一.數(shù)據(jù)包的簡(jiǎn)介包(Packet)是TCP/IP協(xié)議通信傳輸中的數(shù)據(jù)單位，一般也稱(chēng)“數(shù)據(jù)包”。TCP/IP協(xié)議是工作在OSI模型第三層(網(wǎng)絡(luò)層)、第四層(傳輸層)上的，而幀是工作在第二層(數(shù)據(jù)鏈路層)。上一層的內(nèi)容由下一層的內(nèi)容來(lái)傳輸，所以在局域網(wǎng)中，“包”是包含在“幀”里的。數(shù)據(jù)包主要由“目的IP地址”、“源IP地址”、“凈載數(shù)據(jù)”等部分構(gòu)成。數(shù)據(jù)包的結(jié)構(gòu)與我們平常寫(xiě)信非常類(lèi)似，目的IP地址是說(shuō)明這個(gè)數(shù)據(jù)包是要發(fā)給誰(shuí)的，相當(dāng)于收信人地址；源IP地址是說(shuō)明這個(gè)數(shù)據(jù)包是發(fā)自哪里的，相當(dāng)于發(fā)信人地址；而凈載數(shù)據(jù)相當(dāng)于信件的內(nèi)容。正是因?yàn)閿?shù)據(jù)包具有這樣的結(jié)構(gòu)，安裝了TCP/IP協(xié)議的計(jì)算機(jī)之間才能相互通信。我們?cè)谑褂没赥CP/IP協(xié)議的網(wǎng)絡(luò)時(shí)，網(wǎng)絡(luò)中其實(shí)傳遞的就是數(shù)據(jù)包。例如上網(wǎng)打開(kāi)網(wǎng)頁(yè)，這個(gè)簡(jiǎn)單的動(dòng)作，就是你先發(fā)送數(shù)據(jù)包給網(wǎng)站，它接收到了之后，根據(jù)你發(fā)送的數(shù)據(jù)包的IP地址，返回給你網(wǎng)頁(yè)的數(shù)據(jù)包，也就是說(shuō)，網(wǎng)頁(yè)的瀏覽，實(shí)際上就是數(shù)據(jù)包的交換。數(shù)據(jù)包的傳輸也是有大小限制的，存在一個(gè)分包與分片的問(wèn)題1、數(shù)據(jù)鏈路層對(duì)數(shù)據(jù)幀的長(zhǎng)度都有一個(gè)限制，也就是鏈路層所能承受的最大數(shù)據(jù)長(zhǎng)度，這個(gè)值稱(chēng)為最大傳輸單元，即MTU。以以太網(wǎng)為例，這個(gè)值通常是1500字節(jié)。2、對(duì)于IP數(shù)據(jù)包來(lái)講，也有一個(gè)長(zhǎng)度，在IP包頭中，以16位來(lái)描述IP包的長(zhǎng)度，也就是說(shuō)，一個(gè)IP包，最長(zhǎng)可能是65535字節(jié)。3、結(jié)合以上兩個(gè)概念，第一個(gè)重要的結(jié)論就出來(lái)了，如果IP包的大小，超過(guò)了MTU值，那么就需要分片，也就是把一個(gè)IP包分為多個(gè)。二.如何獲取數(shù)據(jù)包(利用Ethereal抓包分析)1．安裝抓包工具。抓包工具是攔截查看網(wǎng)絡(luò)數(shù)據(jù)包內(nèi)容的軟件。抓包就是將網(wǎng)絡(luò)傳輸發(fā)送與接收的數(shù)據(jù)包進(jìn)行截獲、重發(fā)、編輯、轉(zhuǎn)存等操作，也用來(lái)檢查網(wǎng)絡(luò)安全。Ethereal是當(dāng)前較為流行的一種計(jì)算機(jī)網(wǎng)絡(luò)調(diào)試和數(shù)據(jù)包嗅探軟件。Ethereal基本類(lèi)似于tcpdump，但Ethereal還具有設(shè)計(jì)完美的GUI和眾多分類(lèi)信息及過(guò)濾選項(xiàng)。用戶通過(guò)Ethereal，同時(shí)將網(wǎng)卡插入混合模式，可以查看到網(wǎng)絡(luò)中發(fā)送的所有通信流量。Ethereal應(yīng)用于故障修復(fù)、分析、軟件和協(xié)議開(kāi)發(fā)以及教育領(lǐng)域。它具有用戶對(duì)協(xié)議分析器所期望的所有標(biāo)準(zhǔn)特征，并具有其它同類(lèi)產(chǎn)品所不具備的有關(guān)特征。Ethereal的安裝很簡(jiǎn)單，下載Etherealsetup0.99.0,按指示一步步安裝完成即可，打開(kāi)Ethereal個(gè)選項(xiàng)的使用說(shuō)明：Interface:選擇采集數(shù)據(jù)包的網(wǎng)卡IPaddress:選擇的網(wǎng)卡所對(duì)應(yīng)的IP地址Link-layerheadertype:數(shù)據(jù)鏈路層的協(xié)議，在以太網(wǎng)中一般是EthernetIIBuffersize:數(shù)據(jù)緩存大小設(shè)定，默認(rèn)是1M字節(jié)Capturepacketsinpromiscuousmode:設(shè)定在混雜模式下捕獲數(shù)據(jù)，如果不選中，將只能捕獲本機(jī)的數(shù)據(jù)通訊，默認(rèn)情況下選中該項(xiàng)Limiteachpacketto:設(shè)定只捕獲數(shù)據(jù)包的前多少個(gè)字節(jié)（從以太網(wǎng)頭開(kāi)始計(jì)算），默認(rèn)是68CaptureFilter:設(shè)定當(dāng)前的數(shù)據(jù)包采集過(guò)濾器CaptureFileFile:設(shè)定數(shù)據(jù)包文件的保存位置和保存文件名，默認(rèn)不保存Usemultiplefiles:啟用多文件保存，默認(rèn)不啟用Nextfileevery:設(shè)定每個(gè)數(shù)據(jù)包文件的大?。▎挝皇荕，默認(rèn)1M），只有啟用Usemultiplefiles后此項(xiàng)才可用Nextfileevery:設(shè)定每個(gè)數(shù)據(jù)包文件的大小（單位是分鐘，默認(rèn)1分鐘），只有啟用Usemultiplefiles后此項(xiàng)才可用Ringbufferwith:當(dāng)保存多少個(gè)數(shù)據(jù)包文件后循環(huán)緩存，默認(rèn)是2個(gè)文件，即保存2個(gè)數(shù)據(jù)包文件后丟棄緩存中的數(shù)據(jù)包，再添加新采集到的數(shù)據(jù)包Stopcaptureafter:當(dāng)保存多少個(gè)數(shù)據(jù)包文件后停止捕獲，默認(rèn)是1個(gè)文件StopCapture…after:捕獲到多少個(gè)數(shù)據(jù)包后停止捕獲，默認(rèn)不啟用，如啟用，默認(rèn)值是1…after:捕獲到多少M(fèi)字節(jié)的數(shù)據(jù)包后停止捕獲，默認(rèn)不啟用，如啟用，默認(rèn)值是1…after:捕獲多少分鐘后停止捕獲，默認(rèn)不啟用，如啟用，默認(rèn)值是1DisplayOptionsUpdatelistofpacketsinrealtime:實(shí)時(shí)更新捕獲到的數(shù)據(jù)包列表信息Automaticscrollinginlivecapture:對(duì)捕獲到的數(shù)據(jù)包信息進(jìn)行自動(dòng)滾屏顯示Hidecaptureinfodialog:隱藏捕獲信息對(duì)話框NameResolutionEnableMACnameresolution:把MAC地址前3位解析為相應(yīng)的生產(chǎn)廠商Enablenetworknameresolution:啟用網(wǎng)絡(luò)地址解析，解析IP,IPX地址對(duì)應(yīng)的主機(jī)名Enabletransportnameresolution:啟用端口名解析，解析端口號(hào)對(duì)應(yīng)的端口名Ethereal的基本操作欲劫獲網(wǎng)絡(luò)上的數(shù)據(jù)包，只要指定網(wǎng)卡(NetworkInterfaceCad)，接著按Capture即可按Capture后,Ethereal會(huì)開(kāi)始統(tǒng)計(jì)目前所截獲的數(shù)據(jù)包；如下圖所示，欲停止只需按Stopl下圖為Ethera截取數(shù)據(jù)包的頁(yè)面。由上而下分別是功能表欄、工具欄截取數(shù)據(jù)包的列表以及封包的詳細(xì)資料，最下面則是封包的內(nèi)容，這時(shí)是以16進(jìn)制及ASCII編碼的方式來(lái)表示這畫(huà)面有分三大部份:

