《数据包捕获与解析》由会员分享，可在线阅读，更多相关《数据包捕获与解析（33页珍藏版）》请在金锄头文库上搜索。
1、数据包捕获与分析摘要 本课程设计通过Ethereal捕捉实时网络数据包，并根据网络协议分析流程对数 据包在TCP/IP各层协议中进行实际解包分析，让网络研究人员对数据包的认识上升到 一个感性的层面，为网络协议分析提供技术手段。最后根据Ethereal的工作原理，用Visual C+编写一个简单的数据包捕获与分析软件。关键词 协议分析；Ethereal；数据包；Visual C + +1引言本课程设计通过技术手段捕获数据包并加以分析，追踪数据包在TCP/IP各层的封 装过程，对于网络协议的研究具有重要的意义。Ethereal是当前较为流行的图形用户接 口的抓包软件，是一个可以用来监视所有在网络上
2、被传送的包，并分析其内容的程序。它 通常被用来检查网络工作情况，或是用来发现网络程序的bugs。通过ethereal对TCP、 UDP、SMTP, telnet和FTP等常用协议进行分析,非常有助于网络故障修复、分析以及 软件和协议开发。，它以开源、免费、操作界面友好等优点广为世界各地网络研究人员 使用为网络协议分析搭建了一个良好的研究平台。1.1课程设计的内容(1) 掌握数据包捕获和数据包分析的相关知识；(2) 掌握Ethreal软件的安装、启动，并熟悉用它进行局域网数据捕获和分析的功能；(3) 设计一个简单的数据包捕获与分析软件。1.2课程设计的要求(1) 按要求编写课程设计报告书，能正确
3、阐述设计结果。(2) 通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。(3) 学会文献检索的基本方法和综合运用文献的能力。(4) 在老师的指导下，要求每个学生独立完成课程设计的全部内容。1.3课程设计平台Windows XP； Ethereal； Visual C + +2使用Ethereal对数据包进行捕获与分析2.1软件Ethereal简介Ethereal (Ethereal： A Network Packet Sniffing Tool)是当前较为流行的一种计算机 网络调试和数据包嗅探软件。Ethereal基本类似于tcpdump，但Ethereal还具有设计完 美的G
4、UI和众多分类信息及过滤选项。用户通过Ethereal，同时将网卡插入混合模式， 可以查看到网络中发送的所有通信流量。Ethereal应用于故障修复、分析、软件和协 议开发以及教育领域。它具有用户对协议分析器所期望的所有标准特征，并具有其它同 类产品所不具备的有关特征。Ethereal主要具有以下特征：在实时时间内，从网络连接处捕获数据，或者从被捕获文件处读取数据； Ethereal可以读取从tcpdump (libpcap )、网络通用嗅探器(被压缩和未被压缩)、 SnifferTM 专业版、NetXrayTM、Sun snoop 和 atmsnoop、Shomiti/Finisar 测试员
5、、 AIX 的 iptrace、Microsoft 的网络监控器、Novell 的 LANalyzer、RADCOM 的 WAN/LAN 分析器、ISDN4BSD 项目的 HP-UX nettl 和 i4btrace、Cisco 安全 IDS iplog 和 pppd 日志(pppdump 格式)、WildPacket 的 EtherPeek/TokenPeek/AiroPeek或者可视网络的可视 UpTime 处捕获的文件。此外Ethereal也能从 Lucent/Ascend WAN 路由器和 Toshiba ISDN 路由器中读取跟 踪报告，还能从 VMS的TCPIP读取输出文本和 DB
6、S Etherwatch。 从以太网、 FDDI、PPP、令牌环、IEEE 802.11、ATM 上的IP和回路接口(至少是某些系统， 不是所有系统都支持这些类型)上读取实时数据。通过GUI或TTY模式tethereal程序，可以访问被捕获的网络数据。通过editcap程序的命令行交换机，有计划地编辑或修改被捕获文件。当前602协议可被分割。输出文件可以被保存或打印为纯文本或PostScript格式。通过显示过滤器精确显示数据。显示过 滤器也可以选择性地用于高亮区和颜色包摘要信息。所有或部分被捕获的网络跟 踪报告都会保存到磁盘中1。2.2利用Ethereal捕获数据包安装完Ethereal后，
7、单击Capture下的Option菜单，打开捕获选项对话框，设置好 捕捉接口(interface)和过滤器(capture filter)，设置混杂模式(promiscuous mode)选项 (此选项使得网卡并不检验数据帧的目的地址，用以截获网上的任何帧)，其他选项可采 用默认设置如图2-1，再单击Start按钮即可实时截获数据包。用Ethereal的捕获窗口如 图2-2,捕获到的实时网络数据包的部分截图见图2-3。所截获的数据包分别在包列表 (PackList)、包细节(Packet Details)和包字节(PackeBytes)三栏窗口中显示。其中上栏的 包列表窗口按截获的时间顺序显示
