信息来源：
www.blogdriver.com
工具名称：Windump
运行平台：Windows/Unix
软件类别：免费软件
网址：
http://winpcap.polito.it/install/default.htm
Windump是Windows环境下一款经典的网络协议分析软件，其Unix版本名称为Tcpdump。它可以捕捉网络上两台电脑之间所有的数据包，供网络管理员/入侵分析员做进一步流量分析和入侵检测。在这种监视状态下，任何两台电脑之间都没有秘密可言，（当然加密的数据不在讨论范畴之内，而且，对数据包分析的结果依赖于你的TCP/IP知识和经验）。在W.Richard Stevens的大作《TCP/IP详解》卷一中，通篇采用Tcpdump捕捉的数据包来向读者讲解TCP/IP；而当年美国最出色的电脑安全专家在追捕世界头号黑客米特尼克时，也使用了Tcpdump，Tcpdump/Windump的价值由此可见一斑。
该软件是免费软件，命令行下面使用，需要WinPcap驱动，该驱动可以在
http://winpcap.polito.it/install/default.htm下载。
打开一个命令提示符，运行windump后出现：
D:\tools>windump
windump: listening on \Device\NPF_{3B4C19BE-6A7E-4A20-9518-F7CA659886F3}
这表示windump正在监听我的网卡，网卡的设备名称是：
\Device\NPF_{3B4C19BE-6A7E-4A20-9518-F7CA659886F3}
如果你看见屏幕上显示出这个信息，说明你的winpcap驱动已经正常安装，否则请下载并安装正确的驱动。Windump的参数很多，运行windump -h可以看到：
Usage: windump [-aAdDeflnNOpqRStuvxX] [-B size] [-c count] [ -C file_size ] [ -F file ] [ -i interface ] [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ] [ -E algo:secret ] [ expression ]
下面结合TCP的三步握手来介绍Windump的使用:
D:\tools>windump -n
windump: listening on \Device\NPF_{3B4C19BE-6A7E-4A20-9518-F7CA659886F3}
09:32:30.977290 IP 192.168.0.226.3295 > 192.168.0.10.80: S 912144276:912144276(0) win 64240 <mss 1460,nop,nop,sackOK> (DF)//第一行
09:32:30.978165 IP 192.168.0.10.80 > 192.168.0.226.3295: S 2733950406:2733950406(0) ack 912144277 win 8760 <nop,nop,sackOK,mss 1460> (DF)//第二行
09:32:30.978191 IP 192.168.0.226.3295 > 192.168.0.10.80: . ack 1 win 64240 (DF)//第三行
先看第一行。其中09:32:30.977290表示时间；192.168.0.226为源IP地址，端口3295，其实就是我自己的那台电脑；192.168.0.10是目的地址，端口80，我们可以判断这是连接在远程主机的WEB服务上面；S 912144276:912144276(0)表示我的电脑主动发起了一个SYN请求，这是第一步握手，912144276是请求端的初始序列号；win 64240 表示发端通告的窗口大小；mss 1460表示由发端指明的最大报文段长度。这一行所表示的含义是IP地址为192.168.0.226的电脑向IP地址为61.133.136.34的电脑发起一个TCP的连接请求。
接下来我们看第二行，时间不说了；源IP地址为192.168.0.10，而目的IP地址变为192.168.0.226；后面是S 2733950406:2733950406(0) ack 912144277，这是第二步握手，2733950406是服务器端所给的初始序列号，ack 912144277是确认序号，是对第一行中客户端发起请求的初始序列号加1。该行表示服务器端接受客户端发起的TCP连接请求，并发出自己的初始序列号。
再看第三行，这是三步握手的最后一步，客户端发送ack 1，表示三步握手已经正常结束，下面就可以传送数据了。
在这个例子里面，我们使用了-n的参数，表示源地址和目的地址不采用主机名的形式显示而采用IP地址的形式。
只有深入了解TCP/IP才有可能成为一个合格的网络管理员。Windump的参数很多，功能也非常强大，以上所介绍的仅仅是它冰山的一角，希望有更多的网络管理员能关注协议分析，只有这样，我们才能在日常的网络管理和应急时期的入侵分析中立于不败之地。
编者：本站提供下载：
http://soft.hackbase.com/42/20050207/6125.htm
