《数据包捕获与解析》由会员分享，可在线阅读，更多相关《数据包捕获与解析（35页珍藏版）》请在金锄头文库上搜索。
1、数据包捕获与分析摘 要 本课程设计通过 Ethereal 捕捉实时网络数据包，并根据网络协议分析流程对数 据包在 TCP/IP 各层协议中进行实际解包分析，让网络研究人员对数据包的认识上升到 一个感性的层面，为网络协议分析提供技术手段。最后根据Ethereal的工作原理，用Visual C+编写一个简单的数据包捕获与分析软件。关键词 协议分析；Ethereal；数据包；Visual C + +1 引言本课程设计通过技术手段捕获数据包并加以分析，追踪数据包在 TCP/IP 各层的封 装过程，对于网络协议的研究具有重要的意义。 Ethereal 是当前较为流行的图形用户接 口的抓包软件,是一个可以
2、用来监视所有在网络上被传送的包,并分析其内容的程序。它 通常被用来检查网络工作情况，或是用来发现网络程序的bugs。通过ethereal对TCP、 UDP、SMTP、telnet 和 FTP 等常用协议进行分析,非常有助于网络故障修复、分析以及 软件和协议开发。，它以开源、免费、操作界面友好等优点广为世界各地网络研究人员 使用为网络协议分析搭建了一个良好的研究平台。1.1课程设计的内容(1) 掌握数据包捕获和数据包分析的相关知识；(2) 掌握Ethreal软件的安装、启动，并熟悉用它进行局域网数据捕获和分析的功能；(3) 设计一个简单的数据包捕获与分析软件。1.2课程设计的要求(1) 按要求编
3、写课程设计报告书，能正确阐述设计结果。(2) 通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。(3) 学会文献检索的基本方法和综合运用文献的能力。(4) 在老师的指导下，要求每个学生独立完成课程设计的全部内容。1.3课程设计平台Windows XP；Ethereal；Visual C 2 使用 Ethereal 对数据包进行捕获与分析2.1 软件 Ethereal 简介Ethereal (Ethereal： A Network Packet Sniffing Too 1)是当前较为流行的一种计算机 网络调试和数据包嗅探软件。Ethereal基本类似于tcpdump，但Ethe
4、real还具有设计完 美的GUI和众多分类信息及过滤选项。用户通过Ethereal，同时将网卡插入混合模式， 可以查看到网络中发送的所有通信流量。 Ethereal 应用于故障修复、分析、软件和协 议开发以及教育领域。它具有用户对协议分析器所期望的所有标准特征，并具有其它同 类产品所不具备的有关特征。 Ethereal 主要具有以下特征：在实时时间内，从网络连接处捕获数据，或者从被捕获文件处读取数据；Ethereal 可以读取从 tcpdump (libpcap )、网络通用嗅探器 (被压缩和未被压缩) 、 SnifferTM 专业版、NetXrayTM、Sun snoop 和 atmsnoo
5、p、Shomiti/Finisar 测试员、 AIX 的 iptrace 、Microsoft 的网络监控器、 Novell 的 LANalyzer 、RADCOM 的 WAN/LAN 分析器、 ISDN4BSD 项目的 HP-UX nettl 和 i4btrace 、 Cisco 安全 IDS iplog 和 pppd 日志( pppdump 格式)、 WildPacket 的 EtherPeek/TokenPeek/AiroPeek 或者可视网络的可视 UpTime 处捕获的文件。此外 Ethereal 也能从 Lucent/Ascend WAN 路由器和 Toshiba ISDN 路由器
6、中读取跟 踪报告，还能从 VMS 的 TCPIP 读取输出文本和 DBS Etherwatch 。 从以太网、 FDDI、PPP、令牌环、IEEE 802.11、ATM 上的IP和回路接口(至少是某些系统， 不是所有系统都支持这些类型)上读取实时数据。 通过 GUI 或 TTY 模式 tethereal 程序，可以访问被捕获的网络数据。通过 editcap 程序的命令行交换机， 有计划地编辑或修改被捕获文件。 当前 602 协议可被分割。 输出文件可以被保 存或打印为纯文本或 PostScript 格式。 通过显示过滤器精确显示数据。 显示过 滤器也可以选择性地用于高亮区和颜色包摘要信息。所有
7、或部分被捕获的网络跟 踪报告都会保存到磁盘中 1。2.2 利用 Ethereal 捕获数据包安装完 Ethereal 后，单击 Capture 下的 Option 菜单，打开捕获选项对话框，设置好 捕捉接口(interface)和过滤器(capture filter)，设置混杂模式(promiscuous mode)选项 (此选项使得网卡并不检验数据帧的目的地址，用以截获网上的任何帧 )，其他选项可采 用默认设置如图2-1,再单击Start按钮即可实时截获数据包。用Ethereal的捕获窗口如 图 2-2，捕获到的实时网络数据包的部分截图见图 2-3。所截获的数据包分别在包列表 (PackLi
