通信电子Ethereal用户手册

Ethereal0.10.14用户手册Ulf Lamping,Richard Sharpe, NS Computer Software and Services P/LEd Warnicke,目 录1Ethereal介绍51.1Ethereal为何物？51.1.1Ethereal可以帮人们做什么？51.1.2界面功能51.1.3实时的从不同网络介质抓取数据包61.1.4导入来自其它抓包工具的文件61.1.5为其它抓包工具导出文件61.1.6丰富的协议解码器71.1.7开放源代码软件71.1.8Ethereal不能做什么？71.2Ethereal运行平台71.2.1Unix71.2.2Linux81.2.3Microsoft Windows81.3那里可以得到ethereal?81.4Ethereal的读法91.5Ethereal的历史91.6Ethereal的设计和维护91.7问题报告和获得帮助91.7.1Web网站91.7.2WIKI101.7.3FAQ101.7.4邮件列表101.7.5问题报告101.7.6liunx/unix平台崩溃报告111.7.7Windows平台崩溃报告112编译和安装ethereal112.1介绍112.2获得ethereal源代码和应用发布版本122.3UNIX平台编译ethereal之前准备工作122.4UNIX平台编译ethereal源代码132.5UNIX平台应用版本安装132.5.1RedHat 的RPMs方式安装142.5.2Debian的安装方式142.6解决UNIX下安装失败问题142.7Windows下源代码的编译142.8Windows下Ethereal安装142.8.1安装ethereal142.8.2升级ethereal152.8.3卸载ethereal153用户操作界面153.1介绍153.2启动ethereal153.3ethereal主界面153.4“The Menu”主菜单163.4.1“File”文件菜单183.4.2“Edit”编辑菜单193.4.3“View”视图菜单213.4.4“GO”跳转菜单233.4.5“Capture”抓包菜单243.4.6“Analyze”分析菜单243.4.7“Statistics”统计报表菜单263.4.8“Help”帮助菜单273.5“Main”常用工具栏283.6“Filter Toolbar”显示过滤器工具栏303.7“Packet List”数据包列表窗格313.8“Packet Details”数据包信息树窗格313.9“Packet Bytes”数据包字节窗格323.10“Statusbar”状态栏324网络数据包实时抓取334.1介绍334.2使用Ethereal前的准备工作334.3如何开始抓包？334.4“Capture Interfaces”抓包网络接口窗口344.5“Capture Options”抓包选项窗口354.5.1“Capture”抓包常规框354.5.2“Capture File(s)”数据包文件框364.5.3“Stop Capture”停止抓包框374.5.4“Display Options”显示选型框384.5.5“Name Resolution”名称解析框384.5.6“Buttons”按键394.6数据包文件和文件模式394.7“Link-layer header type”链接层数据头类型404.8抓包过滤器404.9抓包状态信息窗口424.9.1停止抓包424.9.2重新开始抓取435数据包文件导入、导出和打印435.1介绍435.2“Open”打开数据包文件435.2.1“Open Capture File”打开数据包文件窗口445.2.2支持导入文件格式455.3“Save As”存储数据包455.3.1输出文件格式465.4“Merging”合并数据包文件475.5“File Sets”文件系485.6“Exporting”导出文件495.6.1“Exporting as Plain Text File”导出无格式文件495.6.2“Export as PostScript File”导出PS格式文件505.6.3“Export as CSV(Comma Seperated Values)File”导出CSV(逗号分割)文件505.6.4“Export as PSML File”导出PSML格式文件515.6.5“Export as PDML File”导出PDML格式文件515.6.6“Export selected packet bytes”导出被选择数据包数据525.7“Printing”打印数据包535.8“Packet Range”数据包范围窗格556数据包分析556.1如何查看数据包556.2显示过滤器606.3如何书写显示过滤器表达式616.3.1显示过滤器字段616.3.2比较操作的数据类型和操作符626.3.3组合表达式626.3.4显示过滤器常见误解636.4“Filter