使用sniffer捕获TCP/IP数据包进行数据分析

一、Sniffer Pro 网络监控的集中模式

1.传输地图：该蓝色圆中的各点连线表明了当前处于活跃状态的点对点连接，也可通过将鼠标放在 IP 地址上点右键show select nodes查看特定的点对多点的网络连接。图中绿线表示正在发生的网络连接，蓝线表示过去发生的连接。

2.细节显示

可看出各主机之间数据传输流量

3.protocol distribution

查看协议分布状态，可以看到不同颜色的区块代表不同的网络协议。

4.host table

图中不同颜色的区块代表了同一网段内与你的主机相连接的通信量的多少。本例以 IP地址为测量基准

二、sniffer 抓包使用说明

在我们抓包的过程中，我们可以设置过滤器过滤出制定ip地址的数据，因分析问题的不同，我们可能需要捕获的数据包是不同的，那么我们可以指过滤捕获制定数据包的数据，以便分析。过滤方法如下

1.选择ip捕获的地址或hardware

2.选择过滤的数据包

在捕获数据包前，我们要知道TCP/IP数据包格式如下所示

目的MAC(48)

源MAC(48)

类型(16)

版本(4)

首部(4)

服务类型(8)

数据报总长(16)

分组ID(16)

标记(3)

段偏移量(13)

生存时间(8)

高层协议(8)

首部校验和(16)

源IP地址(32)

目的IP地址(32)

源端口(16)			目的端口(16)
TCP序号(32)
捎带的确认(32)
首部长度(4)	保留(6)	Flag(6)	窗口尺寸(16)
TCP校验和(16)			紧急指针(16)
数据报内容

首先我们捕获ICMP数据包

欲捕获ICMP数据包，我们便要用本机ping局域网内其他ip地址，ping后，变捕获到了ICMP数据包，保存后解码分析，下表为ICMP报文格式

类型 8位	代码 8位	校验和 16位
首部其余部分
数据部分

其中类型为8为回送请求，为0为回答

如下图所示回送与回答报文

ARP数据包：

首先将过滤监视器地址改为hardware，我们知道某台机器的IP地址，即可以知道其物理地址。在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的。计算机会先发送一个包含一个IP地址信息的ARP请求包（广播包），当那台符合条件IP的计算机接受到广播包的时候，就会给那台发送广播包的计算机会送一个响应，同时把自己的MAC地址附带得告诉了那太发送ARP广播包的计算机。

硬件地址（16位）		协议类型（16位）
硬件长度	协议长度	操作（请求1，回答2）
发送站硬件地址（例如：对以太网是6字节）
发送站协议地址（例如：对IP是4字节）
目标硬件地址（例如：对以太网6字节，在请求中不填入）
目标协议地址（例如：对IP是4字节）