使用windows 程式，使用很簡單。
啟動ethereal 以後，選擇選單capature->start ，就ok 了。當你不想抓的時候，按一下stop， 抓的包就會顯示在面板中，並且已經分析好了。
下面是乙個截圖：
ethereal使用－capture選項
nte***ce: 指定在哪個介面（網絡卡）上抓包。一般情況下都是單網絡卡，所以使用預設的就可以了limit each packet: 限制每個包的大小，預設情況不限制
capture packets in promiscuous mode: 是否開啟混雜模式。如果開啟，抓取所有的資料報。一般情況下只需要監聽本機收到或者發出的包，因此應該關閉這個選項。filter：過濾器。只抓取滿足過 濾規則的包（可暫時略過） file：如果需要將抓到的包寫到檔案中，在這裡輸入檔名稱。use ring buffer： 是否使用迴圈緩衝。預設情況下不使用，即一直抓包。注意，迴圈緩衝只有在寫檔案的時候才有效。如果使用了迴圈緩衝，還需要設定檔案的數目，檔案多大時回卷
其他的項選擇預設的就可以了
ethereal的抓包過濾器
抓包過濾器用來抓取感興趣的包，用在抓包過程中。 抓包過濾器使用的是libcap 過濾器語言，在tcpdump 的手冊中有詳細的解釋，基本結構是： [not] primitive [and|or [not] primitive ...]
個人觀點，如果你想抓取某些特定的資料報時，可以有以下兩種方法，你可以任選一種， 個人比較偏好第二種方式：
1、在抓包的時候，就先定義好抓包過濾器，這樣結果就是只抓到你設定好的那些型別的數 據包；
2、先不管三七二十一，把本機收到或者發出的包一股腦的抓下來，然後使用下節介紹的顯 示過濾器，只讓ethereal 顯示那些你想要的那些型別的資料報；
etheral的顯示過濾器（重點內容）
在抓包完成以後，顯示過濾器可以用來找到你感興趣的包，可以根據1)協議2)是否存在某個域3)域值4)域值之間的比較來查詢你感興趣的包。
舉個例子，如果你只想檢視使用tcp 協議的包，在ethereal 視窗的左下角的filter 中輸入tcp， 然後回車，ethereal 就會只顯示tcp 協議的包。如下圖所示：
值比較表示式可以使用下面的操作符來構造顯示過濾器自然語言類c 表示舉例eq == ip.addr==10.1.10.20 ne != ip.addr!=10.1.10.20 gt > frame.pkt_len>10 lt < frame.pkt_len<10 ge >= frame.pkt_len>=10 le <= frame.pkt_len<=10
表示式組合可以使用下面的邏輯操作符將表示式組合起來自然語言類c 表示舉例and && 邏輯與，比如ip.addr=10.1.10.20&&tcp.flag.fin or || 邏輯或，比如ip.addr=10.1.10.20||ip.addr=10.1.10.21 xor ^^ 異或，如tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == not ! 邏輯非，如 !llc
例如：我想抓取ip 位址是192.168.2.10 的主機，它所接收收或傳送的所有的http 報文，那麼合適的顯示filter （過濾器）就是：
再介紹下windows下
先來介紹一下ethereal,ethereal 可以用來從網路上抓包，並能對包進行分析。下面介紹windows下面ethereal 的使用方法,啟動ethereal 以後，選擇選單capature->start ，就ok 了。當你不想抓的時候，按一下stop，抓的包就會顯示在面板中，並且已經分析好了。
ethereal使用－capture選項
nte***ce: 指定在哪個介面（網絡卡）上抓包。一般情況下都是單網絡卡，所以使用預設的就可以了limit each packet: 限制每個包的大小，預設情況不限制
capture packets in promiscuous mode: 是否開啟混雜模式。如果開啟，抓取所有的資料報。一般情況下只需要監聽本機收到或者發出的包，因此應該關閉這個選項。filter：過濾器。只抓取滿足過濾規則的包（可暫時略過） file：如果需要將抓到的包寫到檔案中，在這裡輸入檔名稱。use ring buffer：是否使用迴圈緩衝。預設情況下不使用，即一直抓包。注意，迴圈緩衝只有在寫檔案的時候才有效。如果使用了迴圈緩衝，還需要設定檔案的數目，檔案多大時回卷
其他的項選擇預設的就可以了
ethereal的抓包過濾器
抓包過濾器用來抓取感興趣的包，用在抓包過程中。抓包過濾器使用的是libcap 過濾器語言，在tcpdump 的手冊中有詳細的解釋，基本結構是： [not] primitive [and|or [not] primitive ...]
個人觀點，如果你想抓取某些特定的資料報時，可以有以下兩種方法，你可以任選一種，個人比較偏好第二種方式：
1、在抓包的時候，就先定義好抓包過濾器，這樣結果就是只抓到你設定好的那些型別的資料報；
2、先不管三七二十一，把本機收到或者發出的包一股腦的抓下來，然後使用下節介紹的顯示過濾器，只讓ethereal 顯示那些你想要的那些型別的資料報；
etheral的顯示過濾器（重點內容）
在抓包完成以後，顯示過濾器可以用來找到你感興趣的包，可以根據1)協議2)是否存在某個域3)域值4)域值之間的比較來查詢你感興趣的包。
舉個例子，如果你只想檢視使用tcp 協議的包，在ethereal 視窗的左下角的filter 中輸入tcp， 然後回車，ethereal 就會只顯示tcp 協議的包。
直接比較表示式可以使用下面的操作符來構造顯示過濾器自然語言類c 表示舉例eq == ip.addr==10.1.10.20 ne != ip.addr!=10.1.10.20 gt > frame.pkt_len>10 lt < frame.pkt_len<10 ge >= frame.pkt_len>=10 le <= frame.pkt_len<=10
表示式組合可以使用下面的邏輯操作符將表示式組合起來自然語言類c 表示舉例and && 邏輯與，比如ip.addr=10.1.10.20&&tcp.flag.fin or || 邏輯或，比如ip.addr=10.1.10.20||ip.addr=10.1.10.21 xor ^^ 異或，如tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == not ! 邏輯非，如 !llc
例如：我想抓取ip 位址是192.168.2.10 的主機，它所接收收或傳送的所有的http 報文，那麼合適的顯示filter （過濾器）就是：ip.addr=192.168.2.10 and http
在ethereal 使用協議外掛程式
Ethereal網路協議分析及介紹
ethereal 是乙個開放原始碼的網路分析系統，也是是目前最好的開放原始碼的網路協議分析器，支援 linux 和windows 平台。ethereal 起初由gerald combs 開發，隨後由乙個鬆散的 etheral 團隊組織進行維護開發。它目前所提供的強大的協議分析功能完全可以媲美商業的網...
ethereal 過濾器使用經驗
事實上，ethereal本身並不能抓包，它只能用來解析資料報 要抓取資料報，它需要借助於pcap。pcap在windows下面的實現稱作winpcap，現在最高的穩定版本是3.0。在linux下面，pcap一般都已經被預設安裝 常用的capture filter 常用的display filter ...
Ethereal使用入門 資料流分析工具
ethereal 可以用來從網路上抓包，並能對包進行分析。下面介紹windows 下面ethereal 的使用方法 安裝 使用 windows 程式，使用很簡單。啟動ethereal 以後，選擇選單capature start 就ok 了。當你不想抓的時候，按一下stop，抓的包就會顯示在面板中，並...