Sniffer Pro的基本使用和執行個體

Sniffer Pro的基本使用和執行個體

運行環境及安裝
Sniffer Pro可運行在區域網路的任何一台機器上，如果是練習使用，網路連接最好用Hub且在一個子網，這樣能抓到連到Hub上每台機器傳輸的包。
安裝非常簡單，setup後一路確定即可，第一次運行時需要選擇你的網卡。
最好在win2000下運行，在win2003下運行網路流量表有問題。
常用功能介紹
1、Dashboard （網路流量表）
點擊圖1中①所指的表徵圖，出現三個表，第一個表顯示的是網路的使用率（Utilization），第二個表顯示的是網路的每秒鐘通過的包數量（Packets），第三個表顯示的是網路的每秒錯誤率（Errors）。通過這三個表可以直觀的觀察到網路的使用方式，紅色部分顯示的是根據網路要求設定的上限。
選擇圖1中②所指的選項將顯示2所示的更為詳細的網路相關資料的曲線圖。每個子項的含義無需多言，下面介紹一下測試網路速度中的幾個常用單位。
在TCP/IP協議中，資料被分成若干個包（Packets）進行傳輸，包的大小跟作業系統和網路頻寬都有關係，一般為64、128、256、512、1024、1460等，包的單位是位元組。
很多初學者對Kbps、KB、Mbps 等單位不太明白，B 和 b 分別代表 Bytes(位元組) 和 bits（位元），1位元就是0或1。1 Byte = 8 bits 。
1Mbps (megabits per second兆位元每秒)，亦即 1 x 1024 / 8 = 128KB/sec（位元組/秒），我們常用的ADSL下行512K指的是每秒 512K位元(Kb)， 也就是每秒512/8=64K位元組（KB）

圖1 
圖2 
2、Host table（主機列表）
3所示，點擊圖3中①所指的表徵圖，出現圖中顯示的介面，選擇圖中②所指的IP選項，介面中出現的是所有線上的本網主機地址及連到外網的外網伺服器位址，此時想看看192.168.113.88這台機器的上網情況，只需中③所示單擊該地址出現圖4介面。 圖3 
 
圖4中清楚地顯示出該機器串連的地址。點擊左欄中其它的表徵圖都會彈出該機器串連情況的相關資料的介面。 圖4 
3、Detail（協議列表）
點擊圖5所示的“Detail”表徵圖，圖中顯示的是整個網路中的協議分布情況，可清楚地看出哪台機器運行了那些協議。注意，此時是在圖3的介面上點擊的，如果在圖4的介面上點擊顯示的是那台機器的情況。 圖5 
4、Bar（流量列表）
點擊圖6所示的“Bar”表徵圖，圖中顯示的是整個網路中的機器所用頻寬前10名的情況。顯示方式是柱狀圖，圖7顯示的內容與圖6相同，只是顯示方式是餅圖。 圖6  圖7 
5、Matrix （網路連接）
點擊圖8中箭頭所指的表徵圖，出現全網的串連，圖中綠線表示正在發生的網路連接，藍線表示過去發生的串連。將滑鼠放到線上可以看出串連情況。滑鼠右鍵在彈出的菜單中可選擇放大（zoom）此圖。 圖8 
抓包執行個體
1、抓某台機器的所有資料包
    9所示，本例要抓192.168.113.208這台機器的所有資料包，中①選擇這台機器。點擊②所指表徵圖，出現圖10介面，等到圖10中箭頭所指的望遠鏡表徵圖變紅時，表示已捕捉到資料，點擊該表徵圖出現圖11介面，選擇箭頭所指的Decode選項即可看到捕捉到的所有包。 圖9  圖10  圖11 
2、抓Telnet密碼
本例從192.168.113.208 這台機器telnet到192.168.113.50，用Sniff Pro抓到使用者名稱和密碼。
步驟1：設定規則
12所示，選擇Capture菜單中的Defind  Filter，出現圖13介面，選擇圖13中的ADDress項，在station1和2中分別填寫兩台機器的IP地址，14所示選擇Advanced選項，選擇選IP/TCP/Telnet ,將 Packet Size設定為 Equal 55， Packet Type 設定為 Normal.。 圖12  圖13  圖14 
步驟2：抓包
按F10鍵出現圖15介面，開始抓包。 圖15 
步驟3：運行telnet命令
本例使telnet到一台開有telnet服務的Linux機器上。
telnet 192.168.113.50
login: test
Password:
步驟4：察看結果
圖16中箭頭所指的望遠鏡表徵圖變紅時，表示已捕捉到資料，點擊該表徵圖出現圖17介面，選擇箭頭所指的Decode選項即可看到捕捉到的所有包。可以清楚地看出使用者名稱為test密碼為123456。
圖16
圖17
解釋：
雖然把密碼抓到了，但大家也許對包大小（Packet Size）設為55不理解，網上的資料傳送是把資料分成若干個包來傳送，根據協議的不同包的大小也不相同，從圖18可以看出當用戶端telnet到服務端時一次只傳送一個位元組的資料，由於協議的頭長度是一定的，所以telnet的資料包大小=DLC(14位元組)+IP(20位元組)+TCP(20位元組)+資料（一個位元組）=55位元組，這樣將Packet Size設為55正好能抓到使用者名稱和密碼，否則將抓到許多不相關的包。

