Microsoft PowerPoint - CHAP10-Ethereal.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - CHAP10-Ethereal.ppt"

粹寇詹
5 years ago
Views:

1 網路安全的理論與實務楊中皇著第十章 Ethereal 封包分析軟體第十章 Ethereal 封包分析軟體 Ethereal 簡介 Ethereal 的安裝方法 Ethereal 的使用 2

2 Ethereal 簡介 - 發展歷史 Ethereal ( 是一個公開原始碼 (open source) 軟體, 由 Gnu Public License (GPL) 授權最初 Ethereal 由 Gerald Combs 發展其架構, 但進一步研發和維護則由 Ethereal team 負責 Ethereal 的唸法, 有兩種截然不同的發音, 有人唸作 ether-real, 另外一種發音是 e-the-real Ethereal 有多項強大的特色, 如幾乎支持所有的協定豐富的過濾語言易於查看 TCP 會談經重構後的數據流等等 3 Ethereal 簡介 - 操作平台 Ethereal 適合大多數 Linux/UNIX 平台與 Windows 平台以下平台皆可安裝與使用 Ethereal: AIX BeOS MacOS X Tru64 UNIX (Digital UNIX) Debian GNU/Linux, Gentoo Linux, Mandrake Linux, PLD Linux, ROCK Linux, Red Hat Linux, S/390 Linux, Slackware Linux, SuSE Linux Irix HP/UX SCO FreeBSD, NetBSD, OpenBSD Solaris/Intel, Solaris/SPARC Windows 2000,Windows NT and Windows Me/98/95 4

3 Ethereal 安裝 -Linux 一般在 Linux 下安裝應用軟體可區分 RPM 及 Source code 兩種方式, 在安裝 Ethereal 之前, 須先確定已安裝以下套件 : 需求套件有 GTK+,Glib 與 libpcap( 可由下載 ) 預先套件安裝完畢, 開始安裝 Ethereal,ethereal tar.gz, 請依照下列步驟安裝 #tar zxvf ethereal tar.gz # cd ethereal #./configure --prefix=/usr/local/ethereal 進行編譯前的參數設定 --prefix=/usr/local/ethereal 表示要將 Ethereal 安裝到此目錄下 # make 開始編譯 source code 成為 binary code # make install 將 Ethereal binary code 安裝到指定的目錄下, 也就是 /usr/local/ethereal 5 Ethereal 安裝 -Linux 設定一些查詢相關功能 # vi /etc/man.config 加入底下一行路徑, 這樣才可以使用 man 來查詢指令用法 MANPATH /usr/local/ethereal/man 使用 RPM 安裝 Ethereal # rpm -ivh ethereal i386.rpm 要使用 Ethereal, 先將目錄切 d 換至 /usr/local/ethereal/bin # cd /usr/local/ethereal/bin #./ethereal 6

4 Ethereal 在 Linux 啟動路徑 7 Ethereal 安裝 -Windows 若要在 Windows 平台上安裝 Ethereal, 除了下載 Windows 版本的 Ethereal 程式外, 須先安裝 WinPcap (Windows 系統所需要的封包擷取程式 ) 下載完 WinPcap_3_1.exe 和 ethereal-setup exe 後, 先安裝 WinPcap_3_1.exe, 並點選 Next 鈕, 繼續完成安裝步驟 * 如果 WinPcap 是舊版要更新成新版時, 須先移除舊版且重新開機, 再安裝新版 WinPcap 8

5 WinPcap3.1 安裝畫面 9 Ethereal Windows 版本安裝畫面一 10

6 Ethereal Windows 版本安裝畫面二 11 Ethereal Windows 版本安裝畫面三 12

Ethereal 在 Windows 啟動路徑 13 Ethereal 的使用 - 通信協定 Ethereal 支援 680 多個通信協定和封包種類, 可以在以下網站 http://www.ethereal.

7 Ethereal 在 Windows 啟動路徑 13 Ethereal 的使用 - 通信協定 Ethereal 支援 680 多個通信協定和封包種類, 可以在以下網站查到 Ethereal 所支援的通信協定 Ethereal 主要視窗分成三個封包清單窗格 (packet list pane) 封包內容窗格 (packet details pane) 封包位元組窗格 (packet bytes pane) 14

Ethereal 的主要視窗功能表列一般工具列篩選工具列封包清單窗格封包內容窗格封包內容窗格 ( 位元組格式 ) 狀態列 15 Ethereal 主要視窗功能說明功能表列 : 執行 Ethereal 各項功能一般功能列 : 快速啟動功能表列中常用功能篩選工具列 : 在 filter 欄位中輸入特定語法來過濾封包清單窗格中的封包, 語法輸入錯誤時, 欄位背景會呈現紅色,

