网络封包分析软件-WireShark简单抓包

什么是WireShark?

一款可运行在Windows和Mac OS上的网络封包分析软件，可尽可能显示出最详细的网络封包资料，使用WinPCAP作为接口，直接与网卡进行数据报文交换，也可用于抓包

WireShark抓包流程：

1、选择相应的网卡，因为wireshark是直接与网卡进行数据报文交换，所以需要选择指定的网卡，所有抓取的数据都是基于相应网卡进行传输的 (由于我目前没有多余的网卡，所以选择的是本地以太网，无法进行网络分享抓取手机上的包）。此处可以输入捕获过滤器，进入后只会捕获到相应规则的记录：

2、使用过滤器 Display Filter

捕获过滤器：过滤捕获包，减少捕获不必要的数据记录

1、仅支持协议过滤
      2、语法：可由 Protocol(协议）+Direction+Host(s)+Value+Logical Operations(逻辑操作）+Other expression组成
                Protocol可能的值：ether、fddi、ip、arp、rarp、decnet、lat、sca、mopdl、tcp、udp
                Direction可能的值：src(源地址)、dst(目的地址)、src and dst、src or dst（默认）
                Hosts可能的值：net、port(端口)、portrange、host)(默认)
                Logical Operations可能的值：not(优先级最高)、and、or、&&、||、！

显示过滤器：对捕获到的记录进行过滤
      1、支持协议过滤和内容过滤
      2、语法：可由Protocol（协议）+String1+String2+Comparison operator(操作表达式)+Value+Logical                       Operations+Other expression组成
                按Protocol进行过滤：ether、fddi、ip、arp、rarp、decnet、lat、sca、mopdl、tcp、udp、||(或）
                按Protocol的属性值进行过滤：ip.addr、ip.src、ip.src!、ip.dst、tcp.port、tcp.dstport、http.request.method==“POST”、http.host==“耶猫”、tcp.flags.syn
                比较操作符：==、！=、>、<、>=、<=、
                逻辑运算符：and、or、not
                深度字符串匹配：
                                contains :包含某字符串协议的包 eg：tcp contains “http” 显示包含"http"字符串的tcp封包
                                eg：http.request.uri contains “online” 显示请求的uri包含"online"的http封包
                特定偏移处值的过滤
                选择相应的内容，右击->Apply as Filter->selected,所选中的内容展示在显示过滤器中，内容 contains 查找的字符

eg：过滤目的地址为119.3.36.228 且为http协议的包 ip.dst == 119.3.36.228 and http

3、选择封装列表 Packet List Pane
选择想要查看的请求包：

4、查看封装包的详细信息 Packet Details Pane
Frame 1: 物理层数据
Ethernet II: 数据链路层以太网帧头部信息
Internet Protocol Version 4: 互联网层IP包头部信息
Transmission Control Protocol: 传输层的数据段头部信息
Hypertext Transfer Protocol: 应用层的信息，有接口请求与响应信息

注意：出现 [Next Response in frame:59117] 说明响应信息在no=59117的封包中

[Prev Response in frame:59044 ]说明前一个响应信息在no=59044中 ,
                   [Prev Request in frame:59042]说明前一个请求信息在no=59042中,
                   [Next Request in frame:59115]说明下一个请求信息在no=59115中)，
          而 [Packet number isn’t displayed] 是因为此时请求的目的地址与源地址已经发生了转变，所以应该将显示过滤条件更改下： ip.dst == 10.0.6.251 and ip.src == 119.3.36.228 and http
或者从开始过滤时的条件就设置为：ip.addr == 119.3.36.228 and http

找到相应信息：

5、显示16进制数据