络分析工具——WireShark的使用（超详细）

络分析工具——WireShark的使用

• • 简介
  • WireShark软件安装
  • Wireshark 开始抓包示例
  • WireShark抓包界面
  • WireShark 主要分为这几个界面
  • TCP包的具体内容
  • Wireshark过滤器设置
  • wireshark过滤器表达式的规则
  • Wireshark抓包分析TCP三次握手
  • Wireshark分析常用操作

简介

2、WireShark简单抓包示例。通过该例子学会怎么抓包以及如何简单查看分析数据包内容。

3、Wireshark过滤器使用。通过过滤器可以筛选出想要分析的内容。包括按照协议过滤、端口和主机名过滤、数据包内容过滤。

WireShark软件安装

软件下载路径：wireshark官 。按照系统版本选择下载，下载完成后，按照软件提示一路Next安装。

如果你是Win10系统，安装完成后，选择抓包但是不显示 卡，下载win10pcap兼容性安装包。下载路径：win10pcap兼容性安装包

Wireshark 开始抓包示例

先介绍一个使用wireshark工具抓取ping命令操作的示例，让读者可以先上手操作感受一下抓包的具体过程。
1、打开wireshark 2.6.5，主界面如下：

WireShark抓包界面

WireShark 主要分为这几个界面

1、Display Filter(显示过滤器)， 用于设置过滤条件进行数据包列表过滤。菜单路径：Analyze –> Display Filters。

（2）Ethernet II: 数据链路层以太 帧头部信息

（3）Internet Protocol Version 4: 互联 层IP包头部信息

（4）Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP

（5）Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

Wireshark过滤器设置

初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。
（1）抓包过滤器

捕获过滤器的菜单栏路径为Capture –> Capture Filters。用于在抓取数据包前设置。

wireshark过滤器表达式的规则

1、抓包过滤器语法和实例

抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）

（1）协议过滤

比较简单，直接在抓包过滤框中直接输入协议名即可。

TCP，只显示TCP协议的数据包列表

HTTP，只查看HTTP协议的数据包列表

ICMP，只显示ICMP协议的数据包列表

（2）IP过滤

host 192.168.1.104

src host 192.168.1.104

dst host 192.168.1.104

（3）端口过滤

port 80

src port 80

dst port 80

（4）逻辑运算符&& 与、|| 或、！非

src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

！broadcast 不抓取广播数据包
2、显示过滤器语法和实例

（1）比较操作符

比较操作符有== 等于、！= 不等于、> 大于、= 大于等于、

（2）协议过滤

比较简单，直接在Filter框中直接输入协议名即可。注意：协议名称需要输入小写。

tcp，只显示TCP协议的数据包列表

http，只查看HTTP协议的数据包列表

icmp，只显示ICMP协议的数据包列表

tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。

tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。

tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。

Wireshark抓包分析TCP三次握手

（1）TCP三次握手连接建立过程

第一步：客户端发送一个SYN=1，ACK=0标志的数据包给服务端，请求进行连接，这是第一次握手；

第二步：服务端收到请求并且允许连接的话，就会发送一个SYN=1，ACK=1标志的数据包给发送端，告诉它，可以通讯了，并且让客户端发送一个确认数据包，这是第二次握手；

第三步：服务端发送一个SYN=0，ACK=1的数据包给客户端，告诉它连接已被确认，这就是第三次握手。TCP连接建立，开始通讯。

SYN ：标志位，表示请求建立连接

Seq = 0 ：初始建立连接值为0，数据包的相对序列 从0开始，表示当前还没有发送数据

Ack =0：初始建立连接值为0，已经收到包的数量，表示当前没有接收到数据
第二次握手的数据包

服务器发回确认包, 标志位为 SYN,ACK. 将确认序 (Acknowledgement Number)设置为客户的I S N加1，即0+1=1, 如下图

ACK ：标志位，表示已经收到记录

Seq = 1 ：表示当前已经发送1个数据

Ack = 1 : 表示当前端成功接收的数据位数，虽然服务端没有发送任何有效数据，确认 还是被加1，因为包含SYN或FIN标志位（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据)。

就这样通过了TCP三次握手，建立了连接。开始进行数据交互

Seq: 1

Ack: 1: 说明现在共收到1字节数据

Wireshark分析常用操作

调整数据包列表中时间截显示格式。调整方法为View –>Time Display Format –> Date and Time of Day。调整后格式如下：

出处：https://www.cnblogs.com/linyfeng/p/9496126.html