8 Ethereal 的主要視窗功能表列一般工具列篩選工具列封包清單窗格封包內容窗格封包內容窗格 ( 位元組格式 ) 狀態列 15 Ethereal 主要視窗功能說明功能表列 : 執行 Ethereal 各項功能一般功能列 : 快速啟動功能表列中常用功能篩選工具列 : 在 filter 欄位中輸入特定語法來過濾封包清單窗格中的封包, 語法輸入錯誤時, 欄位背景會呈現紅色, 這類語法稱為顯示篩選器 (display filter) 封包清單窗格 (packet list pane) : 顯示封包列表, 所列出的可能是目前擷取的封包, 或是之前存檔的封包清單, 預設值會以為第一個欄位 ( 流水號 ) 來排序封包內容窗格 (packet details pane) : 會依封包清單窗格所選擇的封包而改變,Ethereal 將該封包內容解碼後, 以較直覺較易理解的分層形式顯示出來封包位元組窗格 (packet bytes pane) : 顯示內容和封包內容窗格相同, 但以位元組的格式來呈現, 當使用者選取封包內容窗格中的協定欄位時, 此處相對應的位元組會自動反白狀態列 : 顯示目前程式狀態或其他詳細資訊 16

Capture 功能視窗 17 Capture Options 重要常用的欄位設定 Interface: 會顯示出 Ethereal 在系統上所找到的所有網路卡, 但你只能選取一個作為封包擷取的介面 Capture packets in promiscuous mode: 此選項可指定 Ethereal 使用雜亂模式 (promiscuous mode) 擷取封包, 若選取此項,

9 Capture 功能視窗 17 Capture Options 重要常用的欄位設定 Interface: 會顯示出 Ethereal 在系統上所找到的所有網路卡, 但你只能選取一個作為封包擷取的介面 Capture packets in promiscuous mode: 此選項可指定 Ethereal 使用雜亂模式 (promiscuous mode) 擷取封包, 若選取此項, 則所有經過選取網路卡的封包都會被擷取下來 Capture Filter: 指定擷取過濾器運算式, 擷取想要的特定封包這與篩選工具列的 Filter 是不一樣的在這裡是指在封包擷取進行中且同時過濾封包 (Filter while capturing), 這是使用 linux 的 tcpdump 命令 primitive expressions 來做過濾, 而篩選工具列的 Filter 是指已擷取完畢, 在上層的視窗中檢視封包時過濾出想要的封包 (Filter packets while viewing) 18

Capture Options 重要常用的欄位設定 ( 續 ) Update list of packets in real time: 若此項功能被選取, 則 Ethereal 將會邊擷取邊轉換封包到主畫面若無選取此項功能時,Ethereal 的主畫面是沒有動作的, 必須等到停止擷取後,Ethereal 才會將剛剛擷取到的封包全部一次轉換成可分析型態顯示在主畫面上 Automatic

10 Capture Options 重要常用的欄位設定 ( 續 ) Update list of packets in real time: 若此項功能被選取, 則 Ethereal 將會邊擷取邊轉換封包到主畫面若無選取此項功能時,Ethereal 的主畫面是沒有動作的, 必須等到停止擷取後,Ethereal 才會將剛剛擷取到的封包全部一次轉換成可分析型態顯示在主畫面上 Automatic scrolling in live capture: 此項功能須在 Update list of packets in real time 被選取的前提下才能啟用 ; 而此功能會即時將主畫面捲到最新擷取的封包資料否則就必須自己手動捲動畫面到最新的封包資料 Enable MAC name resolution: 指定是否將網路卡 MAC address 的前三個位元組轉換成製造商名稱 Enable network name resolution: 指定是否將 IP address 轉換成 DNS 網域名稱 Enable transport name resolution : 指定是否將通信埠號碼 (port numbers) 轉換成協定名稱 (protocols) 19 顯示擷取各類封包百分比完成設定後, 選擇按下 Capture 鈕, 即開始擷取封包, 並且跳出擷取的對話框擷取對話框顯示目前已擷取到各種協定封包的數量及佔所有總數的百分比 (%) 可以按 Stop 鈕停止擷取封包動作 20

過濾資訊 Ethereal 有兩種過濾的語言一種是用在擷取進行中同時過濾封包 (Filter while capturing), 意指在擷取封包過程中, 已過濾符合條件的封包另一種則是顯示過濾封包 (Filter packets while viewing), 意指在擷取完畢後, 經由 Filter 顯示你有興趣的封包, 隱藏不感興趣的封包 21 擷取中過濾 (Filter while

