Ethereal简介
Ethereal是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。Ethereal起初由Gerald Combs开发，随后由一个松散的etheral团队组织进行维护开发。它目前所提供的强大的协议分析功能完全可以媲美商业的网络分析系统，自从1998年发布最早的0.2版本至今，大量的志愿者为ethereal添加新的协议解析器，如今ethereal已经支持五百多种协议解析。很难想象如此多的人开发的代码可以很好的融入系统中；并且在系统中加入一个新的协议解析器很简单，一个不了解系统的结构的新手也可以根据留出的接口进行自己的协议开发。这都归功于ehereal良好的设计结构。事实上由于网络上各种协议种类繁多，各种新的协议层出不穷。一个好的协议分析器必需有很好的可扩展性和结构。这样才能适应网络发展的需要不断加入新的协议解析器。 Ethereal的捕包平台
网络分析系统首先依赖于一套捕捉网络数据包的函数库。这套函数库工作在在网络分析系统模块的最底层。作用是从网卡取得数据包或者根据过滤规则取出数据包的子集，再转交给上层分析模块。从协议上说，这套函数库将一个数据包从链路层接收，至少将其还原至传输层以上，以供上层分析。
在Linux系统中， 1992年Lawrence Berkeley Lab的Steven McCanne和Van Jacobson提出了包过滤器的一种的实现，BPF（BSD Packet Filter）。Libpcap是一个基于BPF的开放源码的捕包函数库。现有的大部分Linux捕包系统都是基于这套函数库或者是在它基础上做一些针对性的改进
在window系统中，意大利人Fulvio Risso和Loris Degioanni提出并实现了Winpcap函数库，作者称之为NPF。由于NPF的主要思想就是来源于BPF，它的设计目标就是为windows
系统提供一个功能强大的开发式数据包捕获平台，希望在Linux系统中的网络分析工具经过简单编译以后也可以移植到windows中，因此这两种捕包架构是非常现实的。就实现来说提供的函数调用接口也是一致的。
ethereal网络分析系统也需要一个底层的抓包平台，在Linux中是采用Libpcap函数库抓包，在windows系统中采用winpcap函数库抓包
层次化的数据包协议分析方法
取得捕包函数捕回的数据包后就需要进行协议分析和协议还原工作了。由于OSI的7层协议模型，协议数据是从上到下封装后发送的。对于协议分析需要从下至上进行。首先对网络层的协议识别后进行组包还原然后脱去网络层协议头。将里面的数据交给传输层分析，这样一直进行下去直到应用层
Ip
| \
Tcp udp
| \
HTTP TFTP
由于网络协议种类很多，就ethereal所识别的500多种协议来说，为了使协议和协议间层次关系明显。从而对数据流里的各个层次的协议能够逐层处理。Ethereal系统采用了协议树的方式。上图就是一个简单的协议树。如果协议A的所有数据都是封装在协议B里的，那么这个协议A就是协议B是另外一个协议的儿子节点。我们将最低层的无结构数据流作为根接点。那么具有相同父节点的协议成为兄弟节点。那么这些拥有同样父协议兄弟节点协议如何互相区分了？ethereal系统采用协议的特征字来识别。每个协议会注册自己的特征字。这些特征字给自己的子节点协议提供可以互相区分开来的标识。比如tcp协议的port字段注册后。 Tcp.port=21就可以认为是ftp协议，特征字可以是协议规范定义的任何一个字段。比如ip协议就可以定义proto字段为一个特征字。
在ethereal中注册一个协议解析器首先要指出它的父协议是什么。另外还要指出自己区别于父节点下的兄弟接点协议的特征。比如ftp协议。在ethereal中他的父接点是tcp协议，它的特征就是tcp协议的port字段为21。
这样当一个端口为21的tcp数据流来到时。首先由tcp协议注册的解析模块处理，处理完之后通过查找协议树找到自己协议下面的子协议，判断应该由那个子协议来执行，找到正确的子协议后，就转交给ftp注册的解析模块处理。这样由根节点开始一层层解析下去。
由于采用了协议树加特征字的设计，这个系统在协议解析上由了很强的扩展性，增加一个协议解析器只需要将解析函数挂到协议树的相应节点上即可。
|
|
| 原文地址 185.html |
|
〔转〕编译Ethereal On Windows - [技术前沿]
原始出处：