8、出数据包的基本信息：编号(代表收到数据包的次 序)、时间、源地址、目的地址协议名称以及关于此数据包的摘要信息；中间栏的包细 节窗口以树形显示当前数据包在各协议层的封装细节，包括首部和数据；下栏的包字节 窗口则以十六进制和ASCII码显示被截获数据包的详细内容左边一栏显示偏移量，中间 一栏显示十六进制数值，右边一栏显示解码后相对应的字符(控制字符示为1个点)。图2-1Ethereal的设置No.,TimeSourceDestinationProtocolInfo10.00000010.28.23.94121.14.96.233UDPsource port: 5000 Destinationpor
9、t:800020.00007010.28.23.94219.133.49.192ICQ30.014033121.14.96.23310.28.23.94UDPsource port: 8000 Desfinationport:500040.014054219.133.49.19210.28.23.94ICQ50.01724210.28.23.94183.60.9.219UDPSource port: 5001 Destinationport:800060.031015183.60.9.21910.28.23.94UDPSource port: 8000 Destinationport:5001
10、y0.28421010.28.22.2010.28.23.255NBNSName query nb 80. 31547010.28.22.2010.28.23.255NBNSName query nb g0.47535010.28.23.50255.255.255.255UDPSource port: 2445 Destinationport:9997101.03416010.28.22.2010.28. 23. 255NBNSName query NB ACM.ASUS.COM.CNii1.06538510.28.22. 2010.28.23. 255NBNSName query NB 12
11、1.08960310.28.23. 25210.28.23. 255NBNSName query NB SYZX095131.09042210.28.23.25210.28.23.255NBNSName query NB SYZX095141.195396Huav/eiTe_12: 34 : 56spanning-tree-(forSTPMST. Root = 0/00:03:0f:10:48:05 Cost=40020 Port151.27733210.28.23.247224.0.0.88OICQoicq Protocol161.39869300：lb：b9：8f：2f：59Broadca
12、stARPWho has 10.28.22.51? Tell 10.28.23.25017 1.72961510.28.23.13010.28.23.255 BROWSE Host Announcement NSYZX10030, workstation, SQL servt18：78412510.28.22.2010.28.23. 255nbns Name query NB ACM.CN田 Frame 18 (92 bytes on wire, 92 bytes captured)ffi Ethernet II, src: 00:24:8c:8a:05:81 (00:24:8c:8a:05:
13、81), Dst: Broadcast (ff:ff:ff:ff:ff:ff) 田 internet Protocol, src: 10,28,22,20 (10.28.22.20), Dst: 10.28.23.255 (10.28.23,255)田 user Datagram protocol, src port: netbios-ns (137), Dst port: netbios-ns (137)田 NetBIOS Name service000000100020003000400050ff ff00 4e17 ff00 0042 464f 454 1 3 5 3 0 2 13 4
14、4 0 0 0 0 0 4 1 0 4 0 2 4 4 f o 9 o 6 1 f o 8 o 4 4 f o o of o o o 4 4 fC9 o 6 5 f 1 8 o 4 4OCL5B 0 10-44 5ao fe4 0 0 4 4 0 4 0 3 5 0 114 4 s 6 1 e o 0 10 4 5 1 c 9 5 5 1 8 14 4 4 05 -a o 4 4 o 0 0 8 4 4 0 d 8 4 5 5 o 8 3 5 4 4 2 cbf 2f o 8 3 8 4-0J E.N；8E BEDENCOEBFDFFFDC OEDEPENCOEDEOAA.图2-3捕获的数据包2.2利用Ethereal对捕获数据包进行分析Ethereal是当前较为流行的一种计算机网络调试和数据包嗅探软件，是一个可以用来 监视所有在网络上被传送的包,并分析其内容的程序。它通常被用来检查网络工作情况, 或是用来发现网络程序的bugs。通过ethereal对TCP、UDP、SMTP、telnet和FTP等常 用协议进行分析,非常有助于网络故障修复、分析以及软件和协议开发。（1）ARP协议分析ARP，全称Address Resolution Protocol，地址解析协1它工作在数据链路层，在 本层和硬件接口联系，同时对上压供服务。TP数据包常通过以太网发送，以太网设备 并不识