Expression”过滤器表达式窗口646.5定义和存储过滤器656.6搜索数据包676.6.1“Find Packet”搜索数据包窗口676.6.2“Find Next”寻找下一个686.6.3“Find Previous”寻找上一个686.7“GO”跳转686.7.1“Go Back”后退686.7.2“Go Forward”向前686.7.3“Go to Packet”跳转到686.7.4“Go to Corresponding Packet”跳转到相关数据包696.7.5“Go to First Packet”跳到第一个数据包696.7.6“Go to Last Packet”跳到最后一个数据包696.8标记数据包696.9时间显示格式和时间基准点706.9.1时间显示格式706.9.2时间基准点707高级工具727.1介绍727.2“Following TCP streams”跟踪TCP数据流727.2.1TCP数据流跟踪窗口737.3Time Stamps时间标记747.3.1Ethereal内部时间格式747.3.2数据包文件时间格式747.3.3时间正确性747.4时区问题757.4.1什么是时区？757.4.2为你的计算机设置正确时间757.4.3Ethereal和时区767.5数据包重组767.5.1什么是数据包重组？767.5.2Ethereal如何实现包重组767.6名称解析777.6.1以太网名称解析(MAC层)777.6.2IP名称解析（网络层）787.6.3IPX名称解析（网络层）787.6.4TCP/UDP端口名称解析（传输层）787.7确保数据完整性787.7.1Ethereal核对概要797.7.2硬件里的概要计算和确认798统计798.1介绍798.2“Summary”统计窗口808.3“Protocol Hierrrchy”协议层次统计窗口818.4“Endpoint”终端统计828.4.1Endpoint终端是什么？828.4.2终端统计窗口838.5会话统计Conversations838.5.1什么是会话838.5.2会话窗口838.6IO曲线图窗口858.7服务响应时间统计869Ethereal客户配置879.1介绍879.2定义数据包颜色879.3控制协议解析器899.3.1“Enabled Protocols”协议解析开关窗口899.3.2用户配置解码909.3.3查看定义的解码方式919.4参数选择921 Ethereal介绍1.1 Ethereal为何物？Ethereal是开源网络数据包分析软件。数据包分析软件会抓取数据包，并试图逐条详细地显示数据包数据。你可以认为数据包分析软件是一个用户检查网络数据报文的设备，就像用电压表测量电路电压。以往数据包分析软件都是非常昂贵的或私有的。但Ethereal出现以后，这一切都改变了。Ethereal 可能是现在最好的开放源码的数据包分析软件。1.1.1 Ethereal可以帮人们做什么？有些人使用ethereal 完成以下工作：l 网络管理员使用它去充当网络程序故障检修工具l 网络安全工程师使用它检查安全软件l 开发人员使用它发现协议运行中的bugl 很多人使用它监听内网数据l 等等总之，ethereal可以在很多环境里帮助人们。1.1.2 界面功能Ethereal操作界面很友善，提供以下功能按键：l UNIX和windows下都可以运行l 抓取从网络上抓到活动的数据包l 真实的显示数据包协议信息l 打开和保存被抓取的数据包文件l 导入和导出数据包用于和其它抓包软件互动l 标准的数据包过滤器l 标准的数据包搜索l 基于过滤器的数据包彩色显示l 创建多种统计报表l 等等！可是你想真正了解它的威力，你必须亲自去使用它！1.1.3 实时的从不同网络介质抓取数据包Ethereal可以从网络介质上抓取流过的数据包。至于网络介质支持的类型，依赖于你使用的操作系统，您可以去这里察看所有被支持的网络介质：1.1.4 导入来自其它抓包工具的文件Ethereal可以打开大量其它抓包工具制作的数据包文件，具体支持情况请查看“导入文件格式”1.1.5 为其它抓包工具导出文件Ethereal 可以将抓取得数据包文件导出，并提供给其它抓包工具使用。具体支持情况请查看“导出文件格式”。1.1.6 丰富的协议解码器Ethereal 支持丰富的网络协议解析，具体支持情况请查看“附录B：协议和协议域”。1.1.7 开放源代码软件Ethereal 是一个开放源代码软件工程，被GNU General Public Licence（GPL）发布。你可以免费的使用ethereal 不用考虑软件使用授权问题。在GPL下有很多的免费开源软件，所以，ethereal加入一个新的协议支持、插件或源代码修改都非常容易。