http://bigwhite.blogbus.com/logs/4167864.html作者：
Tony Bai
最近在研究项目下一期中新增的信令跟踪功能，在这个开源盛行的时代，开源工具当然是首选。我们发现了Ethereal，一款强大的网络分析工具包。我们不仅仅要使用Ethereal，而是在Ethereal上做二次开发，增加一个新dissector或者一个plugin，用来分析我们自己的应用层协议。
之所以选择Ethereal还有一个很重要的原因就是它已经支持300多个协议包了，这说明Ethereal的框架已经很成熟了，在其上面做二次开发具备可行性。我们最终要形成的成果物可能要运行在Solaris上，但是家里的服务器环境都是没有显示终端的，也看不到运行画面，所以我决定现在Windows上作开发，然后移植到Solaris上。Ethereal底层的图形接口采用的是GTK，GTK是一种可在跨平台的图形界面开发包，它屏蔽了不同OS的底层细节，便于我们的程序在各个OS平台上移植。由于GTK的使用，我才觉得我的开发方案是正确的:)。另外开发一个新的dissector涉及到的代码都应该是可移植的，所需的接口Ethereal都已经提供了，调用即可。所以我在想在Windows上开发成功后，拿到Solaris下重新编译后是应该能正确运行的，有些过于理想了^_^。
目前第一步工作就是先在Windows上编译Ethereal包，通过浏览Ethereal的Developer's Guide和网上的一些资料得知，编译Ethereal并非易事呀，因为Ethereal依赖很多开源包以及一些其他工具(如Cygwin等)。虽然Ethereal提供的自动化构建脚本会自动下载依赖包，但是大多时候都会下载失败，我在公司的网络和家里的网络都尝试过，无一成功，无奈之中只好手工下载。依赖的开源工具包在Readme.win32中有列出。
(一)首先我们需要一个编译器，一般在Windows上编译Ethereal用的都是VC6.0的编译器，切记在装完VC6.0后运行一下vcvars32.bat，设置一下环境变量，一般VC的安装向导程序在最后一步都会提示你是否设置环境变量的，你同意即可。
(二)其次，编译Ethereal需要Cygwin这个工具，Cygwin呢，我在机器上早已经安装过了，我一直用它在Windows下写一些Unix下的小测试程序的。不过我当时安装的时候没有把所有的包都选择上，导致我还得重新运行Cygwin的Setup.exe程序。那么如何检查你的Cygwin中缺少哪些软件包呢，可以按照如下步骤来检查：
1. 将cygwin的bin目录作为环境变量加入到系统环境变量path中；
2. 在Windows命令提示符窗口下进入到Ethereal的源码包目录下，找到config.nmake文件，修改ETHEREAL_LIBS=C:\ethereal-win32-libs
CYGWIN_PATH=c:\cygwin\bin；
3. 在Windows命令提示符窗口下运行：nmake -f Makefile.nmake verify_tools
如果有工具包没有装全，我们会从该命令的执行结果中看到的，比如我在运行该命令之后的输出结果为：
Microsoft (R) Program Maintenance Utility Version 6.00.8168.0
Copyright (C) Microsoft Corp 1988-1998. All rights reserved.
Checking for required applications:
cl: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/cl
link: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/link
nmake: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/nmake
bash: /usr/bin/bash
bison: /usr/bin/bison
ERROR: Can't find flex. This is probably an optional cygwin package not yet inst
alled. Try to install it using cygwin's setup.exe!
NMAKE : fatal error U1077: 'bash' : return code '0x1'
Stop.
