我们注意到这台机器向公网发出大量的ICMP包，那是在作什么？（同学们：在ping)
对！PING采用ICMP协议，ping可以用来扫描，也可以用来攻击。
扫描就是看那一台机器活着，接着扫描端口，在攻击，所以扫描是攻击主机的前奏。
另外
，还可以用ping 来冲击路由器，或占用带宽，是一种DOS攻击。
大家看这个过程更像哪一种类型。
（同学们：扫描，DOS攻击）
一般情况下，扫描会是比较连续的地址，我们看这个地址并不连续，我们先排除扫描，当然不是绝对的，也有比较聪明的扫描。
有同学说，这是DOS攻击，那是冲击路由器，还是占用带宽？
（同学们：冲击路由器）
嘿，这次比较统一，我也觉得他在冲击路由器，我们看，他的目标地址基本不在一个网段，这样路由器收到这样的数据包会消耗大量资源在查找路由表上面。所以对路由器有一定冲击。
一般来说，如果他想占用带宽的话，会发大包，我们发现，包的长度不大，并且一秒钟才发10几个包，所以对贷款冲击不大。
或许大家会觉得这没秒10几个包对路由器冲击也不大呀。大家想像一下，如果有很多机器在作这个操作，那影响就会很大。
大家自己在找一找，是否还有其他机器在作同类事情。
（同学们找出7台这样的机器）
好大家找出7台这样的机器，怎么找出来的？有同学用钢材的办法，有同学用过滤，都市好办法。
现在假设在你们的网络中出现这样的情况，我们发现了异常，接下来怎么做？
（同学们：找到这台机器）
然后呢？
我们可以看看这台机器的任务管理器，看看有什么不常见的进程，把他去掉，看是否解决。在看其他的机器，是否有类似的特征。
这是我的一个学员发给我的，当时他发现这7台机器都有一个特殊的进程，但是他的防病毒软件没有查出来。他手工解决了。
这很好说明用Sniffer可以比防病毒软件更快发现病毒，因为防病毒软件是后知后觉得，什么意思？防病毒软件必须有相应的特征才能查病毒。而Sniffer通过流量可以发现一些特征，一些异常。
但是有一点，我们不能拿Sniffer当防病毒软件用，那不是他的特长，同时也太低沽Sniffer的功能了（同学们笑）
好我们在看看扫描是怎么一回事，大家看这个trace file（范老师在演示，我就不写了）
先是ARP扫描，再端口扫描，接下来就是攻击了。
（编者：接着我们做了一个游戏，范老师让大家用Sniffer攻击他的机器，结果1台机器就把他的机器搞死了，这个就不细说了）
好，我们再看第四个monitor功能，ART，Application Response Time，应用响应时间。
应用响应时间是分析应用的一个很好工具，主要用来分析应用的性能。
ART是指一个客户端发出一个请求，到服务器响应回来的时间差。
一般来说，应用响应的快慢，是应用性能的一个重要指标。
应用性能主要决定于几个因素：网络因素、服务器因素、客户端因素、应用协议因素
我们先看看如何操作,再来看看应用这个功能。
我们打开ART，大家看到Http的应用响应时间分析，这里有几个列，server Address,Client Address.
他是怎么知道谁是Server，谁是Client?其实也就是看端口号和IP的对应关系，比如如果一个数据包的目的IP是1.1.1.1，目的端口是80，Sniffer就会认为1.1.1.1就是Http服务器。对应的源IP就是Client。
AvgRsp—平均响应时间
90%Rsp—90%响应时间，去掉头尾个5%，其实我个人觉得去掉最大的10%更合理一些。
还有最大最小的响应时间，这些都是以毫秒为单位。
接着就是TotalRsp,这个是响应次数，单位是次。
接着是0到25毫秒的响应有多少次，25到50毫秒的响应有多少次。。等等。
后面还有server发送子节数，client发送子节数，timeout次数等等，5秒不响应则Timeout。
我们再看看怎么增加其他应用，按属性，选择display protocol,添加你关心的协议，再确定，ART会重新刷新（范老师在演示）
你看我这里就有了telnet,Oracle。 [Page]
（同学们：我们没有Oracle)
我知道，其实平时我们更关心的是我们关键业务，所以我们要把我们关键业务的端口添加进来，怎么添加？大家跟我来，
选菜单上的toolsàoptionsàprotocol，拉到下面,添加一种应用，比如Oracle,端口1521。
再在属性里把这个新协议选上，有了吗？（跑去解答问题去了）
好，大家都做出来了，我们平常分析关键业务就行了，有一点要说明，一种业务可能有多个应用，也就是多个端口，需要同时分析。
有些同学喜欢把所有well known的协议添加到协议列表里，我在共享目录上有两个注册表注入工具，大家只要运行以下就可以将这些常用端口都注入到协议列表里，就不用一个一个敲了。其实我个人觉得不太必要，多了反而乱。
大家打开注册表，我们看一下协议列表，找到这两项：
HKEY_LOCAL_MACHINE\SOFTWARE\Network Associates, Inc.\Sniffer\4.7\1CommonSettings\Protocols\IP Protocols\TCP
HKEY_LOCAL_MACHINE\SOFTWARE\Network Associates, Inc.\Sniffer\4.7\1CommonSettings\Protocols\IP Protocols\UDP
这就是协议列表。注意不要有重复的，否则会报错。
（编者：这是范老师的板书）
应用响应时间是评估影响应用性能因素的一种很好的工具。我们看这样一个例子。
比如通过client通过广域网连接到服务器。
我们同时在AB两点部署Sniffer，分析某一业务的响应时间。
假设Sniffer在A点，他所看到的响应时间包括网络消耗时间和服务器处理时间
在B点的Sniffer看到的响应时间主要是服务器处理时间。这样我们比较AB两点的响应时间，来判断影响性能的主要因素是网络还是服务器。
假设A点的响应时间是400毫秒，B点的响应时间是100毫秒，我们就知道A点的400毫秒中有300毫秒是消耗在网络上的，我们可以认为对于这个业务，性能的主要瓶颈在网络上，如果我们在深入分析是距离因素还是贷款因素，我们就可以判断是否有改善空间。这个细节我们在第二门课讲。
如果B点的响应时间达到250毫秒，我们可以认为改善服务器的性能对于这个应用来说会更明显一些。
如果我们Sniffer用多了。我们就可以做一个AB点的响应时间的基准线，假设正常情况下A点的响应时间是400毫秒，有一天你发现平均响应时间达到600毫秒，你就应该关注了，或许用户还没有抱怨，如果你这时分析应用性能下降的原因，你就可以避免故障的产生，同时避免用户投诉。当然你也会有B点的基准线，比较跟平时有何不同，很快就知道应该检查网络还是服务器。
对于ART还有什么不清楚地吗？或者大家平常还有其他用法？
（编者：本来这次想写完第一天课程再共享，看到论坛中大家在催，就先写到这吧，过几天就可以把第一天全部内容发完）
（编者：范老师已经找过我了，他说他的MSN有很多陌生人，后来看了内容就知道是我写的，他说分享知识可以，但不要透露敏感信息，还说我比他讲得好，汗。。。。所以这次我没有完全按他的录音翻译，自己有所删节，但基本上是原汁原味。）
（编者：我发现写这个真的很累，因为有很多演示，很难写出来，最近很忙，我都没有忘记我的承诺，给我加油，好吗？）
（编者：所有PPT都市我自己做的，范老师的ppt是不给我们的，我很努力吧！）