1.1.8 Ethereal不能做什么？以下这些功能是ethereal不提供的：l Ethereal 并不是个IDS入侵监测系统。当网络上发生某个事情的时候他不会警告你。当一个网络异常发生的时候，ethereal会帮您描述正在网络发生的问题。l Ethereal并不能操作您的网络，它仅仅是一个测量工具。它不发送数据包或者作其他的主动行动。1.2 Ethereal运行平台Ethereal可以运行在很多的UNIX和各种windows平台上运行，它需要一些辅助软件库如：GTK+, GLib, libpcap ，其他一些库。如果你安装后ethereal无法运行，请可以下在源程序去修正它。并请将您的使用经历发给：ethereal-dev支持平台如下：1.2.1 Unix Apple Mac OS X BeOS FreeBSD HP-UX IBM AIX NetBSD OpenBSD SCO UnixWare/OpenUnix SGI Irix Sun Solaris/Intel Sun Solaris/Sparc Tru64 UNIX (formerly Digital UNIX)1.2.2 Linux Debian GNU/Linux Gentoo Linux IBM S/390 Linux (Red Hat) Mandrake Linux PLD Linux Red Hat Linux Rock Linux Slackware Linux Suse Linux1.2.3 Microsoft Windows支持: Windows Server 2003 / XP / 2000 / NT 4.0 Windows Me / 98不支持： Windows CE Windows NT / XP Embedded Windows 95 is no longer actively maintained by WinPcap, but still may work perfectly没有测试平台： Windows XP 64-bit Edition Windows Vista (aka Longhorn)1.3 那里可以得到ethereal?您可以从 下载最新的ethereal版本。此网站允许您选择多种镜像下载服务器。每4-8周会发布一个新的ethereal版本。如果你希望在新版本发布时得到通知，你应该去加入ethereal邮件列表。“邮件列表”章节有详细地介绍。1.4 Ethereal的读法有人把ethereal拆解为：ethe-real、e-the-real等，你也可以按你喜欢的方式去叫它。在FQA里给出的是“e-the-real”。1.5 Ethereal的历史1997年，Gerald Combs需要一个跟踪网络协议的工具，并想学习更多的网络知识。他开始开发ethereal。1998年七月，ethereal推出了0.2.0版本，在那些日子里，补丁、bug报告和鼓励使ethereal走向成功。不久之后，Gilbert Ramirez看到了他的潜力，并提供了一个低等级协议分析器给他。1998年十月，Guy Harris申请加入开发，并提供协议解析器。1998年底，Richard Sharpe加入，并提供TCP/IP框架结构，可以很清晰地看到那些协议被支持，也可以轻松的加入新的协议解析器。之后，ethereal开始蓬勃发展。1.6 Ethereal的设计和维护Ethereal最初是由Gerald Combs设计。目前它的设计和维护是由Ethereal Team完成。开放的团队谁都可以修复BUG和提供新功能。众多的人为Ethereal协议解析器做出了贡献，你可以在“关于Ethereal”里看到众多的提供源代码的人们，或在ethereal作者页也可以看到他们。你设计将在三个体现出对人们的帮助：l 很多人会发现你的设计，并应用它在自己的工作中。你会发现你帮助了很多人。l Ethereal可能会在改善您的设计，或在此之上作更多的上层设计。l Ethereal的设计和维护人员会精心的维护您的设计代码，并修改它当API或其他调用变化的时候。当新版本发布的时候，您的新设计可能就被包含进去了。1.7 问题报告和获得帮助如果你对ethereal有一些疑问，或需要帮助，一下这些地方会对你有帮助。1.7.1 Web网站在ethereal主站可以找到大量的技术信息。.1.7.2 WIKI在里你可以得到更广泛的帮助信息。有很都信息是没有被包含在用户手册里的技术细节。你也可以发表自己的见解，比如你对某一个协议很了解，你可以发表文章。1.7.3 FAQFAQ即常见问题答复。建议你在提出问题之前，先查阅FAQ很可能找到答案。