Windump 封包截取工具

　　此篇介紹的是Windump這個工具，Windump是Windows環境下的網路協議分析軟體 , 簡單來說就是抓封包的工具，在Unix下叫做Tcpdump。

 　他可以捕捉兩點之間所有的封包，在這種監視狀態下中間的任何資料都沒有任何秘密可言，網路上大多數的黑客都是使用擷取封包的方式來偷取資料。

　　當然爾下載Windump及Tcpdump都是免費的，在使用前須要先安裝WinPcap，WinPcap是截取封包必要的一個元件，可相容許多封包擷取軟體的元件。




Windump的參數為

windump [-aAdDeflLnNOpqRStuUvxX] [ -B size ] [-c count] [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -i interface ] [ -M secret ] [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -Z user ] [ expression ]

必須使用命令提示字元來開啟Windump，記得先將目錄轉換到Windump所在地才能正確的執行指令!!

Windump -D   可顯示目前所有的網路設備
1. VMware Virtual Ethernet
2. Check Point Virtual Network .....

若只執行"Windump"的話會預設監聽第一個網路設備

Windump -i  指定監聽網路設備

Windump -i 8   代表這裡我要監聽的網路設備編號為8 , windump回應開始listening 第八個網路設備
可以看到陸陸續續有很多的封包資料出現 , 在這裡還未對windump開始篩選要的內容 , 還可以針對IP , 協定 , port , mac去做篩選。

以下寫出來的封包包含廣播封包 , 所以非常多

一般我們下指令的常用用法為   
 [proto] [dir] [type] [id]

windump -i 8 tcp port 80

[proto]  可以是ether, fddi, tr, ip, ip6, arp, rarp, decnet, tcp , udp中任一個或其他組合，如果不指定，所有和後面的type一致的都考慮在內。

[dir] packet傳輸的方向，可以是src, dst中的任一個或它們的表達式組合。不指定的話，相當於src or dst 。

[type] 指定後面的id是網路IP或是其他類型，可以是host, net ,port中任一個，如果不指定，默認為host。

[id] 就是希望監聽的網絡或主機或port。


windump -i 8 ether src host 8E:98:32:F8:2B:7D

監聽所有從本機網卡向外發出的封包 , 其中8E:98:32:F8:2B:7D是本機網卡的mac

更多更複雜的邏輯指令可將指令做更詳細的組合 , 可使用的關鍵字有and , or , not 這類的運算表示

還有gateway, broadcast , multicast , mask , protochain , proto , less , greater等等的組合



官方網站:http://www.winpcap.org/windump/
參考來源:http://netexplorer.blog.hexun.com.tw/50188023_d.html