11 過濾資訊 Ethereal 有兩種過濾的語言一種是用在擷取進行中同時過濾封包 (Filter while capturing), 意指在擷取封包過程中, 已過濾符合條件的封包另一種則是顯示過濾封包 (Filter packets while viewing), 意指在擷取完畢後, 經由 Filter 顯示你有興趣的封包, 隱藏不感興趣的封包 21 擷取中過濾 (Filter while capturing) 選取 Capture->Capture Filters 會出現下列對話框, 能利用此功能來編輯一個擷取過濾規則, 儲存作為以後之用可直接在 Filter 點選, 亦可於 Filter name 輸入 TCP or UDP port 80 作命名, 在 Filter string 輸入 port 80, 按 New 鈕, 即將此新規則加入 Capture Filter, 並按 Save 鈕儲存以後可在 Capture Options 的 Capture Filter 選取此規則做為過濾選項 22

檢視中過濾 (Filter packets while viewing) 假設對特定封包有興趣, 例如, 目的主機位址為 140.127.60.

Display Filter 交談框 23 過濾運算式之一開啟 Filter Expression 交談框在 Field name 欄位捲動 scroll bar 找到 IP

12 檢視中過濾 (Filter packets while viewing) 假設對特定封包有興趣, 例如, 目的主機位址為且協定為 http 也就是說 TCP port 為 4097 的封包點選視窗左上角的 Filter 按鈕或是選取 Analyze- >Display Filters, 將出現 Display Filter 交談框 23 過濾運算式之一開啟 Filter Expression 交談框在 Field name 欄位捲動 scroll bar 找到 IP 並且展開樹狀結構, 選取 ip.dst, 然後點選 Relation 欄位的 ==( 等於 ), 在 Value 欄位輸入按下 OK 鈕即出現右圖中 Filter string 欄位所呈現的表示式 24

13 檢視中過濾之二 25 過濾運算式之二再開啟 Filter Expression 交談框依照前面所提方式找到 TCP 展開並點選 tcp.port, 然後點選 Relation 欄位的 ==( 等於 ), 在 Value 欄位輸入 4097, 如右圖 26

14 檢視中過濾之三 27 過濾後結果 28

Following TCP streams 如果想要知道 telnet 交談中傳送的密碼, 或是想了解在整個 TCP 會談中, 應用層下了那些命令處理了那些資料順序為何, 便可用 Ethereal Ethereal 提供一個很好用的工具, 讓使用者更容易分析了解 TCP 會談的過程 29 選取 Follow TCP

15 Following TCP streams 如果想要知道 telnet 交談中傳送的密碼, 或是想了解在整個 TCP 會談中, 應用層下了那些命令處理了那些資料順序為何, 便可用 Ethereal Ethereal 提供一個很好用的工具, 讓使用者更容易分析了解 TCP 會談的過程 29 選取 Follow TCP Stream 路徑在此以 TELNET 為例, 使用 Ethereal 擷取 TELNET 封包結果先從 packet list pane 中選取其中 Protocol 為 TELNET 的封包, 滑鼠點右鍵顯示快捷功能表, 選取 Follow TCP Stream 如上圖, 會顯示出 TELNET 的 TCP 會談的結果 30

16 Follow TCP Stream 顯示使用者 ID 和 password 可以看到兩台主機在 TCP 會談整個過程包含在作登入動作時, 輸入使用者身分 (ID) 和通行碼 (password) 都被解譯出來如右圖 31 觀看過濾結果的資料形式 ASCII EBCDIC HEX Dump: 以十六進位形式顯示 ( 如下圖 ) C Arrays:TCP stream 會顯示成 C 語言陣列形式 32

17 參考資料 A. Orebaugh, G. Morris, E. Warnicke and G. Ramirez, Ethereal Packet Sniffing, SYNGRESS,2004. R. Sharpe and E. Warnicke, Ethereal User s Guide, Ethereal, WinPcap (Windows 所需要的封包擷取程式 ) : 33

網路安全：理論與實務第二版

網路安全：理論與實務第二版第 10 章 :Wireshark 封包分析軟體 10-1 Wireshark 簡介 10-2 Wireshark 的安裝方法 10-3 Wireshark 的使用 Wireshark 簡介 - 發展歷史 Wireshark (http://www.wireshark.org/) 是一個開放原始碼 (open source software) 軟體,