网址：1.7.4 邮件列表Ethereal 提供几种邮件列表：l Ethereal 通告：告诉你有新的版本发布，每4-8周发布一次新版本l Ethereal 用户：人们使用ethereal时遇到的问题和别人给于地答复l Ethereal 开发：如果你想加入ethereal开发，加入此列表你可以到ethereal网站订阅这些邮件列表。建议你再提出问题之前搜索邮件列表，如果找到答案，就不用再等待别人答复了！1.7.5 问题报告建议：提出问题报告之前，请先安装最新版本的ethereal测试。提出问题报告时，建议你提供以下信息，这对解答问题非常有帮助。l 您使用的ethereal版本号和使用的相关库如GTK+等，这些信息你可以使用ethereal v获得l 运行平台l 详细逐条描述你遇到的问题l 如果你得到了一个error/wanning错误提示信息，请拷贝这些信息，并记录。请不要给出"I get a warning while doing x"的提示信息，这没什么帮助。注意：l 不要发送大文件(100KB)在邮件中，l 为了您的安全也不要发送包含您敏感信息的问题报告。1.7.6 liunx/unix平台崩溃报告你可以使用以下命令得到崩溃报告信息$ gdb whereis ethereal | cut -f2 -d: | cut -d' ' -f2 core >& bt.txtbacktraceD$Backtrace是一个gdb命令。输入后没有回显信息。D是一个gdb结束命令，输入后你会结束gdb,并在当前目录下形成bt.txt文件。此文件包含了ethereal崩溃信息。你应该发送此文件到: ethereal-dev1.7.7 Windows平台崩溃报告Windows不能产生.pdb文件，应为他太大了。你只能自己来描述。2 编译和安装ethereal2.1 介绍为了使用ethereal你必须获得: l 针对你操作系统的应用程序版本l 针对你操作系统的源代码由于支持的操作系统众多，版本更新也很快，确保你得到的是最新版本。通常安装步骤为：l 下载最新发布版本，应用版本或源代码版本。l 编译源代码，产生应用程序，安装必须的各种运行库l 安装应用程序2.2 获得ethereal源代码和应用发布版本你可以在ethereal网站得到源代码和应用程序两个发布版本。你可能发现应用程序版本没有真对你的平台的，此时你可能需要下在源代码发布版本，在本地从新编译。一旦你下在了发布版本，你就可以进行下一步了。2.3 UNIX平台编译ethereal之前准备工作你在编译ethereal之前或安装应用发布版本之前。你应该确认以下软件已经正确安装：l GTK+ (The GIMP Tool Kit) 你可以从 www.gtk.org下载l Libpcap 你可以从www.tcpdump.org下载由于你的平台不同，可能需要安装他们的应用版本如RPMs，跟多的时候需要源代码进行编译。如果你下载了GTK+的源代码，你可以这样安装GTK+: gzip -dc gtk+-1.2.10.tar.gz | tar xvf -<much output removed>cd gtk+-1.2.10./configure<much output removed>make<much output removed>make install<much output removed>如果你使用的是liunx, 或者安装了GNU tar。你也可以使用tar zxvf gtk+-1.2.10.tar.gz 。在很多的UNIX平台上可能使用gunzip -c or gzcat比gzip -db更好。如果你使用windows平台下在文件，文件名可能是gtk+-1_2_8_tar.gz如果你下载了libpcap的源代码发布版本。你可以这样来安装：gzip -dc libpcap-0.8.3.tar.Z | tar xvf -<much output removed>cd libpcap_0_8_3./configure<much output removed>make<much output removed>make install<much output removed>make install-incl<much output removed>如果使用RetHat linux 6.2以后平台，可以使用RPMs发布版本安装，如下：cd /mnt/cdrom/RedHat/RPMSrpm -ivh glib-1.2.6-3.i386.rpmrpm -ivh glib-devel-1.2.6-3.i386.rpmrpm -ivh gtk+-1.2.6-7.i386.rpmrpm -ivh gtk+-devel-1.2.6-7.i386.rpmrpm -ivh libpcap-0.4-19.i386.rpm在Debian系统上安装，使用如下命令：apt-get install ethereal2.4 UNIX平台编译ethereal源代码按照以下步骤编译Ethereal源代码：1拆包tar zxvf ethereal-0.10.14-tar.gz某些UNIX平台可能需要这样做：gzip -d ethereal-0.10.14-tar.gztar xvf ethereal-0.10.14-tar2更改ethereal源代码目录3编译前自动配置./configure4编译make5安装make install安装完毕后，就可以键入ethereal 开始运行了。