1.最上面的是似照封包的接收順序來(lái)排序的，就是左邊的.5.6.7......每一行就是一個(gè)封包

2.中間是每單一個(gè)封包的內(nèi)容，大致上有四行，這四行是TCP/IP協(xié)定內(nèi)所定意的四層，最上面是第一層-實(shí)體層和網(wǎng)路介面層(frame)

第二層-網(wǎng)路層(包括來(lái)源ip和目的地ip，有時(shí)候也有macaddress)

第三層-協(xié)定的種類(lèi)(如http,ftp,telnet,pop,smtp..........)

第四層-應(yīng)用層(包括所傳送的內(nèi)容，帳號(hào)，密碼，或msn的通話內(nèi)容......這一層也是單一封包內(nèi)容最多的)

參考圖片：若是想將截獲到的數(shù)據(jù)包列表資料儲(chǔ)存起來(lái)，可以執(zhí)行[File]→[Save]或[SaveAs]將資料儲(chǔ)存起來(lái)，存儲(chǔ)對(duì)話框如下所示：這些儲(chǔ)存的數(shù)據(jù)包資料可以在以后執(zhí)行[Open]來(lái)加以開(kāi)啟。無(wú)線網(wǎng)絡(luò)抓包工具無(wú)線網(wǎng)絡(luò)抓