Windump 的用法/Windump 是什么？

Windump


Windump是Windows环境下一款经典的网络协议分析软件，其Unix版本名称为Tcpdump。它可以捕捉网络上两台电脑之间所有的数据包，供网络管理员/入侵分析员做进一步流量分析和入侵检测。在这种监视状态下，任何两台电脑之间都没有秘密可言，所有的流量、所有的数据都逃不过你的眼睛（当然加密的数据不在讨论范畴之内，而且，对数据包分析的结果依赖于你的TCP/IP知识和经验，不同水平的人得出的结果可能会大相径庭）。如果你做过DEBUG或者反汇编，你会发现二者是那么惊人的相似。在W.Richard Stevens的鼎鼎大作《TCP/IP详解》卷一中，通篇采用Tcpdump捕捉的数据包来向读者讲解TCP/IP；而当年美国最出色的电脑安全专家下村勉在追捕世界头号黑客米特尼克时，也使用了Tcpdump，Tcpdump/Windump的价值由此可见一斑。 
Windump的用法
我们正式开始介绍Windump。该软件是免费软件，命令行下面使用，需要WinPcap驱动，该驱动可以在[url]http://winpcap.polito.it/install/default.htm[/url]下载。因为Windump的下载非常方便，很多站点都有，在这里我就不提供了，请大家去网上搜索一下。   
    现在我们打开一个命令提示符，运行windump后出现：   
    D:\tools>windump   
    windump:     listening     on     \Device\NPF_   
    这表示windump正在监听我的网卡，网卡的设备名称是：   
    \Device\NPF_   
    如果你看见屏幕上显示出这个信息，说明你的winpcap驱动已经正常安装，否则请下载并安装正确的驱动。Windump的参数很多，运行windump     -h可以看到：   
    Usage:     windump     [-aAdDeflnNOpqRStuvxX]     [-B     size]     [-c     count]     [     -C     file_size     ]     [     -F     file     ]     [     -i     interface     ]     [     -r     file     ]     [     -s     snaplen     ]     [     -T     type     ]     [     -w     file     ]     [     -E     algo:secret     ]     [     expression     ]   
    下面我来结合TCP的三步握手来介绍Windump的使用，请接着往下看：   
    D:\tools>windump     -n   
    windump:     listening     on     \Device\NPF_   
    09:32:30.977290     IP     192.168.0.226.3295     >     192.168.0.10.80:     S     912144276:912144276(0)     win     64240     <mss     1460,nop,nop,sackOK>     (DF)//第一行   
    09:32:30.978165     IP     192.168.0.10.80     >     192.168.0.226.3295:     S     2733950406:2733950406(0)     ack     912144277     win     8760     <nop,nop,sackOK,mss     1460>     (DF)//第二行   
    09:32:30.978191     IP     192.168.0.226.3295     >     192.168.0.10.80:     .     ack     1     win     64240     (DF)//第三行   
    先看第一行。其中09:32:30.977290表示时间；192.168.0.226为源IP地址，端口3295，其实就是我自己的那台电脑；192.168.0.10是目的地址，端口80，我们可以判断这是连接在远程主机的WEB服务上面；S     912144276:912144276(0)表示我的电脑主动发起了一个SYN请求，这是第一步握手，912144276是请求端的初始序列号；win     64240     表示发端通告的窗口大小；mss     1460表示由发端指明的最大报文段长度。这一行所表示的含义是IP地址为192.168.0.226的电脑向IP地址为61.133.136.34的电脑发起一个TCP的连接请求。   
    接下来我们看第二行，时间不说了；源IP地址为192.168.0.10，而目的IP地址变为192.168.0.226；后面是S     2733950406:2733950406(0)     ack     912144277，这是第二步握手，2733950406是服务器端所给的初始序列号，ack     912144277是确认序号，是对第一行中客户端发起请求的初始序列号加1。该行表示服务器端接受客户端发起的TCP连接请求，并发出自己的初始序列号。   
    再看第三行，这是三步握手的最后一步，客户端发送ack     1，表示三步握手已经正常结束，下面就可以传送数据了。   
    在这个例子里面，我们使用了-n的参数，表示源地址和目的地址不采用主机名的形式显示而采用IP地址的形式。下面我们再来看看如果三步握手不成功会是怎么样。我先telnet到一台没有开telnet服务的计算机上面：   
    C:\Documents     and     Settings\Administrator>telnet     192.168.0.10   
    正在连接到192.168.0.10...不能打开到主机的连接，     在端口     23.   
    由于目标机器积极拒绝，无法连接。   
    这个时候我们再看windump所抓获的数据包：   
    D:\tools>windump     -n   
    windump:     listening     on     \Device\NPF_   
    10:38:22.006930     arp     who-has     192.168.0.10     tell     192.168.0.226//第三行   
    10:38:22.007150     arp     reply     192.168.0.10     is-at     0:60:8:92:e2:d//第四行   
    10:38:22.007158     IP     192.168.0.226.3324     >     192.168.0.10.23:     S     1898244210:1898244210   
    (0)     win     64240     <mss     1460,nop,nop,sackOK>     (DF)   
    //第五行   
    10:38:22.007344     IP     192.168.0.10.23     >     192.168.0.226.3324:     R     0:0(0)     ack     1898244211     win     0   
    //第六行   
    10:38:22.478431     IP     192.168.0.226.3324     >     192.168.0.10.23:     S     1898244210:1898244210(0)     win     64240     <mss     1460,nop,nop,sackOK>     (DF)   
    10:38:22.478654     IP     192.168.0.10.23     >     192.168.0.226.3324:     R     0:0(0)     ack     1     win     0   
    10:38:22.979156     IP     192.168.0.226.3324     >     192.168.0.10.23:     S     1898244210:1898244210   
    (0)     win     64240     <mss     1460,nop,nop,sackOK>     (DF)   
    10:38:22.979380     IP     192.168.0.10.23     >     192.168.0.226.3324:     R     0:0(0)     ack     1     win     0   
    从第三行中，我们可以看见192.168.0.226因为不知道192.168.0.10的MAC地址，所以首先发送ARP广播包；在第四行中，192.168.0.10回应192.168.0.226的请求，告诉192.168.0.226它的MAC地址是0:60:8:92:e2:d。   
    第五行中，192.168.0.226向192.168.0.10发起SYN请求，但在第六行中，我们可以看见，因为目标主机拒绝了这一请求，故发送R     0:0(0)的响应，表示不接受192.168.0.226的请求。在接下来的几行中我们看见192.168.0.226连续向192.168.0.10发送SYN请求，但都被目标主机拒绝。   
    好了，写了这么多不知道大家看累了没有，如果累了，说明你还需要了解更多的TCP/IP知识，只有深入了解TCP/IP才有可能成为一个合格的网络管理员。Windump的参数很多，功能也非常强大，以上我所介绍的仅仅是它冰山的一角，希望能起到抛砖引玉的作用，也希望有更多的网络管理员能关注协议分析，只有这样，我们才能在日常的网络管理和应急时期的入侵分析中立于不败之地，为我们的网络安全做出贡献。  
时间： 2024-09-29 02:39:03

