ethereal抓包工具

Posted 2020-08-16 学无止境

ethereal是目前网络上开源的一款功能强大的以太网抓包工具，该软件可以监听异常封包，检测软件封包问题，从网络上抓包，并且能对数据包进行分析，从而帮助用户解决各种网络故障，更加方便查看、监控TCP session动态等等。
ethereal抓包工具需要一个底层的抓包平台，在Linux中是采用Libpcap函数库抓包，在windows系统中采用winpcap函数库抓包。软件基本类似于tcpdump，但ethereal还具有设计完美的GUI和众多分类信息及过滤选项。用户通过ethereal，同时将网卡插入混合模式，可以查看到网络中发送的所有通信流量，可以应用于故障修复、分析、软件和协议开发以及教育领域。

对于ethereal，有图形界面和字符界面两种方式。
到linux系统上执行rpm -qa | grep ethereal-gnome可查看是否安装了图形版本，但是如果服务器上没有xwin图形环境，那么就只能用字符界面了。

命令：tethereal
可选参数：-V、-f

如果只执行tethereal，那么将只抓取数据包的包头，不显示里边的内容。加上-V参数后，即可显示内容。
-f 参数用于过滤，默认情况下将抓取tcp和udp所有协议。

如果想抓取UDP数据包并显示内容，则执行tethereal -V -f udp 即可另外还可以配合grep命令提取需要的关键内容。

图形化：

ethereal使用教程

一、打开抓包配置项
1. 通过Capture--Options，点开抓包选项配置

二、设置抓包配置项
1. 设置抓包的网卡
2. 设置抓包的过滤项：只有满足条件的数据才会被ethereal捕捉，如果不填则捕捉所有的数据包

capture选项
interface: 指定在哪个接口（网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以了
Limit each packet: 限制每个包的大小，缺省情况不限制
Capture packets in promiscuous mode: 是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。
Filter：过滤器。只抓取满足过滤规则的包（可暂时略过）
File：如果需要将抓到的包写到文件中，在这里输入文件名称。
use ring buffer： 是否使用循环缓冲。缺省情况下不使用，即一直抓包。注意，循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷
其他的项选择缺省的就可以了
三、开始抓包
点击start按钮，开始抓包

四、停止抓包
点击停止按钮，停止抓包

五、再次开始抓包
如果不需要重新设置抓包的选项，可以直接点击Capture--Start来再次抓包

ethereal主要特征

在实时时间内，从网络连接处捕获数据，或者从被捕获文件处读取数据；
Ethereal 可以读取从 tcpdump（libpcap）、网络通用嗅探器（被压缩和未被压缩）、SnifferTM 专业版、NetXrayTM、Sun snoop 和 atmsnoop、Shomiti/Finisar 测试员、AIX 的 iptrace、Microsoft 的网络监控器、Novell 的 LANalyzer、RADCOM 的 WAN/LAN 分析器、 ISDN4BSD 项目的 HP-UX nettl 和 i4btrace、Cisco 安全 IDS iplog 和 pppd 日志（ pppdump 格式）、WildPacket 的 EtherPeek/TokenPeek/AiroPeek 或者可视网络的可视 UpTime 处捕获的文件。此外 Ethereal 也能从 Lucent/Ascend WAN 路由器和 Toshiba ISDN 路由器中读取跟踪报告，还能从 VMS 的 TCPIP 读取输出文本和 DBS Etherwatch。
从以太网、FDDI、PPP、令牌环、IEEE 802.11、ATM 上的 IP 和回路接口（至少是某些系统，不是所有系统都支持这些类型）上读取实时数据。
通过 GUI 或 TTY 模式 tethereal 程序，可以访问被捕获的网络数据。
通过 editcap 程序的命令行交换机，有计划地编辑或修改被捕获文件。
当前602协议可被分割。
输出文件可以被保存或打印为纯文本或 PostScript格式。
通过显示过滤器精确显示数据。
显示过滤器也可以选择性地用于高亮区和颜色包摘要信息。
所有或部分被捕获的网络跟踪报告都会保存到磁盘中。