可以看出flex这个工具包没有安装，还好找到一个很好的cygwin各种包的下载站点xmission，速度很快，缺少什么就上去下载，然后到cygwin的根目录'/'下，
bzip2 -d xx.tar.bz2
tar xvf xx.tar即可。
反复执行上面步骤直到运行verify_tools顺利通过为止。
下面是verify_tools运行通过的输出结果：
D:\Ethereal\ethereal-0.99.0>nmake -f Makefile.nmake verify_tools
Microsoft (R) Program Maintenance Utility Version 6.00.8168.0
Copyright (C) Microsoft Corp 1988-1998. All rights reserved.
Checking for required applications:
cl: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/cl
link: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/link
nmake: /cygdrive/d/Program Files/Microsoft Visual Studio/VC98/bin/nmake
bash: /usr/bin/bash
bison: /usr/bin/bison
flex: /usr/bin/flex
env: /usr/bin/env
grep: /usr/bin/grep
/usr/bin/find: /usr/bin/find
perl: /usr/bin/perl
env: /usr/bin/env
python: /usr/bin/python
sed: /usr/bin/sed
unzip: /usr/bin/unzip
wget: /usr/bin/wget
这里有一个小插曲，verify_tools命令使用的应该是cygwin中的bash shell，但是我起初运行verify_tools时始终提示我'which'包找不到，我检查了cygwin，明明'which'包已经安装了，我疑惑的查看了系统环境变量path，终于发现了蛛丝马迹，原来我以前安装过'UnxUtils'软件包，运行verify_tools时用的是该包里的bash shell。把UnxUtil从path中删除，问题解决。
(三)我们要找全编译Ethereal所依赖的包，Readme.win32中也列出了依赖包的列表，以及这些包解压后应该释放到的位置：
必选的：
Package Location
------- ----------------
glib-2.4.7.zip C:\ethereal-win32-libs\glib
glib-dev-2.4.7.zip C:\ethereal-win32-libs\glib
gtk+-1.3.0-20030717.zip C:\ethereal-win32-libs\gtk+
gtk+-dev-1.3.0-20030115.zip C:\ethereal-win32-libs\gtk+
libiconv-1.9.1.bin.woe32.zip C:\ethereal-win32-libs\libiconv-1.9.1.bin.woe32
gettext-runtime-0.13.1.zip C:\ethereal-win32-libs\gettext-runtime-0.13.1
net-snmp-5.2.1.2.zip C:\ethereal-win32-libs
wpdpack_3_0.zip C:\ethereal-win32-libs
可选的：
Package Location
------- ----------------
adns-1.0-win32-04.zip C:\ethereal-win32-libs
pcre-4.4.zip C:\ethereal-win32-libs
zlib123-dll.zip C:\ethereal-win32-libs\zlib123-dll
尽量按照Package的版本下载，否则除了问题很难搞定，这里面除了net-snmp我没有找到5.2.1.2版本，我用了5.2.3替代之外，其余的都可以找到，这里有个站点http://mirror.sg.depaul.edu/pub/security/ethereal/win32/development/，几乎可以下载到上面所有的软件。net-snmp我下载的是源码包，需要先编译一下，记住编译Release版本即可。
(四)最后一步执行：nmake -f Makefile.nmake all
编译过程中的几个问题：
1. 编译过程中经常会中断，很多是因为'can't open the file 'unistd.h''这个头文件，如果出现这样的问题，可以修改出错源文件的代码，将#include <unistd.h>修改为
#ifdef HAVE_UNISTD_H
#include<unistd.h>
#endif
即可。
2. 另外在编译过程中还发现需要lua5.1这个包。
3. 如果你下载的是gtk 1.x的包，你就是用gtk+这个目录，并且需要在config.nmake中注释掉GTK2_DIR=$(ETHEREAL_LIBS)\gtk2这项，我在编译中如果不注释掉该项，始终编译不过去。
编译过程很耗时，也许是我的本本CPU主频低的缘故，这可是考验耐性的活儿呀^_^。