Windump 的用法/Windump 是什么？的相关文章

WinDump使用方法

转自:http://blog.csdn.net/weiyuweizhi/article/details/4326174 在命令行下启动windump.exe 参数列表: -a               将网络地址解析为名字 -B size        设置网络数据接收缓冲区大小 -c count      只抓取count数目个包 -D               显示当前系统中所有可用的网卡 -e                输出链路层信息 -F file          从file文

winpcap编程抓包实例和windump使用

http://www.winpcap.org/archive/ 官方文档 http://www.ferrisxu.com/WinPcap/html/index.html http://www.winpcap.org/ http://www.winpcap.org/windump/install/default.htm http://www.360doc.com/content/11/0319/10/54470_102500630.shtml WinDump的使用: WinDump.exe ver

js中获取时间new date()的用法

js中获取时间new date()的用法 获取时间:   var myDate = new Date();//获取系统当前时间 获取特定格式的时间: 1 myDate.getYear(); //获取当前年份(2位) 2 myDate.getFullYear(); //获取完整的年份(4位,1970-????) 3 myDate.getMonth(); //获取当前月份(0-11,0代表1月) 4 myDate.getDate(); //获取当前日(1-31) 5 myDate.getDay();

20.5 Shell脚本中的逻辑判断；20.6 文件目录属性判断；20.7 if特殊用法；20.8 20.9 cace判断（上下）

扩展: select用法 http://www.apelearn.com/bbs/thread-7950-1-1.html 20.5 Shell脚本中的逻辑判断 格式1:if 条件 ; then 语句; fi 1. 创建if1.sh测试脚本: [[email protected] ~]# vi if1.sh a=5,如果a大于3,满足这个条件,显示ok 添加内容: #!/bin/bash a=5 if [ $a -gt 3 ] then echo ok fi 2. 执行if1.sh脚本: [[e

20.1 Shell脚本介绍；20.2 Shell脚本结构和执行；20.3 date命令用法；20.4 Shell脚本中的变量

20.1 Shell脚本介绍 1. shell是一种脚本语言 aming_linux blog.lishiming.net 2. 可以使用逻辑判断.循环等语法 3. 可以自定义函数 4. shell是系统命令的集合 5. shell脚本可以实现自动化运维,能大大增加我们的运维效率 20.2 Shell脚本结构和执行 1. 开头(首行)需要加: #!/bin/bash 2. 以#开头的行作为解释说明: 3. 脚本的名字以.sh结尾,用于区分这是一个shell脚本 4. 执行.sh脚本方法有两种:

shell 中seq的用法 echo -n用法

用法:seq [选项]... 尾数 或:seq [选项]... 首数 尾数 或:seq [选项]... 首数 增量 尾数 从1循环到100的两种方法(bash 其它的shell没试过)for x in `seq 1 100`;do echo $x;donefor x in {1..100};do echo $x;done echo -n 不换行输出 $echo -n "123" $echo "456" 最终输出 123456 echo -e 处理特殊字符 若字符串中

sudo的用法

su -l user -C 'COMMAND' 是用user这个用户执行命令 我们一般使用sudo 这个命令 sudo [-u] user COMMAND sudo [-k] COMMAND 清除此前用户的密码. sudo的配置文件/etc/sudoers 配置项为 users    hosts=(runas)    commands users:可以是一个用户的名称也可以是一个组,也可以是一个别名 username #UID user_alias 用户别名的用法 User_Alias NETA

几招学会 Python 3 中 PyMongo 的用法

本文和大家分享的是Python3下MongoDB的存储操作相关内容,在看本文之前请确保你已经安装好了MongoDB并启动了其服务,另外安装好了Python的PyMongo库.下面进入正题,一起来看看吧,希望对大家学习Python3有所帮助. 连接MongoDB 连接MongoDB我们需要使用PyMongo库里面的MongoClient,一般来说传入MongoDB的IP及端口即可,第一个参数为地址host,第二个参数为端口port,端口如果不传默认是27017. import pymongo cl

11 css中分组选择符的用法

<!doctype html> <html> <head> <meta charset="utf-8"> <title>无标题文档</title> <style type="text/css"> h1,span{color:red;} a:hover{color:#2EE926;} /*分组选择符的用法*/ </style> </head> <body&