Ethereal.docx

1、Ethereal6.1.查看捕获的包一旦捕获了一些包，或者打开了一个原来保存过的捕获文件，包就会显示在包列表面板中，可以通过点击某一个包来进行查看，以树状查看及字节面板。 点击号可以扩展树的任何部分，并且可以选择单独的字段。下面的例子说明了选择一个TCP包的情况，见 图6.1, “选择一个TCP包进行查看”. 同时也选择了TCP头部的Acknowledgment序列号，同时在字节面板中显示了选择的字节 Figure6.1.选择一个TCP包进行查看如果在参数设置中选择了“实时更新包列表”，那么可以用同样的办法，在Ethereal捕获的过程中进查看。 另外，也可在一个单独的窗口查看一个包。如图6.

2、2, “在一个单独的窗口中查看一个包”. 做法是：首先在包列表中选择一个包，然后从Display菜单中选择Show Packet in New Windows。这可以容易比较两个甚至多个包。 图6.2.在一个单独的窗口中查看一个包最后，在包列表面板，包细节面板和包字节面中，通过点击鼠标右键可以弹出一个菜单 The following table gives an overview which functions are available in the panes, where to find the corresponding function in the menu, and a shor

3、t description of each item. 表6.1.弹出菜单的功能总览项目ListDetailsBytesMenuDescriptionMark Packet (toggle)X-Edit标记一个包Time ReferenceX-Edit设置/复位及发现时间参考Expand Subtrees-X-View扩展当前选择的子树 Expand All-X-View扩展所有包的所有子树 Collapse All-X-ViewEthereal keeps a list of all the protocol subtrees that are expanded, and uses it t

4、o ensure that the correct subtrees are expanded when you display a packet. 这个菜单项将收起所有包的树状查看，即折叠。. Apply as FilterXX-Analyze.Prepare a FilterXX-Analyze.Follow TCP streamXX-Analyze查看一对结点之间的一个TCP流的所有数据Wiki Protocol Page-X-Show the wiki page corresponding to the currently selected protocol in your web b

5、rowser. Filter Field Reference-X-Show the filter field reference web page corresponding to the currently selected protocol in your web browser. Protocol Preferences.-X-The menu item takes you to the preferences dialog and selects the page corresponding to the protocol if there are settings associate

6、d with the highlighted field. More information on preferences can be found in Section9.5, “Preferences”. Decode As.XX-Analyze.Print.X-File打印 (选择的)包 .Show Packet in New WindowX-View在另一个窗口中显示选择的包Resolve name-X-View/Name Resolution调用一个名称解析，但不是所有包Go to Corresponding Packet-X-GoIf the selected field has

7、a packet number in it, go to it. The corresponding packet will often be a response which is requested by this packet, or the request for which this packet is a response. Copy-X-Copy选择的数据至剪切板(XXX - in which format). Export Selected Packet Bytes.-XFile-Export将包字节导出至一个二进制文件图6.3.包列表面板的弹出菜单Mark Packet (t

8、oggle)标记包对一个包打标记 Time Reference时间参考 与Edit菜单里的同名项功能相同。允许设置时间参考及利用时间参考工作 Apply as Filter应用过滤与Analyze菜单项里的同名项功能相同。 Prepare a Filter准备一个过滤与Analyze 菜单项里的同名项功能相同。 Follow TCP Stream追踪TCP 流与Analyze菜单项里的同名项功能相同。允许查看一对站点间的TCP流的所有数据 Decode As. 按解码与Analyze菜单项里的同名项功能相同。 Print. 打印.与File菜单项里的同名项功能相同。允许打印包 Show Pac

9、ket in New Window（在一个新窗口中显示包）与View菜单项里的同名项功能相同。在一个新窗口中显示选择的包 图6.4.包细节面板弹出菜单项Expand Subtrees扩展子树扩展当前选择的子树 Expand All（扩展所有）扩展捕获文件里所有包的所有子树 Collapse All（折叠所有）Ethereal keeps a list of all the protocol subtrees that are expanded, and uses it to ensure that the correct subtrees are expanded when you displ

10、ay a packet. 这个菜单项收起所有包的树状查看方式 Apply as Filter（应用为过滤）与Analyze菜单项里的同名项功能相同 Prepare a Filter（准备一个过滤）与Analyze菜单项里的同名项功能相同 Follow TCP Stream（追踪TCP流）与Analyze菜单项里的同名项功能相同。查看一对站点间TCP流的所有数据 Wiki Protocol PageShow the wiki page corresponding to the currently selected protocol in your web browser. Filter Fiel

