怎么编写自己想抓的包

zyf821230

假如我只是想抓192.168.0.5这个机子的所有数据包    是不是应该这样编写过滤器规则："ip=192.168.0.5 = all"

我也希望版主能给大家多发发过滤器的编写规则。

luotao251

楼主编写的过滤器规则是对的！

天蓝

不过，利用节点浏览器，则不需要去设置过滤器，便可以很轻松的找到 192.168.0.5
这是所有分析软件中，科来独有的，非常方便。
方法：节点浏览器=》IP节点=》本地网段=》192.168.0.5=》点击右边的数据包视图。

菜鸟人飞

原帖由 zyf821230 于 2007-8-4 11:24 发表
假如我只是想抓192.168.0.5这个机子的所有数据包    是不是应该这样编写过滤器规则："ip=192.168.0.5 = all"

我也希望版主能给大家多发发过滤器的编写规则。

不同程序中过滤器的定义方法存在区别，楼主的设置是在Ethereal/Wireshark中的吗？

zyf821230

对    就是Ethereal的过滤器规则        

可是这些规则我就是不太明白        但是科来就比较好用     正如楼上所说的     通过节点浏览器就可以看某个地址的数据包（唯一不方便的是每次都的在核心交换机上做端口镜像）Ethereal就不同了  它不管在那都能捕获到所有的数据包

zyf821230

还有个问题    从数据包中怎么才能看到应用层的地址   
我的意思就是说：假如某地址在上班期间正在浏览与工作无关的网站，怎么才能看到这台机子的应用层的信息呢     现在只能看到个IP地址    不知道上什么网站    是不是像这些抓包工具就只能解析到网络层的数据？

cwym29

原帖由 zyf821230 于 2007-8-7 15:50 发表
对    就是Ethereal的过滤器规则        

可是这些规则我就是不太明白        但是科来就比较好用     正如楼上所说的     通过节点浏览器就可以看某个地址的数据包（唯一不方便的是每次都的在核心交换机上做端口镜像）Ethereal就不同了  它不管在那都能捕获到所有的数据包

Ethereal不管在哪都能捕获到所有数据包？
不会吧。

cwym29

原帖由 zyf821230 于 2007-8-7 15:56 发表
还有个问题    从数据包中怎么才能看到应用层的地址   
我的意思就是说：假如某地址在上班期间正在浏览与工作无关的网站，怎么才能看到这台机子的应用层的信息呢     现在只能看到个IP地址    不知道上什么网站 ...

左边选中IP后，右边选择日志视图，看它访问的网站。

3721

原帖由 zyf821230 于 2007-8-7 15:50 发表
对    就是Ethereal的过滤器规则        

可是这些规则我就是不太明白        但是科来就比较好用     正如楼上所说的     通过节点浏览器就可以看某个地址的数据包（唯一不方便的是每次都的在核心交换机上做 ...

和你理解不一样的地方是，不管是Ethereal或者科来，还是其它的什么协议分析产品，不进行端口镜像都不能捕获到所有的包，那样只能抓到广播包。

zyf821230

你说的选中哪个IP   是外网的那个地址还是局域网的那个地址？

cwym29

原帖由 zyf821230 于 2007-8-7 17:24 发表
你说的选中哪个IP   是外网的那个地址还是局域网的那个地址？

内部IP啊。

zyf821230

我按照你说的试了     我这边显示不出来        在”按IP端点浏览“中选中一个内网地址   在右边点击“日志”后    一片空白     出现“没有可显示列表项目”      HTTP请求     DNS查询      FTP传输   这四个都是“没有可显示列表项目”

这个问题是怎么回事？

zyf821230

我发现你说的“日志视图”界面只能解析HTTP协议        

那么能解析到UDP    TCP这样的吗

菜鸟人飞

原帖由 zyf821230 于 2007-8-7 15:56 发表
还有个问题    从数据包中怎么才能看到应用层的地址   
我的意思就是说：假如某地址在上班期间正在浏览与工作无关的网站，怎么才能看到这台机子的应用层的信息呢     现在只能看到个IP地址    不知道上什么网站    是不是像这些抓包工具就只能解析到网络层的数据？

当然不是仅仅只有解析到网络层的数据，楼主请看下图。


从上图可以看到，谁访问了某个网站。
另外，不是仅仅只有HTTP的，还有邮件收发信息，DNS域名解析，FTP文件传输的日志信息。

TCP和UDP是传输层的概念，要分析传输层的东东（实际是TCP和UDP的报头信息），请查看数据包解码，如下。

zyf821230

谢谢指点～～～～～～