linux(Red Hat)抓包及ethereal抓包工具的使用方法

linux抓包及ethereal抓包工具的使用方法

1．Linux抓包

（1）一般抓包命令

tcpdump -s0 -c 包数量-i 网卡名-w 文件名

其中：-s0表示应用层的size不受限制，用于详细分析。否则将被截断，即

应用层消息可能不完整)

-c 包数量到达某个数量后自动停止抓包，防止文件太大

-i 只抓某个网卡的消息，不抓其他网卡的消息

-w抓到的消息自动存入文件中，但消息不再在显示器上显示了例：tcpdump -s0 –c 10000 -i eth0 -w /tmp/1.cap

抓取本机eth0网卡上所有进出的消息，且应用层的消息是完整的，并存入/tmp目录下的1.cap文件（.cap是ethereal消息包文件的后缀名），

如果在抓包过程中用户不使用ctrl+c来中断的话，抓到10000条消息后自动

停止抓包。如果中途被中断，文件中存放的是中断之前的消息。

（2）指定交互双方的抓包命令

tcpdump host 192.168.0.2 and 192.168.0.3 –s0 –w /tmp/2-3.cap

只抓这2台主机之间交互的消息，其它消息被过滤掉。

由于ethereal工具功能强大，所以尽管tcpdump命令有许多参数可以达到许多过滤条件，但把这些事交给ethereal来做，我们就更省力。

2．ethereal抓包工具的使用方法

把xxx.cap文件下载后，就可以使用ethereal工具来分析了。当然也可在linux 机器上直接使用ethereal来抓包（需要安装rpm）而不用使用tcpdump命令。

现在介绍的是在windows电脑上启动ethereal程序，见下图：

选择菜单“file”－open

选择消息包文件：

打开：

选择菜单“statistics”－conversation list－tcp

通过对IP地址的排序找到所关心的一次交互过程，在该条目上使用右键：

该次交互过程中的所有消息便显示出来，可以认真分析了。

ethereal的显示区分为3个区域：

（1）上区域：一次交互过程中的所有消息的概况，

（2）中区域：一条消息中的所有分层信息的解码，

（3）下区域：一条消息的16进制码，当对中区域应用层的解码有疑问时，可利用该区域中的16进制码和相关协议进行再分析。

当发现问题以后，可以把该次交互过程的详细解码消息保存为文本文件进行交流。

选择菜单“file”－print

Chenke 2010。5