11、d ReferenceShow the filter field reference web page corresponding to the currently selected protocol in your web browser. Protocol Properties.The menu item takes you to the properties dialog and selects the page corresponding to the protocol if there are properties associated with the highlighted fi

12、eld. More information on preferences can be found in Figure9.8, “The preferences dialog box”. Decode As.用.解码与Analyze菜单项里的同名项功能相同 Resolve Name（解析名字）对选择的包进行名称解析，但不是每一个包 Go to Corresponding Packet（转到相应的包）如果选择的字段有一个相应的包，就转到它。相应的包通常做为一个需求/应答对 图6.5.包字节面板的弹出菜单Copy复制选择的数据至剪切板 Export Selected Packet Bytes.（导

13、出选择的包的字节.）与File菜单里的同名项功能相同。允许导出包字节至一个二进制文件 6.2.查看时进行包过滤Ethereal有两种过滤语言：一个是在捕获时使用的，另一个在显示时使用的。在这一部分，我们探讨第二种类型的过滤：显示过滤。 第一种我们已经在Section4.8, “捕获过滤” 讨论过了。显示过滤允许用户隐藏不感兴趣的数据包，而只显示那些感 兴趣的数据包。允许按照如下条件显示： 协议 一个字段存在与否 一个字段的值 两个字段的比较 . 以及更多要基于协议类型选择包，只需要在工具条的Filter: 字段里写上，然后按回车就可以。field in the filter toolbar o

14、f the Ethereal window and press enter to initiate the filter. 图6.6, “过滤TCP 协议 例子中显示了当在过滤字段里打入tcp 后显示的内容 注意!所有协议和字段名要用小写。另外，输入完后，不要忘记按一下回车键 图6.6.过滤TCP 协议正如我们注意到的，只有TCP协议的包被显示出来了(例，包1-10被隐藏了). 包的编号将被保留，因此第一个包的编号变成了11。 注意!当使用显示过滤时，所有的包都保存在捕获文件里。显示过滤仅仅改变捕获文件的显示，但不改过捕获文件的内容 可以过滤任何Ethereal理解的协议。也可以按照解字段进行

15、过滤（字段：解码器追加到树查看中的）， You can also filter on any field that a dissector adds to the tree view, but only if the dissector has added an abbreviation for the field. A list of such fields is available in the Ethereal in the Add Expression. dialog box. You can find more information on the Add Expression. d

16、ialog box in Section6.4, “The Filter Expression dialog box”. For example, to narrow the packet list pane down to only those packets to or from the IP address 192.168.0.1, use ip.addr=192.168.0.1. 例如，为了减小包列表面板，仅显示那些来自或者发出者是192.168.0.1的包，使用ip.addr=192.168.0.1.注意!要删除过滤，点击过滤字段 右边的Clear 按钮。 6.3.建立显示过滤表达式

17、Ethereal 提供了一个简单的，但功能强大的显示过滤语言。利用它，用户可以建立非常复杂的表达式。You can compare values in packets as well as combine expressions into more specific expressions. The following sections provide more information on doing this. 提示!在下面的站点将提供一些显示过滤的例子Ethereal Wiki Display Filter page at 6.3.1.显示过滤字段在包细节面板中的每一个字段都可以做为过滤

18、串。仅仅包中的存在的字段才被显示。例：过滤串tcp 将只显示包含tcp 协议的数据包在Help/Supported Protocols的Display Filter Fields是一份完整的可用字段的列表 6.3.2.值的比较用户也可以使用一些不同的比较操作符来建立显示过滤。这些操作符见 表6.2, “显示过滤比较操作符”. 提示!可以使用英语或类C的符号，甚至可以在一个过滤串中混合使用这两种符号 表6.2.显示过滤比较操作符EnglishC-likeDescription and exampleeq=Equalip.addr=10.0.0.5ne!=Not equalip.addr!=10.

