sniffer软件的初步使用方法

1、-/使用Sniffer 工具分析以太网帧和 IP 数据报一、实验目的通过使用 SnifferHTTP等协议的数据包,Pro 软件掌握 Sniffer（ 嗅探器 ） 工具的使用方法，实现捕捉FTP、TCP IP 协议中多种协议的数据结构。以理解用于监听网络中的数据包， 分析网络性能和故障。 Sniffer 系统管理员通过 Sniffer 可以诊断出通过常规工具难以二、实验原理Sniffer 即网络嗅探器， 主要用于网络管理和网络维护， 解决的网络疑难问题，包括计算机之间的异常通信、不同网络协议的通信流量、每个数 据包的源地址和目的地址等，它将提供非常详细的信息。通常每个网络接口都有一个互不相同的

2、硬件地址 （MAC地址），同时，每个网段有一 个在此网段中广播数据包的广播地址 （代表所有的接口地址 ）。一般情况下，一个网络接 口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，并由操作系统进一步进行处理，同时丢弃不是发给自己的数据帧。通过 Sniffer 工具，可以将网络接口设置为“混杂” （promiscuous） 模式。在这种 模式下， 网络接口就处于一个对网络进行“监听”的状态，它可以监听此网络中传输的 所有数据帧 -而不管数据帧的目标地址是广播地址还是自己或者其它网络接口的地址 了。它将对遭遇的每一个数据帧产生硬件中断交由操作系统对这个帧进行处理，比如 截获这个数据

3、帧，进而实现实时分析数据帧中包含的内容。当然， 如果一个数据帧没有发送到目标主机的网络接口，则目标主机将无法监听到 该帧。所以 Sniffer 所能监听到的信息将仅限于在同一个物理网络内传送的数据帧就 是说和监听的目标中间不能有路由（交换）或其它屏蔽广播包的设备。因此。当 Sniffer工作在由集线器 （hub） 构建的广播型局域网时，它可以监听到此物理网络内所有传送的 数据；而对于由交换机 （switch） 和路由器 （router） 构建的网络中，由于这些网络设备只 根据目标地址分发数据帧，所以在这种网络中， Sniffer 工具就只能监测到目标地址是 自己的数据帧再加上针对广播地址的数据

4、帧了。Sniffer 工作在 OSI 模型中的第 2层，它一般在已经进入对方系统的情况下使用。 实验中要注意， 虽然 Sniffer 能得到在局域网中传送的大量数据，但是不加选择的接收 所有的数据包，并且进行长时间的监听，那么你需要分析的数据量将是非常巨大的，并 且会浪费大量硬盘空间。Sniffer 工具分为软件和硬件两大类，在这里我们主要以 Sniffer Pro 软件为例 对 Sniffer 工具的使用方法和功能进行简单的介绍。当然， Sniffer 软件工具还有很多 种， 例如 SQLServerSniffer 、FsSniffer 等，它们的功能和使用的环境有所不同， 如果 读者感兴趣

5、，可以自己进行深入探索。对于 Sniffer 工具的防范可以从以下几个方面进行： 首先， 如果通过网管工具发现 在局域网内存在长时间占用较大带宽的计算机，这台计算机可能在进行嗅探：其次， Sniffer 的记录文件增长很快， 通过分析文件系统大小的变换情况， 可以找到这个文件； 最后，如果计算机的网络接口处于混杂模式下（在Unix环境下通过ifconfig -a命令查看网络接口状态 ） ，则它很可能运行了 Sniffer 。通过上面的几种方法，可以对 Sniffer 进行分析监测。除了这些间接分析方法外，还可以利用 AntiSniff 工具，它具有直接检 测 Sniffer 的功能，从而可以对

6、 Sniffer 进行有效防范。-/三、实验环境PC两台安装 Windows 2000/XP的PC机，在其中一台上安装 Sniffer Pro软件。将两台 机通过hub相连，组成一个局域网。四、实验内容和步骤任务一熟悉Sniffer Pro 工具的使用1 sniffer Pro软件简介Sniffer Pro 4.7Stuffer 软件是NAI公司推出的功能强大的协议分析软件，实验中使用 来截获网络中传输的各种数据包，并进行分析。2使用说明启动 Sniffer Pro 软件后可以看到它的主界面，如图 1 所Tap 他Lf > +I.E *El ! r|qi*idi CEur* 慕啊1 *l