2.5 UNIX平台应用版本安装通常情况下不同UNIX平台下安装方法都是不同的，例如：AIX，需要使用smit去安装ethereal应用版本，而在Tru64 UNIX下，需要使用setld来安装。2.5.1 RedHat 的RPMs方式安装rpm -ivh ethereal-0.10.5-0.2.2.i386.rpm如果提示没有相关库，请参考：“如果使用RetHat linux 6.2以后平台。”2.5.2 Debian的安装方式apt-get install ethereal2.6 解决UNIX下安装失败问题如果configure命令失败，你需要知道为什么运行失败。你可以查看源代码目录下config.log。最后的几行会对你很有帮助。如果你的系统中没有GTK+或libpcap，或版本不适合，都会引起configure失败.另一个常见的问题是在编译过程中出现输出过长问题。这很可能是由于老的sed引起的。你可以下载最新的sed。http:/directory.fsf.org/GNU/sed.html 。如果你不能确定是什么问题引起了编译失败，你可以发送给ethereal-dev。包含config.log和你认为有用的信息。2.7 Windows下源代码的编译推荐你使用应用发布版本，除非你需要开发。请到 得到信息。2.8 Windows下Ethereal安装2.8.1 安装ethereal首先获得安装包，ethereal-setup-x.y.z.exe x.y.z代表版本号，例如0.10.14。执行此文件即可开始进入通行安装画面。不需要特殊配置，按“next”键即可完成安装。（在Windows下安装，从 /下载安装文件。Ethereal在0.10.12 版本之后都内置了WInpcap。如果没有内置，先现在安装WInPcap。-注本人加入-su）2.8.2 升级ethereal如果你加入了ethereal通告邮件列表，你会及时得到ethereal新版本发布信息。升级方法和安装方法一样。2.8.3 卸载ethereal在控制面板里，添加删除程序里操作。3 用户操作界面3.1 介绍你已经安装了ethereal，现在可以开始抓包了。接下来的几个章节将介绍：l Ethereal用户操作界面l 如何抓包l 如何查看数据包l 如何配置数据包过滤器l 等等3.2 启动ethereal可以通过命令行启动，或者在windows开始-程序，或桌面快捷方式等。3.3 ethereal主界面下图为ethereal用户界面，此图为你抓取数据包之后或导入数据后的情况。Ethereal 主窗口有很多的GUI程序组成。1Menu 主菜单：用于开始各种操作功能2Main toolbar 常用工具栏：列出了一些ethereal使用过程中常用的功能按键3Filer toolbar 显示过滤器工具栏：用于直接操作和显示过滤器字段4Packet list pane 数据包列表窗格：这里显示被抓取数据包列表。点击某个数据包行，他的具体信息将显示是另外两个窗格里。5Packet details pane 数据包信息树窗格：显示在数据包列表窗格里被选中数据包的详细信息。6Packet bytes pane 数据包字节窗格：显示在数据包列表窗格里被选中的数据包字节信息。在数据包信息树窗格中被点选的高亮部分，此处也会将相对应的字节部分高亮显示。7Statusbar 状态栏： 显示当前程序的状态或被选数据的状态。注意：主界面可以被客户根据自己的习惯定制。3.4 “The Menu”主菜单主菜单如下图所示：File 文件打开或合并抓包文件，部分或全部存储、打印、导出抓包文件，退出Ethereal。Edit 编辑查询数据包、设置时间基准、标记一个或多个数据包、设置参数选项（目前没有实现剪切、拷贝、粘贴工具）View 视图 控制被抓取数据包的显示方式，包括：数据包颜色、字体缩放、在新窗口显示数据包、展开和收起数据包描述信息树等等GO 移动移动到指定数据包位置，比如：上移一个、下疑一个、到开头、到结尾、到指定的第几个包等。Capture 抓取开始、重新开始、停止抓包，抓取过滤器配置。Analyze 分析设置显示过滤器，挂接协议解析器，指定解码，跟踪TCP数据流等。Statistics 统计报表可以弹出各种统计窗口，例如：被抓取数据包概要窗口，协议层次窗口等。Help 帮助包含了基本帮助、支持协议列表，在线帮助关联，本系统常规介绍。