8、st)、包细节(Packet Details)和包字节(PackeBytes)三栏窗口中显示。其中上栏的 包列表窗口按截获的时间顺序显示出数据包的基本信息：编号(代表收到数据包的次 序)、时间、源地址、目的地址协议名称以及关于此数据包的摘要信息；中间栏的包细 节窗口以树形显示当前数据包在各协议层的封装细节,包括首部和数据；下栏的包字节 窗口则以十六进制和ASCII码显示被截获数据包的详细内容左边一栏显示偏移量，中间 一栏显示十六进制数值,右边一栏显示解码后相对应的字符(控制字符示为 1 个点)。图 2-1Ethereal 的设置图 2-2 捕获状态窗口No.,TimeSourceDestina
9、tionProtocolInfo10.00000010.28.23.94121.14.96.233UDPSource port: 5000 Destination port: 800020.00007010.28.23.94219.133.49.192ICQ30.014033121.14.96.23310.28.23.94UDPSource port: 8000 Desti nartHon port: 500040.014054219.133.49.19210.28.23.94ICQ50.01724210.28.23.94183.60.9.219UDPSource port: 5001 Des
10、tination port: 800060.031015183.60.9.21910.28.23.94UDPSource port: 8000 Destination port: 500170.28421010.28.22.2010.28.23.255NBNSName query nb CN80 31547010.28.22.2010.28.23. 255NBNSName query nb v00g0.47535010.28.23.50255.255.255. 255UDPSource port: 244 5 Destination port: 9997101.03416010.28.22.2
11、010.28.23. 255NBNSName query NB ACM.ASUS.COM.CNli1.06538510.28.22. 2010.28.23. 255NBNSName query NB ww. asus. com. cn121.08960310.28.23. 25210.28.23. 255NBNSName query NB SYZX095131.09042210.28.23.25210.28.23.255NBNSName query NB SYZX095141.195396Huav/eiTe_12: 34 : 56spanning-tree-CforSTPM5T Root =
12、0/00:03:0f:10:48:05 Cost = 40020 Port151.27733210.28.23.247224.0.0.88OICQOICQ P0tOCOl161.39869300：lb：b9：8f：2f：59oadcastAFtPWho has 10.28.2251? Tell 10.28.23.250171.72961510.28.23.13010.28.23.255BROWSEHost Announcement NSYZX10030, workstation, SQL servt78412510.28.22.2010.28.23. 255nbns Name query NB
13、 ACM.CN18：( Frame 18 (92 bytes on wire, 92 bytes captured)ffi Ethernet II, src: 00:24:8c:8a:05:81 (00:24:8c:8a:05:81), Dst: Broadcast (ff:ff:ff汁汁f) 田 internet Protocol, src: 10,28,22,20 (10.28.22.20), Dst: 10.28.23.255 (10.28.23,255)田 user Datagram protocol, src port: netbios-ns (137), Dst port: net
14、bios-ns (137)S) NetBIOS Name service000000100020003000400050ff ff00 4e17 ff00 0042 464f 454 1 3 5 3 02 13 4 4 00 0 0 0 4 10 4 0 2 4 4f o 9 o 6 1f o 8 o 4 4f o o of o o o 4 4 fcg o 6 5 f 1 8 o 4 4o c L 5 B 0 10 4 45ao fe4 0 0 4 40 4 0 3 50 114 4 s 6 1 e o0 10 4 51 c 9 5 5 18 14 4 4 05 -a o 4 4 o0 0 8
15、 4 4 0 d 8 4 5 5 o8 3 5 4 4 2 cbf 2f o8 3 8 4-0J E. N融.；8E BEDENCOE BFDFFFDC OEDEPENC OEDEOAA.图2-3捕获的数据包2.2利用Ethereal对捕获数据包进行分析Ethereal是当前较为流行的一种计算机网络调试和数据包嗅探软件，是一个可以用来 监视所有在网络上被传送的包,并分析其内容的程序。它通常被用来检查网络工作情况, 或是用来发现网络程序的bugs。通过ethereal对TCP、UDP、SMTP、telnet和FTP等常 用协议进行分析，非常有助于网络故障修复、分析以及软件和协议开发。（1）ARP协议分析ARP,全称Address Resolution Protocol，地址解
