【Ethereal抓包工具简介】
Ethereal是一款强大的网络封包分析软件，广泛应用于网络故障排查、网络安全分析和性能优化。它能够捕获并显示网络上的数据包，帮助用户理解网络通信过程，深入分析网络流量。
**Ethereal的安装**
安装Ethereal之前，需要先安装Winpcap驱动程序，它是Ethereal在Windows系统上运行的基础。你可以从以下网址下载Winpcap的最新版本，如3.1beta4（正式版通常是3.0）：
1. Winpcap Download: http://www.mirrors.wiretapped.net/security/packet-capture/winpcap/
2. 或者： http://winpcap.polito.it/install/default.htm
接着，下载Ethereal的安装包。当前的稳定版本可能为0.10.10，并且已经支持中文。你可以从Ethereal官方网站获取：
1. Ethereal Download: http://www.ethereal.com/distrubution/win32/
**Ethereal的使用**
1. **启动与配置**: 双击桌面上的Ethereal图标启动程序，按`Ctrl+K`进入“捕获选项”设置。
2. **选择接口**: 在“Capture packets in promiscuous mode”中，你可以选择是否开启混杂模式。混杂模式会捕获所有经过网络接口的报文，通常为了分析本机通信，我们会关闭此模式。
3. **限制报文大小**: “Limit each packet”允许你设定每个报文的大小限制。
4. **保存捕获文件**: “Capture files”用于指定保存捕获数据包的文件名和位置。
5. **开始捕获**: 确认设置后，点击“OK”开始抓包。此时会弹出“Ethereal:capture form (nic) driver”，显示本机的网卡型号，并以协议类型统计捕获的报文比例。点击“Stop”可停止抓包。
**文件操作**
- **打开**: 使用“Open”(快捷键`Ctrl+Q`)可以打开已存储的抓包文件。
- **合并**: “Merge”实际上是将当前捕获的报文追加到已保存的文件中。
- **保存**: 通过“Save”和“Save As”可以选择保存格式。保存时请注意，缺省的libpcap格式是Linux下的tcpdump格式，若想让Ethereal与Sniffer之间兼容，应选择sniffer格式（如1.1或2.0）。
- **输出与打印**: “Export”用于导出数据，“Print”用于打印抓包结果。
- **退出**: “Quit”退出Ethereal。
**编辑功能**
- **查找报文**: “Find Packet”(快捷键`Ctrl+F`)允许你搜索特定报文，支持多种格式的查找。正确输入语句后，匹配项将以绿色高亮显示，错误或缺失的部分则显示为红色。
- **查找上下文**: “Find Next”和“Find Previous”分别用于向下和向上查找匹配的报文。
- **时间参考**: “Time Reference”功能可以设置报文的时间戳，方便在大量报文中快速定位。
- **标记功能**: “Mark Packet (toggle)”可标记报文，而“Mark all packets”和“Unmark all packets”用于批量标记和取消标记所有报文，类似于书签功能。
**视图设置**
“View”菜单下的“Main toolbar”、“Statusbar”等选项可以调整用户界面布局，如显示或隐藏工具栏、状态栏等。此外，还可以通过“Preference”设置协议解析的支持程度，自定义报文查看界面。
Ethereal提供了丰富的网络数据包捕获和分析功能，对于网络管理员和开发者来说，是诊断网络问题、学习网络协议的强大工具。熟练掌握Ethereal的使用，能有效提升网络管理和维护的效率。