3.4.1 “File”文件菜单Menu菜单项目快捷方式描述Open打开Ctrl+O打开查找数据包文件对话框，从中选择您要分析的数据包文件。Open Recent最近打开文件显示最近打开过的数据包文件，并可以点选打开。Merge合并打开查找数据包文件对话框，从中选择数据包文件，将其合并到当前打开的数据包文件中。Close关闭Ctrl+W关闭当前正在分析的数据包文件-Save保存Ctrl+S保存当前正在分析的数据包，如果是新的数据包文件，会弹出一个存储位置和文件名的对话框。如果已经保存过，这个按键是灰色的，不可用的。不能在抓包过程中保存，必须停止抓包后，才可以保存。Save As另存为Shift+Ctrl+S保存当前正在分析的数据包为另一个数据包文件，会弹出一个另存为存储位置和文件名的对话框。-File Set >List Files文件系 >文件列表数据包文件系中的文件列表，会弹出文件列表窗口File Set >Next Files文件系 >下一个文件如果目前打开了数据包文件系中的一个文件，打开文件系中此文件的下一个文件。当目前打开的是文件系中的最后一个或非文件系文件，此按键为灰色，不可用。File Set >Previous Files文件系 >上一个文件如果目前打开了数据包文件系中的一个文件，打开文件系中此文件的上一个文件。当目前打开的是文件系中的第一个或非文件系文件，此按键为灰色，不可用。-Exprot >As “PlainText” file导出 >普通文本文件允许您导出数据包文件中的一些或全部包信息到一个ASCII编码的普通文本文件。Exprot >As”PostScript”File导出 >.PS文件允许您导出数据包文件中的一些或全部包信息到一个PostScript文件。Export >As “CSV”(Comma Separated Values packet summary )file导出 >CSV电子表格文件允许您导出数据包文件中的一些或全部包信息到一个.CSV文件（Comma Separated Values packet summary：用逗号分割数据包值概要），应用于电子表格。Export >As “PSML” file导出 >PSML文件允许您导出数据包文件中的一些或全部包信息到一个PSML(packet summary markup language：数据包摘要置标语言) XML文件。Export >As “PDML” file导出 >PDML文件允许您导出数据包文件中的一些或全部包信息到一个PDML(packet details markup language：数据包详细信息置标语言) XML文件。Export >Selected Packet Bytes导出 >数据包被选字节允许您导出数据包字节窗格中选择的字节，形成一个二进制文件。-Print打印Ctrl+P允许您打印数据包文件中的一些或全部包信息。-Quit退出Ctrl+Q退出ethereal，如果没有存盘，会有存盘提示窗口。3.4.2 “Edit”编辑菜单Menu菜单项目快捷方式描述Find Packet查找数据包.Ctrl+F弹出一个查找对话框，您可以指定很多的数据包属性和值用于查找您需要的数据包。Find Next查找下一个Ctrl+N查找符合“查找数据包.”条件的下一个数据包。Find Previous查找上一个Ctrl+B查找符合“查找数据包.”条件的上一个数据包。-Time Reference>Set Time Reference(toggle)时间基准>设置时间基准(标记)Ctrl+T将当前选择的数据包上设置时间基准Time Reference>Find Next时间基准>发现下一个试图发现下一个设置时间基准的数据包Time Reference>Find Previous时间基准>发现上一个试图发现上一个设置时间基准的数据包Mark Packet(toggle)标记数据包Ctrl+M在被选择的数据包上做记号Mark All Packets标记所有数据包为数据包文件中的所有数据包做标记Unmark All Packets解除所有数据包标记为数据包文件中的所有数据包解除标记Preferences选项Shift+Ctrl+P弹出选项配置窗口，可以设置各种ethereal控制参数。并可以应用和存储您的配置信息，下次启用ethereal这些配置依然起作用。3.4.3 “View”视图菜单Menu菜单项目快捷方式描述Main Toolbar常用工具栏钩选此项，显示或隐藏常用工具栏Filter Toolbar过滤器工具栏钩选此项，显示或隐藏过滤器工具栏Statusbar状态栏钩选此项，显示或隐藏状态栏-Packet List包列表窗格钩选此项，显示或隐藏包列表窗格Packet Details包详细信息窗格钩选此项，显示或隐藏包详细信息窗格PacketBytes数据包字节窗格钩选此项，显示或隐藏数据包字节窗格-Time Display Format >Date and Time of Day:1970-01-01 01:02:03.123456时间显示格式 >日期和当天时间：1970-01-01 01:02:03.123456选择日期和时间为ethereal显示格式。