1.Iris介绍
一款功能很好的嗅探器。嗅探器的英文翻译是Sniff，它也是一个装在电脑上的监听器，监控根据计算机的数据信息。
2.Iris的安裝部位
做为一个嗅探器，它只有捕获根据所属设备的数据包，因而假如使得它能捕获尽量多的信息，安裝前应当对所处互联网的构造有一定的掌握。例如，在环状网络拓扑结构的互联网中，安裝之中任一台机都能够捕获其他设备的信息包（自然并不是所有），而对应用网络交换机接入的互换互联网，极有可能就没法捕获其他两部机器间通信的数据信息，而只有捕获与远程服务器相关的信息；又例如，假如想检验一个服务器防火墙的筛选实际效果，可以在服务器防火墙的里外安裝Iris，捕获信息，开展较为。
3.配备Iris
Capture（捕获）
Run continuously：当储存数据信息缓冲区域不足时，Iris将遮盖以前的数据包。
Stop capture after filling buffer：当储存数据信息缓冲区域满了时，Iris将暂停开展数据包截获，并终止记录。
Load this filter at startup：捕获作用运作时导进过虑文档并运用，那样可以开展命令方法的调节。
Scroll packets list to ensure last packet visible：一般要选定，便是将新捕获的数据包附在之前捕获結果的后边并往前翻转。
Use Address Book：应用Address Book来储存mac详细地址，并记牢mac详细地址和互联网IP地址。而Ip也会被用netbios名称表明。
Decode(编解码)
Use DNS：应用解析域名。
Edit DNS file：应用这一选择项可以编写当地分析文档(host)。
HTTP proxy：应用http使用服务器代理，编写端口。默认设置为80端口号。
Decode UDP Datagrams：编解码UDP协议书。
Scroll sessions list to ensure last session visible：使新截获的数据包表明在捕获对话框的最上层。
Use Address Book：同Capture中的Use Address Book。
Adapters（网络配置器）：挑选从哪个网络配置器（网口）中截获数据信息。
Guard（报警和日志选择项）
Enable alarm sound：当发觉符合标准的数据包传出提醒响声。
Play this wave file：挑选警报声音途径，响声文件格式是.wav。
Log to file：运行日志文档。假如选定后，当合乎标准的数据包被截获后将被记载在日志文档中。
Ignore all LAN connections：Iris可以根据当地的ip详细地址和子网掩码鉴别详细地址是不是当地的详细地址。当这一选择项被不选定后，Iris会接纳全部的数据包（包含本机收传出的）。假如选定，将不接纳网络连接的数据包。
Ignore connections on these>>:过虑特定端口号(port)，在目录中可以挑选。
Use software filter:手机软件过虑计划方案起效。当沒有被选定后，手机软件可能接纳全部的数据信息。此外仅有当Apply filter to incoming packets 被选定后Use software filter才可以应用。
Miscellaneous（杂类作用）
选择项/作用叙述
Packet buffer：设定用于储存捕获数据包最好几个数（初始值是2000个）。
Stop when free disk space drops：当储存空间小于特定值时，Iris可能终止捕获和纪录数据信息。
Enable CPU overload protection 当Cpu的占用量持续4秒左右做到100%时，Iris会停止运行。直到恢复过来后才逐渐记录。
Start automatically with Windows：点一下这儿可以把Iris添加到运行组里。
Check update when program start：是不是运作时查验本系统的升级状况。
4.每日任务
Schedule：配备Iris特定的時间捕获数据包，蓝色代表捕获，白色代表终止捕获。
5.创建过虑标准
a.硬件配置过滤装置(HardWare Filter)：
Promiscuous (噪声方式)：促使网口处在杂收情况，这个是默认设置情况。
Directed (立即联接)：只接纳发送给本网络配置器的数据包，而其余的则不予以接纳。
Multicast (多总体目标)：捕获多一点传输的数据包。
All multicast （全部多总体目标）：捕获全部的多总体目标数据包。
Broadcast (广播节目) 只捕获广播桢，那样的真都具备同样的特性，目地MAC地址全是FF:FF:FF:FF:FF:FF。
b.数据包捕获种类配对(Layer 2，3)：这一过虑设定坐落于DoD实体模型（四层）中的第二、三层——链路层和运送层。
运用这一过虑设定，可以过虑不一样协议类型的数据信息。
Include：表明包含此类协议类型的信息将被捕获；
Exclude：表明包含此类协议类型的信息将被忽视；
还可以自定协议类型，方式是配备proto.dat文档。Layer 2的协议书编写[PROTOCOL]，而layer 3则编辑对应的[IP PROTOCOL]。大家用文本文档开启proto.dat，在这儿许多的协议书可以被更改和加上。
c.标识符配对(Words Filter)
添加你要过虑的主要标识符到目录。列表下边有All和ANY2个选择项（有些是AND和OR)，在其中ANY就是指数据包最少要配对目录中的一个重要标识符，而ALL选择项就是指全部目录中的数据信息都需要配对才会表明出去。
Apply filter to packets就是指表明含有标题的数据帧，而其余的数据帧则会被遗弃。
Mark sessions containing words就是指全部的数据帧都是会被截获，只不过是含有特定标识符的数据帧会再加上标示。
d.MAC地址配对（MAC Address Filter）
***个对话框是IRIS但是鉴别出的硬件配置详细地址。你能点一下这种详细地址把它们加到下面的Address 1或Address 2，假如不那样做还可以自身键入详细地址到对话框二中。
e.IP地址配对层（IP address）
和MAC地址匹配（MAC Address Filter）选择项相相近，这个是IP地址配对层。
f.端口号配对层（Ports）
CP和UDP选用16 bit的端口来鉴别应用软件的。FTP服务器的TCP端口号是2 1，Telnet网络服务器的TCP端口号是23，TFTP(简易文件传送协议书)网络服务器的UDP端口是69。一切TCP/IP完成所供应的服务项目都用著名的1～1023中间的端口.例如大家想截获telnet中的账户密码这儿大家就需要挑选23 Port。
g.高級选择项配备(Advanced)
数据信息尺寸配对选择项（Size）：可以挑选特定接受的数据包的尺寸。
十六进制数据匹配（Data）：特定数据包中所包括数据信息的十六进制字符相符合。
6.截获数据包
在数据包编写区域内，表明着完全的数据包。对话框分两部份构成，左侧的数据资料是以十六进制数据表明，右侧则相应着ASCII。点一下十六进制码的其他一部分，右侧都是会表明出相对应的ASCII编码，有利于剖析。
十六进制码是容许开展编写再造的，可以重新写过早已存有的的数据包。新的数据包可以被推送，或是保留到硬盘中。
7.数据包编写
Capture > Show Packet Editor点一下表明出去。
运用工具栏的选择可以开展数据包的储存，变更，添加到目录和推送等实际操作。
例如想转化成一系列TCP数据包，最先点一下转化成一个空数据包，参考数据包文件格式，促使每一部分都用十六进制表示法来表明。创建了一个包假定它由100个字节数的长短（假定一下，20 个字节数是IP信息，20个字节是TCP信息，也有60个字节数为传输的数据信息）。如今把这个包发送给以太网接口,放14个字符在目的MAC地址以前，源MAC地址，还需要置一个0x0800的标识，它标示出了TCP/IP栈后的算法设计。与此同时，也追加了4个字节数用以做CRC校验 （CRC校验用于查验传送数据的准确性），以后大家点一下转发按键。