NetAnalyzer笔记之十四 NetAnalyzer 6.0 的使用方法 -- 3.协议分析与统计

数据分析

完成了数据的抓取，那么接下来就是NetAnalyzer的第二个重点部分了，协议分析作为整个软件的核心之一，在最新的NetAnalyzer中已经得到了巨大的提升。NetAnalyzer中协议分析分为单数据包分析，和联合分析两种分析方式，对于联合分析会根据不同的协议特性进行形成不同的分析方案，目前支持传输协议（TCP/UDP）协议分析， HTTP协议分析。在数据统计部分部分还增加了针对ARP协议的图形化分析。对于协议分析，需要了解相关的网络知识或是有相关专业背景支持。

单数据包分析，在获取到数据包后，软件工作界面数据包列表框中会显示所获取的所用数据包，并且对这次数据做了一些简单的分析，我们可以凭借这些数据简单判断所对应的的数据包类型。

数据包列表

当我们选中一行，即选中一个数据包，我们可以看到对该数据包详细的数据分析信息，并一树状结构树呈现出来，并在右侧显示该数据包原始信息。当我们选中协议树中一个字段时，右侧的数据就会定位到当前字端所分析数据的位置。

数据分析

然后通过对应的协议格式进行匹配与分析，如这部分的IP协议。

IPv4协议格式

需要注意的是，NetAnalyzer目前对于选中的字段只能精确到字节层次，对于一些协议，其中一个字节可能包含了多个字段，或是跨字节的字段，则会选择全部的字节数据，比如IPv6协议。

IPv6协议格式

其中的版本字段只占用了4bit（1字节为8bit），通信类型占了8bit 也就是1字节，但是因为其中前面部分使用了版本字段所在字节后面的4bit，所以改字段为一个典型的跨字节字段，同样流标签字段使用了20bit，占用第二个字节的4bit加上后面自身的2个字节(16bit)。

解析后的IPv6数据

对于类型的字段因为NetAnalyzer使用十六进制显示数据，并不能清晰表达bit层次的信息所以当选定字段后默认选中改字段所在的字节，如点击版本选中方式如下，

IPv6版本信息

选中通信类型和流标签则呈现方式如下。

通信类型和流标签共用数据

数据分析标签

虽然NetAnalyzer尽可能多分析每个数据包所包含的信息，但是依旧存在很多数据需要我们手动去解析。所以软件增加了数据标签。

数据分析

在数据标签页点击显示按钮就可以打开数据转换窗口，当然也可以在常规转换中点击任意功能可以打开转换窗口

转换窗口管理

关闭按钮为关闭转换窗口，清空则是清空当前窗口内的数据。

点击清空按钮，则清空转换信息。

常规转换工具

NetAnalyzer中提供了一部分简单的转换功能，这些功能只有在载荷数据被选中的情况的才可以启用，

如点击二进制按钮，则对所选的数据转换为对应的二进制字符串。如下图所示。

常规数据转换窗口

除了一些简单的转换功能，还集成了MangoScript扩展方式和插件扩展方式(无可用插件的

时候不显示)的转换。

扩展MangoScript的解析

如下面通过MangoScript针对某即时通信软件的数据分析。

针对于MangoScript和插件两种方式的转换，将会在在《NetAnalyzer使用说明书二扩展与开发》中详细说明，此处不再赘述。

定位转换功能需要配合常规转换进行使用，有时候我们确定某个字节会在一个确定的位置出现，比如IP地址字段，我们选中该位置，位置字段就会出现一串代码 (10,1) [26]-4

（x,y）[offset] – length

x：十六进制编辑器水平方向的偏移量

y : 十六进制编辑器垂直方向的偏移量

offset ：字节偏移量，offset = y * 16 + x

length : 当前选择的数据长度

数据转换

所以代码 (10,1) [26]-4 确定了当前IP地址的位置，此时点击 常规转换 -> IPv4地址则会在模式中记录当前的转换模式，然后点击定位转换，就会在当前数据包列表中针对每个数据包这个位置执行定位操作，这对于寻找所需要的数据非常重要。