7、4.*i*U4p'上LA纠rJ. ti|厲 ILJ 勺區丹 C|e= 4 ft 遇 焦 'ff-l l'5ll图一主界面网络监视面板简介，Dashboard可以监控网络的利用率、流量及错误报文等内容如图 所示。332叩8年斗月m曰16：33；14尺 esMSert Thrasholds r* 2080'W-10laOK'T' 264-'fitgo JI . 1饯 r.0 2Frrors/sL.QTO：K.O1H-utilization%Packets/sE0-3543-4535GniUjje Detail-/图 2 Dashboard 界

8、面从Host table可以直观地看出连接的主机，如图3所示,显示方式为IPI 田 'lost 7fiM ? 33I MLlliCBStJIU101540a1584 HPnjyuiu01.723Q0a1.04300湖0Q0lU00妙000-503n02ituug3732uQ0001117?0a247G0017045g2650bJEflb4ua0501nnM1J32aio0U1鹦u21胡ICG0Jna11了3500?込IbUu-TlOul kltOut和聿I bioa 如$1I InEvIscd a c 0 u00V 二0 2n 70 2可以通过点击左下角的图 3 Host table

9、界面MAC,I P,IPX来改变显示格式，如图4 是 MAC地址立 Kozi ?atLE： 52 sti-iaaEBoadcKi1E2D4.zJ4U耳 Ljwt；n4*OF4F02D129eLentsrieC27IF02D12SSL创:屈502D128,呂 ljBitzneC22TQ2D135L«it=r<C10=G03D1395 Leit-nHUDflD02U12ttSL»ihrtSC2<3102D12»,马 L曲preciseQ01如耳 ljent=rt£71203D1355 ben也皿卜斤02U1出SWtiirtSCJ 冋01D話L#i

10、t?r£!；?4»7D10b4旦 LaitErtSC理 101D肩e Let!匡曲阮匚01DS43L*it3rt8C251C02D511Tls tid'bn126412»SRglx3C35C911斜6*eijBizreC2E：E01D64沁】咏01D話SLentjn4eaO201DE4Sl峡倾日氐0Q1D辭邑Lent貳C2F三DQ1DE4旦 Ljait= riSC2E01D昭呂歯恺nl功FT&01D64Hw Add-ph口4:IrE!奔& hrEMga|氏注止ast2222221Q此时可以看到网络MAC IP 或 IPX 使 Traffic

11、 MapIP地址或IPX地址。图5显示的是IP地址，每条连线表明图4MAC地址界面任务二捕获IP数据包并进行分析(1) 假设A主机监视B主机的活动，首先 A主机要知道B主机的IP地址，B主机可以在 命令符提示下输入ipconfig 查询自己的IP地址并通知A主机。(2) 选中Monitor菜单下的Matrix或直接点击网络性能监视快捷键， 中的Traffic Map 视图，如图5所示，可以单击左下角的 视图显示相应主机的 MAC地址、 两台主机间的通信。3 /: Ji- L:；Yi迂k心tabTrdlk ibp1B3. 667.10 F Vi gyi彳匚匡匹*事Q1 KJ 33.7.1 DSE

12、IRCWJCA5T1 B?,1 站 T 2551&3.1EBJ.1D3l：?160 T 嵋-NJ162 ISb UlIJ2.1JU7 11.i 单击菜单中的 Capture Define FilterAdvaneed,再选中IPTCiFTP,如图6所示,然后单击OKDefine Filter 一 CaptwreSummary | AJiress Bata Pattern Aivanic&J | Buffer |r IP-VZHES 厂 S IS0-TF4 厂更OSFFITCPDHS CICPD 莎骑FTF 厂理GOPHER 厂 & M. 22S L S H 245 IT

