络数据包的捕获及分析软件简介(上)

　　在上一篇文章中使用tcpdump实现了基于ip的流量统计，在选择tcpdump之前我参考了许多文章论文，也在 上

搜索到了很多相关软件（大多是linux的，也有部分软件有windows版本），在此简单整理一下。

　　这些软件按其功能大体可以分为两类：一类主要提供捕获数据包的功能，这类软件中有的可以作为logger使用，

有的则不行，即其只能实时的现实当前 络状况；另一类主要提供了分析功能，比如根据用户需求提取相应信息，根

据数据来图形化等。

　　一、数据包捕获软件

　　关于数据包的捕获的实现方式有多种：基于libpcap库、使用零拷贝技术、使用PF_RING接口、直接使用系统调用

等。直接使用系统调用是效率最低、丢包率最高的。其次，根据 上的文章中所介绍来看，使用零拷贝技术效率最高、

丢包率最低。我实测过使用零拷贝的netsniff-ng和基于libpcap库的tcpdump，并没有太大差距，都没有出现丢包现象。

测试环境是千兆 卡满负荷（与上篇文章同一个机器~.~）。

　　3.iptraf – Interactive Colorful IP LAN Monitor

　　这个软件的功能也比较多，他可以实时检测，并提供多种监测机制，可以使用filter，可以作为logger。

我没有在满负荷的千兆 卡上测试，但是我看了一下这个工具的源代码，应该是直接使用了系统调用来捕捉

数据包。下面这个界面可以选择检测机制、设置filter、设置logger文件名及路径等。

　　4.argus – auditing network activity

　　这个软件也是功能强大，官 上说了很多它的使用案例，介绍也是比较详细。这个软件记录数据包信息的时候使用自己

的文件格式，他同时也支持pcap文件格式，可以将pcap转成argus格式，但是反过来不行。还有一点要注意，转换不一定都

能成功，比如使用tcpdump记录时限制了数据包的大小，此时转换就会失败。

　　argus包含argus-server和argus-client。其中argus用来抓包（也支持filter）。这个软件还有一个特点就是，

argus-server抓包时可以打开一个端口，然后client通过这个端口连接过来然后读取server抓的包的信息。

　　argus-clinet包含很多解析分析工具（十多种）。可以读取argus（压缩的也可以读）、pcap等格式的文件然后再次过

滤文件中一些不需要的内容再写到文件中（可以存储为文本格式或arugs格式）。

　　5.iftop – display bandwidth usage on an interface by host　　　　(没有官 )

　　这个软件不提供logger功能，但是能以比较简洁的形式将当前 络状态展示出来（与其他ip的数据交换）。

　　具体使用请man~ 使用截图如下:

　　以上工具都是我使用过的，还有很多没有使用过的工具，也在以后的文章中整理，关于第二类分析工具相关软件在下一篇文章中整理。

相关资源：jFB精良分班软件绿色版-教育工具类资源-CSDN文库