Time Display Format >Time of Day:01:02:03.123456时间显示格式 >当天时间： 01:02:03.123456选择不显示日期，只显示时间为ethereal显示格式。Time Display Format>Seconds Since Beginning of Capture:123.123456时间显示格式 >从开始抓包到此包到来的秒数：123.123456选择从开始抓包到此包到来的秒数为ethereal时间显示格式Time Display Format>Seconds Since Previous Packet:1.123456时间显示格式 >与上一个数据包的时间间隔秒数：1.123456选择与上一个数据包的时间间隔秒数为ethereal时间显示格式Time Display Format >Automatic (File Format Precision)时间显示格式 >自动(依据文件显示精度)自动分析数据包文件的时间精度，并按此精度显示。Time Display Format >Seconds : 0时间显示格式 >秒：0设置ethereal时间现实精度为1秒。Time Display Format >Seconds : 0.时间显示格式 >秒：0.设置ethereal时间现实精度为十分之一、百分之一、千分之一、万分之一秒等Name Resolution >Resolve Name名称解析 >解析名称此项试图解析数据包的地址信息，使您更容易理解。如主机名，域名,Mac->IP等的解析。Name Resolution >Enable for MAC Layer名称解析 >MAC层解析开启对MAC层解析，将MAC地址解析为容易理解的名字显示。例如：(e.g. 00:09:5b:01:02:03 -> 192.168.0.1).(e.g. 00:09:5b:01:02:03 -> Netgear_01:02:03). (e.g.00:09:5b:01:02:03 -> homerouter)Name Resolution >Enable forNetwork Layer名称解析 >网络层解析利用DNS服务，将IP解析为域名。(e.g.65.208.228.223 -> )在IPX网里，可以解析出IPX网名Name Resolution >Enable forTransport Layer名称解析 >传输层解析对应用协议的端口做解析，得到服务类型，如80->http等Colorize PacketList数据包列表颜色显示开启或关闭数据包列表颜色显示Auto Scroll in Live Capture实时抓包自动滚动在实时抓包时，当新的数据包到来时，数据包列表自动向上滚动，将最新的数据包显示出来。-Zoom In放大显示Ctrl+增大数据包显示字号Zoom Out缩小显示Ctrl+-减小数据包显示字号Normal Size正常显示Ctrl+=缩放到100%的字号Resize All Columns重新分配列宽度按照经验重新分配列宽度-Expand Substrees打开子树打开数据包信息树窗格里的被选中的信息描述子树。Expand All打开全部子树打开数据包信息树窗格里的全部信息描述子树。Collapse All收起全部子树收起数据包信息树窗格里的全部信息描述子树。-ColoringRules数据包颜色规则修改数据包颜色规则。-Show Packet in New Windos在新窗口中显示数据包打开一个新窗口显示数据包，此窗口紧紧包含数据包信息树窗格和字节窗格。Reload重新导入Ctrl+R允许您重新导入数据包文件3.4.4 “GO”跳转菜单Menu菜单项目快捷方式描述Back后退Alt+Left向后跳转到浏览历史中最近浏览的数据包，很像IE中的历史页面后退操作。Forward前进Alt+Right跳转道浏览历史中的下一个浏览的数据包，很像IE中的历史页面前进操作。Go toPacket跳转到Ctrl+G弹出窗口输入你想分析的数据包编号，自动定位到此数据包Go toCorrespondingPacket跳转到相关通讯包跳转到被选协议数据流，相关通讯的数据包。如果没有符合的数据包，此按键为灰色不可用。-First Packet开头跳转到数据包文件的第一个数据包Last Packet结尾跳转到数据包文件的最后一个数据包3.4.5 “Capture”抓包菜单Menu菜单项目快捷方式描述Interfaces网络接口弹出网络接口信息窗口，展示网络接口的工作状态等。