上次介紹了嗅探器的基本原理，以及如何用Tcpdump來截獲網(wǎng)絡上的數(shù)據(jù)包。但Tcpdump只是一個命令行方式下的網(wǎng)絡嗅探器，雖然功能強大，可分析起數(shù)據(jù)包來卻不是很方便。好在linux下還有一些具有良好GUI界面的嗅探器可以借助。Ethereal和EtherApe就是其中的佼佼者。有了Tcpdump的基礎，再使用這兩個嗅探器就感覺很輕松。

用Ethereal分析協(xié)議數(shù)據(jù)包

　　Ethereal是一個圖形用戶接口（GUI）的網(wǎng)絡嗅探器，能夠完成與Tcpdump相同的功能，但操作界面要友好很多。Ehtereal和Tcpdump都依靠于pcap庫（libpcap），因此兩者在許多方面非常相似（如都使用相同的過濾規(guī)則和要害字）。Ethereal和其它圖形化的網(wǎng)絡嗅探器都使用相同的界面模式，假如能熟練地使用Ethereal，那么其它圖形用戶界面的嗅探器基本都可以操作。

Ethereal的安裝

　　在http://www.ethereal.com網(wǎng)站上可以下載到最新的Ethereal源碼包。下面以Ethereal0.9.9為例，講述如何安裝Ethereal，此處使用的操作系統(tǒng)是RedHat8.0。

首先下載最新的源碼包，并將其解壓縮：

#cpethereal-0.9.9.tar.bz2/usr/local/src/
#cd/usr/local/src/
#bzip2-dethereal-0.9.9.tar.bz2
#tarxvfethereal-0.9.9.tar



　　同Tcpdump一樣，在編譯Ethereal之前應先確定已經(jīng)安裝pcap庫（libpcap），這是編譯Ethereal時所必需的。假如該庫已經(jīng)安裝，就可以執(zhí)行下面的命令來編譯并安裝Ethereal：

#cdethereal-0.9.9
#./configure
#make
#makeinstall



設置Ethereal的過濾規(guī)則

　　當編譯并安裝好Ethereal后，就可以執(zhí)行“ethereal”命令來啟動Ethereal。在用Ethereal截獲數(shù)據(jù)包之前，應該為其設置相應的過濾規(guī)則，可以只捕捉感愛好的數(shù)據(jù)包。Ethereal使用與Tcpdump相似的過濾規(guī)則，并且可以很方便地存儲已經(jīng)設置好的過濾規(guī)則。要為Ethereal配置過濾規(guī)則，首先單擊“Edit”選單，然后選擇“CaptureFilters...”菜單項，打開“EditCaptureFilterList”對話框（如圖1所示）。因為此時還沒有添加任何過濾規(guī)則，因而該對話框右側(cè)的列表框是空的。

# cp etherape-0.8.2.tar.gz /usr/local/src/# cd /usr/local/src/# tar xzvf etherape-0.8.2.tar.gz

# cd etherape-0.8.2# ./configure# make# make install