选择了IPv4转换

执行定位转换

对于MangoScript和插件扩展依然支持定位转换。

区块复制，主要是对一些已经选中的字节进行复制转为代码，字节数组，以及保存的功能，以及数据做手动分析，脚本分析以及自定义转换等，后续将会说明，此处不再详细介绍。

数据块操作

字节定位，与定位转换类似，但是字节定位主要是用来在数据包列表中查找相同位置出现相同字节序列的数据包。算作一个查找功能。

字节定位

分析标签

分析标签下个功能依托于数据包列表，分别有载荷数据提取，数据包标记，编码转换，数据查找，统计等相关功能，是联合分析的主要功能，下面将会着重对一下功能进行说明。

数据分析标签

TCP/UDP协议分析 前面介绍的都是基于单包的数据分析，而在协议分析中，我们大部分分析的数据都是依托于TCP/UDP的长连接数据，这部分数据的特点就是有多个数据包通过tcp或udp相关协议完成数据重组后才可以使用（基于udp的连接数据可能不是很严格）。

NetAnalyzer 除了提供基于单包的数据分析，更提供了基于连接数据的分析，而分析出来的数据不仅仅是在窗口上呈现一堆乱码，更可以通过DocBar将获取的数据提取出来进行使用。

在开始标签最后一部分就是基于长连接的分析。点击TCP/UDP 按钮

基于TCP/UDP载荷数据查看

此时NetAnalyzer便会切换到载荷数据模式(该过程可以通过配置，使用独立窗口打开)。在该模式下会打开专有的载荷数据菜单，数据区域也会变为对于载荷数据的分析，这里先介绍一个NetAnalyzer中的DocBar工具，如下图

DocBar

在文本模式下，分析载荷数据会显示该工具条，该工具条会提供针对当前数据块的各种操作，当然在不动情况下，显示的工具和数量，都有所不同，下面是对当前各个功能的说明。

l 对当前数据块进行折叠

l 选中当前的分析数据

l 保存当前原始数据

l 查看原始数据(bytes数据)

l MangScript解析数据

l 手动测试数据

对于其他情况下的工具在这里不会一一介绍，但是碰到的时候会有说明，并且随着后续功能点的增加，DocBar可能会有更多的功能添加进来。

tcp/udp 的分析分为 文本模式和 原始模式 ，文本模式主要是用于分析载荷数据为文本的数据，我们可以通过下面两种方式更改文本编码方式，分析数据。

文本模式下，呈现方式如下：

查看载荷数据

原始模式分析如下，可用通过TCP/UDP的下拉菜单命令字节数据切换为原始数据

字节查询方式

字节方式呈现

对于在该功能下针对TCP的所有数据都已经进行过TCP重组，所以最终分析完成的数据并不是按照数据包方式做简单呈现就可以的，都会做数据的筛查与整理。如果需要单包分析的使用者需要注意一下。

HTTP数据分析 http作为最有网络代表意义的协议，NetAnalyzer提供了更加完善的分析，http基于tcp协议，所以数据还原等都建立在tcp数据还原的基础之上。通过http分析，我们可以还原很多有意义的数据，如获取到Http所传输的的html、js、css数据文件，还可以获取到基于http协议分析得到的图片，文件等信息，如下图分别为还原后的图片和zip压缩包。

http方式分析出的图片

http方式分析出的文件

对于常规的字符串或图片可以直接在NetAnalyzer呈现，但是对于其他类型的文件，如视频、音乐、以及上面提到的zip压缩包文件，在在NetAnalyzer会简单显示为二进制数据，该数据如果过长，则会截断显示，但是在后面会加入【全部数据】下钻选项，当点击该数据后则会打开原始数据对话框，并且会完整显示当前的数据，如下图所示。