19、0.0.5gtGreater thanframe.pkt_len 10ltLess thanframe.pkt_len =Greater than or equal toframe.pkt_len ge 0x100le=Less than or equal toframe.pkt_len = 0x20另外，所有协义都是有类型的， 表6.3, “显示过滤字段类型” 提供了一个类型列表及如何去表达 表6.3.显示过滤字段类型TypeExample无符号整数 (8-bit, 16-bit, 24-bit, 32-bit) 可以用十进制，八进制，十六进制表达整型。下面的显示过滤是相同的。 ip.len

20、 le 1500ip.len le 02734ip.len le 0x436 有符号整数 (8-bit, 16-bit, 24-bit, 32-bit) 布尔A boolean field is present in the protocol decode only if its value is true. 例如， tcp.flags.syn 出现了，因此是真。 only if the SYN flag is present in a TCP segment header.因此，过滤表达式tcp.flags.syn 仅选择那些存在这个标记的包。也就是说 TCP 头中包含SYN 标记的。 同样

21、的，要找源路由的token ring 包，使用tr.sr. 以太网地址 (6字节)eth.addr = ff:ff:ff:ff:ff:ffIPv4 地址ip.addr = 192.168.0.1IPv6 地址IPX 网络号String (text)Double-precision floating point number 6.3.3.结合表达式逻辑操作符可以组合过滤表达式，这些逻辑操作符如 表6.4, “显示过滤逻辑操作符” 表6.4.显示过滤逻辑操作符EnglishC-likeDescription and exampleand&Logical ANDip.addr=10.0.0.5 an

22、d tcp.flags.finor|Logical ORip.addr=10.0.0.5 or ip.addr=192.1.1.1xorLogical XORtr.dst0:3 = 0.6.29 xor tr.src0:3 = 0.6.29not!Logical NOTnot llc.子串操作Ethereal allows you to select subsequences of a sequence in rather elaborate ways. After a label you can place a pair of brackets containing a comma sepa

23、rated list of range specifiers. eth.src0:3 = 00:00:83The example above uses the n:m format to specify a single range. In this case n is the beginning offset and m is the length of the range being specified.eth.src1-2 = 00:83 The example above uses the n-m format to specify a single range. In this ca

24、se n is the beginning offset and m is the ending offset. eth.src:4 = 00:00:83:00The example above uses the :m format, which takes everything from the beginning of a sequence to offset m. It is equivalent to 0:meth.src4: = 20:20The example above uses the n: format, which takes everything from offset

25、n to the end of the sequence. eth.src2 = 83The example above uses the n format to specify a single range. In this case the element in the sequence at offset n is selected. This is equivalent to n:1.eth.src0:3,1-2,:4,4:,2 = 00:00:83:00:83:00:00:83:00:20:20:83Ethereal allows you to string together sin

26、gle ranges in a comma separated list to form compound ranges as shown above. 6.3.4.一个常见的错误警告!使用!= 操作符组合组合如下列表达式 eth.addr, ip.addr, tcp.port, udp.port 及相似的将不能正常的工作! 用户经常使用过滤串ip.addr = 1.2.3.4 来显示包含1.2.3.4. 的数据包然后，使用ip.addr != 1.2.3.4 去查看不包含1.2.3.4 的数据包。不幸的是，这将不能得到想要的结果 Instead, that expression will e

27、ven be true for packets where either source or destination IP address equals 1.2.3.4. The reason for this, is that the expression ip.addr != 1.2.3.4 must be read as the packet contains a field named ip.addr with a value different from 1.2.3.4. As an IP datagram contains both a source and a destinati

28、on address, the expression will evaluate to true whenever at least one of the two addresses differs from 1.2.3.4. 如果想过滤出所有包含1.2.3.4的数据包，更改!(ip.addr = 1.2.3.4) as it reads show me all the packets for which it is not true that a field named ip.addr exists with a value of 1.2.3.4, or in other words, fi

29、lter out all packets for which there are no occurrences of a field named ip.addr with the value 1.2.3.4. 6.4.过滤表达式对话框When you are accustomed to Ethereals filtering system and know what labels you wish to use in your filters it can be very quick to simply type a filter string. However if you are new

30、to Ethereal or are working with a slightly unfamiliar protocol it can be very confusing to try to figure out what to type. The Filter Expression dialog box helps with this. 当用户习惯于Ethereal的过滤系统提示!“Filter Expression 对话框是一个学习写Ethereal 显示过滤串的极好的方法 图6.7.过滤表达式对话框刚第一次调用过滤表达式对话框时， 将显示一个字段名的树形列表，按照协议来组织的，另外还有一个Relation框选择操作符 Field Name字段名从协议字段树中选择一个协议字段。Select a prot