13、匚厂13Settinflg Fof；Defaultracket £iier Packet lyptAllAll sizesb/JT*rtnal kCEC Error j/JabberI 确定 取消 IFrofilis.回到Traffic Map 视图中，用鼠标选中要捕捉的B主机IP地址，选中后IP地址以白底高亮显示。此时，单击鼠标右键，选中Capture或者单击捕获报文快捷键中的开始按钮，Sniffer则开始捕捉指定IP地址主机的有关 FTP协议的数据包，如图7所示。II口环 Hit3a(3flJ3r2D1lAi：必 VMlir C-W1W+ hip；«T lullFbM

14、K訐 raH I寸I nJ、一 'I js 站u刿型J冬自心 S鼻ft陋料I會 口ZJI.3卫沽19E口 1+ Ifl J I7D?ieBJi3riT1J3130 25S702 JI ,21 特 15214. ieiT.lJU/中 LLG 启711.12 A3 ygftOrrTK '轴 IMj 一CH孑 ft"訓诙*也丄Tflf. "7i 开始捕捉后，单击工具栏中的 Capture Panel按钮，如图8所示，图中显示出捕捉的 Packet的数量。-/(6)此时，从Cap ture Panel中看到捕获数据包已达到一定数量，单击St op and Dis p

15、lay按钮，停止抓包，单击窗口左下角的Decode选项.窗中会显示所捕捉的数据，并分析捕获的数据包，如图 9 所示bMiX bMiffcr InztsLlc - Loctl. £tl_crii=L lj,iii= speei h.L IGG- 禺lif】:Recede, l/4C ECherl.cl rarea鱼bd邑P剧詛O剑寻耳刮剣_ I1H34-SHl132.16t . T, 1 52 I IW.IGE .7.1531 192.lit .7.1521"2 IhE 7 1砧IN J iSoiJMAddI DH Adof«t192.i&e15? IbC1

16、192 ibeH? IfiP3 3tvej3 3s LTiSrnrrryTCPTCP： Tl-21 S“E£4FIT聲aiMIP-2bS4 S-2.EnTTCfTb,就?US7-JES1Alc T口口 T口B gTr cj - H 1>- -?匚LsikSVH ACK-6/520121 SEQ-li2bl i(：K-152bl3j27g (JIil, .3-3 22U Sor'J LT FJTP bOTVor vt.70£& 11!%Z39TP -S 'LP' 酚 TCP; 酌 TJP：© upS 2：TCP hcadcTw比

17、-tu po-t-：供4t'cstanavicix pnt-21 fFTPp：?*】Ini baa- ccqjccc tiurr.bcT - 2£762lJLlytcK： :CQC匸t=d Sexr nunher- 2E?7ti!C)LiUCLlOCOCOQOQ ncnrrnin UCUC0U2U locoooao lOCOCOOlO9s 240o n ± o oSu2&2dje01三4£0Fl=i17qu77 D "OUucOSli4OL20：c00OL01门402勺E 口b .,=?.=?. t.二fl rFi)帯3 3注扌舌 tU

18、02 I * ri(11tW f 輕fl 人眄2 人 MHfirk 小 H用笔卜R3E Cl£l jSRIh1l«/ Isr Kdlfj TQ=L IJ左图9从捕获的数据包中，可以分析以太网帧头部和IP数据报头部的格式，了解这两种头部格式中各种字段的含义。在报文解码窗口中进行分析时，在窗口2中选中一项，在窗口 3(十六进制内容)中都会有相应的数据与之对应，如图10所示。£a：土ter 1 Dz-tctl4 -Ktt亡m乩 Cbm- zrpc«d_ rvL lUL 11 沁T) £1. Jcccdc, l/OE Iyr-sn-tsHsrutar

19、Rptyr DtLsplnv* IcoLz Dililazc Icndorr Htlp-ff K厨Oil剖-L.jl ©I虽切血摩刽强划I创C ：j |NjI 勺tBU$ I EQLfSAlJliC 踊PCEiddCTESI丸 mrrdry234&】|优艮：>： S-2E£d強：i = 2t.2Ek01LJXK±Cl UItfl ?&?3覚TTFK6rN /C<-b76Z012C 3瓯丄？：bl iiCK-1526131279 UIN< ：3一 2Z0 z-ci-v-LJ PTF SCTver w 1鬥诵51 厂-J _ 1 rr