Options抓包选项Ctrl+K弹出抓包选项窗口，你可以设置各种抓包选项，可以开始抓包。Start开始立刻开始抓包，并引用上次抓包的选项设置 Stop结束Ctrl+E停止正在进行的抓包过程。Restart重新开始停止正在进行的抓包过程，并再次开始抓包，且引用相同的设置。Capture Filers抓包过滤器弹出窗口，允许您创建和编辑抓包过滤器。3.4.6 “Analyze”分析菜单Menu菜单项目快捷方式描述Display Filters显示过滤器弹出窗口，可以创建和修改显示过滤器。Apply as Filter >应用为过滤器>改变显示过滤器，并立即应用。当前的显示过滤器字串被替换或追加数据包信息树窗格中被选的数据包协议特征。Prepare a Filter >准备过滤器 >改变显示过滤器，并不立即应用，做完所有准备工作后，一起应用。当前的显示过滤器字串被替换或追加数据包信息树窗格中被选的数据包协议特征。-Enabled Protocols使用协议解析器Shift+Ctrl+R弹出窗口，钩选协议解析器。Decode As解码方式允许用户强制Ethereal将某些数据包按照指定的协议解析。User Specified Decodes用户指定解码列出用户指定的解码方式，并可以清除这些解码方式。-Follow TCPStream跟作TCP流弹出窗口，显示所选数据包TCP连接的数据流信息。3.4.7 “Statistics”统计报表菜单Menu菜单项目快捷方式描述Summary概要显示被抓取数据信息概要Protocol Hierarchy协议层次显示协议分层树结构。Conversations会话统计显示所有会话 (两个终端之间的数据流) 列表Endpoints终端统计显示所有终端 (数据流的to/from端) 列表IO GraphsIO图表显示用户自定义过滤器的图表-ConversationList会话列表选在某种协议的会话列表，其实市会话统计窗口中的一部分。Endpoints List终端列表选在某种协议的终端列表，其实是终端统计窗口中的一部分。Service Response Time服务相应时间显示某个请求和相应回复之间的时间间隔。-ANSIANSIGSMGSMFax T38AnalysisFax T38分析H.225H.225MTP3MTP3RTPRTPSCTPSCTPSIPSIPVoIP CallsVoIP CallsWAP-WSPWAP-WSP-BOOTP-DHCPBOOTP-DHCPDestinations目的地址Flow GraphFlow GraphHTTPHTTPISUPMessagesISUP信息ONC-RPC ProgramsONC-RPC ProgramsPacket Length数据包大Packet Type数据包类型TCP StreamGraphTCP数据流图3.4.8 “Help”帮助菜单Menu菜单项目快捷方式描述Contents基础帮助系统的基本概念介绍和等信息Supported Protocols目前支持协议显示此版本支持的协议列表Manual Pages >用户指南 >本地安装的以方式提供的用户指南Ethereal Online在线帮助关联到Ethereal网站的各种在线帮助-About Ethereal关于Ethereal介绍Ethereal版本、安装目录、插件、作者信息。3.5 “Main”常用工具栏工具栏图标Toolbar Item工具栏按键对应主菜单位置描述Interfaces网络接口Capture >Interfaces弹出网络接口信息窗口，展示网络接口的工作状态等。Options抓包选项Capture >Options弹出抓包选项窗口，你可以设置各种抓包选项，可以开始抓包。Start开始Capture >Start立刻开始抓包，并引用上次抓包的选项设置 Stop停止Capture >Stop停止正在进行的抓包过程。Restart重新开始Capture >Restart停止正在进行的抓包过程，并再次开始抓包，且引用相同的设置。-Open打开File >Open打开查找数据包文件对话框，从中选择您要分析的数据包文件。Save As另存为File >Save As保存当前正在分析的数据包为另一个数据包文件，会弹出一个另存为存储位置和文件名的对话框。Close关闭File >Close关闭当前正在分析的数据包文件Reload重新导入View >Reload允许您重新导入数据包文件Print打印File >Print允许您打印数据包文件中的一些或全部包信息。-Find Pecket查找数据包.Edit >Find Packet弹出一个查找对话框，您可以指定很多的数据包属性和值用于查找您需要的数据包。Back后退Go >Go Back向后跳转到浏览历史中最近浏览的数据包