网络数据包的捕获及分析软件简介(下)
自由转载 ^_^ 同时请注明原文出处：http://www.cnblogs.com/wangvsa/archive/2012/07/19/2600013.html
上一篇简单介绍了几个捕获数据包的工具，这篇整理一下数据包及日志分析工具。
二、数据包及日志分析工具
很多数据包捕获工具记录log采用pcap格式，因此也就有很多工具分析pcap文件。下面简单
介绍几个。
1.capinfos - Prints information about capture files
这个工具比较简洁使用，它能分析所指定的pcap文件（一次可以多个），然后输出很多信息
（可以自己设置参数决定输出想要的信息）。capinfos -h 选项可以方便的设置参数。
如下不加任何参数将输出所有能够提供的信息：
capinfos out.pcap // 这个out.pcap就是用logger工具记录的pcap文件
1 wangchen@wangchen-Aspire-4741:~/shell_ex$ capinfos out.pcap
2 File name: out.pcap
3 File type: Wireshark/tcpdump/... - libpcap
4 File encapsulation: Ethernet
5 Packet size limit: file hdr: 84 bytes
6 Packet size limit: inferred: 84 bytes
7 Number of packets: 5279647
8 File size: 413462964 bytes
9 Data size: 31 111541296 bytes
10 Capture duration: 301 seconds
11 Start time: Sat Jul 14 10:21:54 2012
12 End time: Sat Jul 14 10:26:55 2012
13 Data byte rate: 103320871.16 bytes/sec
14 Data bit rate: 826566969.24 bits/sec
15 Average packet size: 5892.73 bytes
16 Average packet rate: 17533.61 packets/sec
17 SHA1: b8248a65614cbeb0cfb7d2ecca697bcdbfd9b9ee
18 RIPEMD160: ac5a2d103d873abfaa3fbbd50ae8abe123cb4755
19 MD5: 69d559f9a6bc9503d5f0d3df2d4382c8
20 Strict time order: False
21 wangchen@wangchen-Aspire-4741:~/shell_ex$
2. wireshark - Interactively dump and analyze network traffic
这个是有图形界面的，功能强大，简单易用，界面如下：
3. tcptrace - a TCP connection analysis tool
这个软件有两个主要功能，一个是分析pcap文件，找出所有tcp协议包，对所有这些包进行统计得到基于不同ip连接的
信息，然后输出到一个文本文件中。 其二是，对pcap文件信息图形化处理。
以下是使用第一个功能，-l选项说明详细输出。
tcptrace -l -n out.pcap > out.log
下面是out.log中的一个连接信息(还是很详细的):
1 TCP connection 1:
2 host a: 10.10.10.48:38906
3 host b: 10.10.10.49:16797
4 complete conn: no (SYNs: 0) (FINs: 0)
5 first packet: Sat Jul 14 10:28:05.624726 2012
6 last packet: Sat Jul 14 10:29:05.520813 2012
7 elapsed time: 0:00:59.896087
8 total packets: 443268
9 filename: out_1.pcap
10 a->b: b->a:
11 total packets: 396623 total packets: 46645
12 ack pkts sent: 396623 ack pkts sent: 46645
13 pure acks sent: 394695 pure acks sent: 826
14 sack pkts sent: 0 sack pkts sent: 0
15 dsack pkts sent: 0 dsack pkts sent: 0
16 max sack blks/ack: 0 max sack blks/ack: 0
17 unique bytes sent: 2306368 unique bytes sent: 2881050304
18 actual data pkts: 1928 actual data pkts: 45819
19 actual data bytes: 2306368 actual data bytes: 2881050304
20 rexmt data pkts: 0 rexmt data pkts: 0
21 rexmt data bytes: 0 rexmt data bytes: 0
22 zwnd probe pkts: 0 zwnd probe pkts: 0
23 zwnd probe bytes: 0 zwnd probe bytes: 0
24 outoforder pkts: 0 outoforder pkts: 0
25 pushed data pkts: 419 pushed data pkts: 30106
26 SYN/FIN pkts sent: 0/0 SYN/FIN pkts sent: 0/0
27 urgent data pkts: 0 pkts urgent data pkts: 0 pkts
28 urgent data bytes: 0 bytes urgent data bytes: 0 bytes
29 mss requested: 0 bytes mss requested: 0 bytes
30 max segm size: 1460 bytes max segm size: 64240 bytes
31 min segm size: 4 bytes min segm size: 32 bytes
32 avg segm size: 1196 bytes avg segm size: 62878 bytes
33 max win adv: 382 bytes max win adv: 382 bytes
34 min win adv: 354 bytes min win adv: 365 bytes
35 zero win adv: 0 times zero win adv: 0 times
36 avg win adv: 381 bytes avg win adv: 381 bytes
37 initial window: 0 bytes initial window: 0 bytes
38 initial window: 0 pkts initial window: 0 pkts
39 ttl stream length: NA ttl stream length: NA
40 missed data: NA missed data: NA
41 truncated data: 2248606 bytes truncated data: 2879675734 bytes
42 truncated packets: 1925 pkts truncated packets: 45819 pkts
43 data xmit time: 59.693 secs data xmit time: 59.895 secs
44 idletime max: 217.1 ms idletime max: 215.4 ms
45 throughput: 38506 Bps throughput: 48100810 Bps
46 ================================
4.tcpstat — report network interface statistics
这个工具即可以实时检测网络，也可以读取pcap文件然后产生想要的数据。而且还可以配合gnuplot使用
进行可视化（没有需求也就没试过~.~）。在官网上有如何可视化，点这。
可视化效果如下（官网的图）：
还有很多是我没有使用过的，在tcpdump的网站里就介绍了很多相关软件，大家可以看一下，点这。