20、i "Il 7' Q ITT 泄 J J- o - "IhlL7e6&11!rap I 代匸L 2對s阳酎尊TCP hMder :&口匕ITC匚 RMt-I6E4:tiestin；icn pzrt=£1 f?7P-c:r；)Initial seqe：ice tiumter 二 2S7E 2 匚 L19Kc-j< L c-jczjch_t-sd 5ccj CLunbur ?£7£2tL宦 0ococcaco OCDCOQlQ iULUQ0a2U in&nonnan luC'uDoa-iD?o史 o J

21、- ni-50 o -ul?' o n- oT15 一 D 312 m o D Qo C6 32o- 9 u n u寸5 izO tru CilOC . -s?. -7-. E.e.S .靜3.注借一樞* (JZ . ll. " . . . ?W. . . . ?ni假，？.Utah Ewti A UfrSM AhlflHiK A Hast Tabfe 人宵ato础 LSgL A 氐HPlig ! P"- H-bj?)旨IPV4 版-Ql K图10根据分析的结果，如下面的图中，能看到IP数据报的头部长度为 20字节，版本是本，数据报总长度外为 64字节，生存时间为

22、64跳，以及源地址与目的地址等信息。吿 SMiffer InztsLle - LoctL, £tLerii:L iLiii： ipeei 让 IGG 杓戶)-$111 f : decide, l/4£ ELherrel 7carei鱼bd邑P剧岔剑寻O耳型剣_jji3 TaiFPPFPPFF raMP I r r r r- I r r DM Ipppr I rlOGOcoaoa OOOOOQIQ MQ 口 0020 ULUUUUJU inrorfln4oI El Adore亦ISmrrjiy192 IRE, T, 1石1丨19乙1*31 Trp P=21礦卜邓酊4E&quo

23、t;； T.EKn VTHOft''fl 32.16( ,7.152 Ji il927lLG-e77 n3 11 fCP： P-归邑些厂5二 21 SEQ-JijayiQf 70F?'心二一41'aTtJiLeLle：jg .K-rdtC.lif.1 Lh-Fldi-t n: f “I二 ECT tr t 一 tinsp? T-r pro ：.oiZEil j j L1 igticcre ZE bi i. CE bi L 一 nzi cof g-sr oii64 tyLg65377幼翼ijiTiri I fpynirttMI f bv戶啦Fi-cit coolH

24、isddei- crht±i_kiU.-B - 也汕2 a cor工wet ) dg亠 Abbua- ：5? L£a 7 L=3TVts i F T f ti I ii'ii Ti h 11- L 护7 1 F ?"E (TTP)idB t .4q± o<loo UnL Rt n u nrr L 3 1 no o F u nc aj 6 1 -b s d G L fl6 7 n J I o J 3 I-。勺 c -J?o nJ- n u nJI-_wr ?ft:e?左 F俨fl人 Wf*人M*f|i： A H：用Tut*? 4耐:m-M 口

25、型.良空刖丽|蚀/Jsr Kalp, TQ=L fJ爭r-ff K書"Sttiffef f Drtctlt - Ldc-eL. Ett亡e.乩 Ij/in三 zpc«i dt IGG Fps)- 凿ziifl : lltccie, l/4E E二ioh亡吐 Fcarez yMMlH凰MMflM凰列日I副型迢空輕亘pl岡 刽 愛 2.1IH 3IS out* ATrtf tiun ? dJLy E1 时 16F 7 1砧 1 门鶴 1 祐 7 1命 1 TCF >?1呼m 5E><.fi5njri?； T.EKn UDr>7ftITi , JE* . T . 152 j 192 16e. 7 ：E1 j|T CP: J= 3135 5=21 5VH ACZ-S&95 J 5： J i SEQ = 3 即亦！7E 回 皿Ld|D«eI Adnen|S