 软件的 PC 进行数据捕获。 步骤三：典型的交换机与 SAM 服务器认证交互的数据包分析: 交换机与 SAM 服务器进行认证交互分为以下四个阶段： 如图所示，将有四种类型的数据包：
6、NAS 发送一个成功的消息给认证客户端，并且把相关 NAS 数据逻辑端口给打开。
说明：EAP Code = 3 表示成功认证的数据包。 7、 断开客户端的连接时，客户端发送一个 EAPOL-LOGOFF 报文给 NAS
xi
8、 NAS 发送一个失败响应数据包对客户端发送一个 EAPOL-LOGOFF 报文响应。 说明：EAP Code=4 表示失败认证的消息。
1、 捕获认证客户端电脑（192.168.0.241/24）与 S2126G 交换机交互的报文；
2、 捕获 S2126G 交换机与 SAMII 服务器（192.16 报文的文件命名：请尽可能采用一目了然的文件名，即从文件名即
可以大概知道该 sniffer 的报文的内容；同时，对于每个 sniffer 文件，请用一个 readme.txt
1、EAP-PACKET：0000 0000 表示的是一个 EAP 数据包。 2、EAPOL-START：0000 0001 表示的是一个 EAPOL-START 帧。 3、EAPOL-LOGOFF：0000 0010 表示的是一个 EAPOL-LOGFF 帧。 4、EAPOL-KEY：0000 0010 表示的一个 EAPOL-KEY 帧。 2、NAS 设备发送一个对 EAPOL-START 响应 EAP 请求数据帧（请求相关信息）
4、NAS 发起一个对客户端的 EAP-MD5 挑战信息数据包。
解释：其中在 EAP DATA 里面： 1） EAP Type = 4 表示的是 MD5_challenge type ，表示请求相关的 MD5 挑战认证的相
x
关信息。 5、客户端对 MD5_challenge 挑战信息进行响应，发送一个响应数据包。
aaa authentication dot1x
aaa accounting server 192.168.0.232
ii
aaa accounting enable secret level 1 5 %2,1u_;C34-8U0<D4'.tj9=GQ+/7R:>H enable secret level 15 5 %2-aeh`@34'dfimL4t{bcknAQ7zyglow interface fastEthernet 0/16
xxi
该数据包有以下特征： 1. 在 IP 的内容中，源地址（source address）为交换机（NAS）的 IP 地址，目的地址（destination address）为 SAM 服务器的 IP 地址。 UDP 的内容中，源端口(source port)为 1812，目的端口（destination port）为 1812。 3. Radius 的内容中，code 的值标识为 1 Radius 的内容中，Identifier 的值为 2，说明该数据包为二次请求包。 具备以上特征的数据包认定为交换机（NAS）向 SAM 服务器发起的二次接入请求包（RADIUS Access-request）。 四．SAM 服务器向交换机（NAS）发送的接入允许包（RADIUS access-accept） 数据包如图：
简短地说明，这样便于相关的人员能够更好地知道 sniffer 报文的内容；
四、交换机的配置：
show run
Building configuration...
Current configuration : 633 bytes
version 1.0
hostname Switch
radius-server host 192.168.0.232
3、客户端 Suppliant 发送对前一个 EAP 请求数据帧进行响应，采用 EAP 数据帧的方式发送客 户端的请求信息（用户名）。
ix
说明：1、802.1X Packet Type =0 表示一个 EAP 数据包 2、EAP：Code= 2 表示一个 EAP 响应数据包 3、EAP：Message = “hhh ” 表示请求的用户名是 hhh。
viii
说明： 1）802.1X Version =1 表示当前的 802.1X 协议版本是 1。 2）802.1X Packet Type = 0 表示的是 802.1X， PACKET DATA 的内容是：一个 EAP 数据包。 3）EAP：Code=1 表示是一个请求数据包。 4）EAP Identifier=1 EAP 标识是 1。 5）EAP Data 后面跟随的是数据内容。
十、分析捕获所得到的数据包： 1、首先分析客户端软件发起认证时的 802.1X EAPOL-START 数据包
vii
报文说明： A、 一般来说，由客户端发起一个带有组播地址为 0180-C200-0003 的 EAPOL-START 数据帧。 B、 在数据包中，整个 EAPOL 数据包封装在普通 802.3 以太网帧中。首先是一个普通以太网相 关的源 MAC 地址和目的 MAC 地址，其中目的 MAC 地址是 802.1X 协议申请了一个组播地址 0180-C200-0003。后面是 802.1X 协议包头内容：（1）802.1X 协议版本：0000 0001；（2）802.1X 报文类型：0000 0001 表示是一个 EAPOL-START 报文；（3）802.1X 报文长度为 0，表示是 PACKET BODY FIELD 没有实际内容，全部采用零来填充。（4）在 802.1X 报文中，版本字段长度是一个 字节，指明现今 EAPOL 的版本号，一般来说填充的是：0000 00001。（4）包类型字段（Packet Type）：其中长度为一个字节，表示的正在传输包的类型，主要有以下几种数据类型：