圖18
3、抓FTP密碼
本例從192.168.113.208 這台機器ftp到192.168.113.50，用Sniff Pro抓到使用者名稱和密碼。
步驟1：設定規則
12所示，選擇Capture菜單中的Defind Filter出現圖19介面，選擇圖19中的ADDress項，在station1和2中分別填寫兩台機器的IP地址，選擇Advanced選項，選擇選IP/TCP/FTP ,將 Packet Size設定為 In Between 63 -71， Packet Type 設定為 Normal。20所示，選擇Data Pattern項，點擊箭頭所指的Add Pattern按鈕，出現圖21介面，按圖設定OFFset為2F,方格內填入18，name可任意起。確定後22點擊Add NOT按鈕,再點擊Add Pattern按鈕增加第二條規則，按圖23所示設定好規則，確定後24所示。
圖19
圖20
圖21
圖22
  圖23
圖24
步驟2：抓包
按F10鍵出現圖15介面，開始抓包。
步驟3：運行FTP命令
本例使FTP到一台開有FTP服務的Linux機器上
D:/>ftp 192.168.113.50
      Connected to 192.168.113.50.
      220 test1 FTP server (Version wu-2.6.1(1) Wed Aug 9 05:54:50 EDT 2000) ready.
      User (192.168.113.50:(none)): test
      331 Password required for test.
      Password:
步驟4：察看結果
圖16中箭頭所指的望遠鏡表徵圖變紅時，表示已捕捉到資料，點擊該表徵圖出現圖25介面，選擇箭頭所指的Decode選項即可看到捕捉到的所有包。可以清楚地看出使用者名稱為test密碼為123456789。
圖25
解釋：
雖然把密碼抓到了，但大家也許設不理解，將圖19中Packet Size設定為 63 -71是根據使用者名稱和口令的包大小來設定的，圖25可以看出口令的資料包長度為70位元組，其中協議頭長度為：14+20+20=54，與telnet的頭長度相同。Ftp的資料長度為16，其中關鍵字PASS佔4個位元組，空格佔1個位元組，密碼佔9個位元組，Od 0a(斷行符號 換行)佔2個位元組，包長度=54+16=70。如果使用者名稱和密碼比較長那麼Packet Size的值也要相應的增長。
Data Pattern中的設定是根據使用者名稱和密碼中包的特有規則設定的，為了更好的說明這個問題，請在開著圖15的情況下選擇Capture菜單中的Defind Filter，20所示，選擇Data Pattern項，點擊箭頭所指的Add Pattern按鈕，出現圖26介面，選擇圖中1所指然後點擊2所指的Set Data按鈕。OFFset、方格內、Name將填上相應的值。
同理圖27中也是如此。
這些規則的設定都是根據你要抓的包的相應特徵來設定的，這些都需要對TCP/IP協議的深入瞭解，從圖28中可以看出網上傳輸的都是一位一位的位元流，作業系統將位元流轉換為二進位，Sniffer這類的軟體又把二進位換算為16進位，然後又為這些數賦予相應的意思，圖中的18指的是TCP協議中的標誌位是18。OFFset指的是資料包中某位元據的位置，方格內填的是值。
圖26
圖27
圖28
4、抓HTTP密碼
步驟1：設定規則
    按照29、30進行設定規則，設定方法同上。
圖29
圖30
  步驟2：抓包
  按F10  鍵開始抓包。
  步驟3：訪問www.ccidnet.com網站
步驟4：察看結果
圖16中箭頭所 指的望遠鏡表徵圖變紅時，表示已捕捉到資料，點擊該表徵圖出現圖31介面，選擇箭頭所指的Decode選項即可看到捕捉到的所有包。在Summary中找到含有POST關鍵字的包，可以清楚地看出使用者名稱為qiangkn997，密碼為?，這可是我郵箱的真實密碼！當然不能告訴你，不過歡迎來信進行交流。
圖31
後記
本文中的例子是網內實驗，若捕捉全網機器的有關資料請將圖13中的station設定為any<->any，作為學習研究可以，可別做壞事！如果要用好Sniff Pro必須有紮實的網路基礎知識特別是TCP/IP協議的知識，其實Sniff Pro本身也是學習這些知識的好工具。

摘自http://www.ittopic.com/Article/wl/assist/200610/20061027000806.html