Wireshark抓包分析

（仅作为个人笔记，如有雷同，请联系删除。。）

下载：https://www.wireshark.org/#download

1、设置时间格式：视图–>时间显示格式

2、设置解析：视图–>Name Resolution，可以直接将mac地址、ip地址转换为易懂的名字

3、数据包的处理：

合并数据包：当需要抓多个较大的包时，可能需要将抓到的几个数据包进行合并
打印数据包：将数据包打印成pdf格式，Ctrl+P
导出数据包：可以选择是导出标记的数据包、选择的数据包、全部数据包

4、编辑-首选项：一些全局配置，能进行布局调节，颜色设置，Ctrl+Shift+P

5、抓包选项设置：

输入：选择抓包接口。要开启混杂模式：是指也会抓取不属于自己主机的数据包。
输出：将抓到的数据包分文件保存。可以设置文件大小，保存为多个文件，还可以设置路径。可以设置每多少秒保存为一个文件，可以设置为每多少个分组保存为一个文件，也可以设置一个目标达成之后停止抓包。

选项：抓到的包显示设置。

显示选项	解析名称
实时更新分组列表：抓到的包一直更新	解析MAC地址
实时捕获：平常数据包在不停的滚动就是因为打开了这个	解析网络名称
在实时捕获期间显示过滤信息：打开之后可以显示	解析传输层名称

6、抓包过滤器：在设置了过滤项之后只抓取需要的包

类型typ：host、net、port
方向dir：src、dst
协议proto：ether、ip、tcp、udp、http、ftp
逻辑运算符：and、or、not、&&、||、！

# 举例
# 过滤mac地址（适用于目标主机ip地址、端口号一直在变动）
ether host 8c:78:d7:08:57:10
# 过滤ip地址
src host 192.168.1.101
# 过滤端口号
!src port 80
# 过滤协议：对于那些二三层不常用的协议，直接输入协议名就好
icmp
# 整合：利用与运算符&&或者或运算符||来加强过滤条件的限制
ecp and src host 192.168.1.101 and !src port 80

7、显示过滤器：抓取所有包，之后再根据过滤规则的不同显示需要的包。

语法格式：一条基本的表达式由过滤项、过滤关系、过滤值组成。eg： ip.src == 192.168.1.101

过滤项：协议 + . + 协议字段

过滤IP地址：ip.src、ip.dst、ip.addr、eth.addr、eth.type
过滤端口：tcp.port、tcp.srcport、tcp.dstport、tcp.flag.syn
过滤协议：arp、tcp、udp、http

逻辑运算符：and、or、not、&&、||、！、==、in、contains

# 举例
ip.src == 192.168.1.101
ip.dst == 10.90.11.88
ip.src == 192.168.1.101 and ip.dst == 10.90.11.88
tcp.port == 80
tcp.srcport == 80
tcp.dstport == 80
tcp.flag.syn == 1
not http
!udp
ip.src == 192.168.1.101 and tcp.srcport == 80 or ip.dst == 10.90.11.88 and tcp.flag.syn == 1
http.request.method == "POST" # 过滤请求方式
http.request.url contains admin # 过滤要求u rl中包含admin
http.request.code == 404 # 过滤请求状态码

8、数据分析界面：

捕获到的所有数据包的列表，注意最后一列info是组织说明列，不一定是该数据包中的原始内容；
选中数据包的分层协议展示，选中某一层，在下面对应的原始数据会高亮显示；
选中数据包的原始数据，其中左侧十六进制表示，右侧ascii码表示；

9、着色规则：视图–>着色规则

10、数据包的大致结构：

第一行：数据包整体概述；
第二行：链路层详细信息，主要的是双方的mac地址；
第三行：网络层详细信息，主要的是双方的IP地址；
第四行：传输层的详细信息，主要的是双方的端口号；
第五行：和协议相关，不同的协议展示不同的内容。例如：dns协议，展示域名系统相关信息

11、数据流的追踪：

一个完整的数据流一般都是由很多个包组成的。想要查看某条数据包对于的数据流：选中数据，右键选择追踪流。里面就会有tcp流、udp流、ssl流、http流。数据包属于哪种流就选择对应的流。然后会弹出该流的完整的数据流以及这个数据流中包含的数据包。顶部的过滤器就是该流的过滤规则。

12、专家信息：分析–>专家信息。可以对数据包中特定的状态进行警告说明。errors[ 错误 ]、warnings[ 警告 ]、notes[ 标记 ]、chats[ 对话 ]

13、统计：对抓取的数据包进一步的分析。可以根据数据包的属性、已解析的地址、协议分级、IO graphs(显示抓包文件中的整体流量情况)等等进行统计分析。

Wireshark抓包分析基础相关推荐

Wireshark抓包分析之ICMP协议包
Wireshark抓包分析之ICMP协议包一. Wireshark简介:(前身为Ethereal,2006年改名为wireshark) Wireshark 是一个网络封包分析软件.网络封包分析软件的 ...
PXE+VMware主机模式+KickStart脚本自动安装ESXi 并试用WireShark抓包分析其中的协议TFTP，DHCP
1 安装 1.1 实验环境: Windows 10 (主机) VMWare workstation 15 (运行于主机上) Tiny PXE Server 1.0.0.21 (官网地址,下载地址 ...
Wireshark 抓包分析 RTSP/RTP/RTCP 基本工作过程
整体而言,RTSP 通常工作于可靠的传输协议 TCP 之上,就像 HTTP 那样,用于发起/结束流媒体传输,交换流媒体元信息.RTP 通常工作于 UDP 之上,用于传输实际的流媒体数据,其中的载荷格式 ...
Wireshark抓包分析TCP建立/释放链接的过程以及状态变迁分析
Wireshark抓包分析TCP建立/释放链接的过程以及状态变迁分析一.介绍计算机网络体系结构 1.计算机的网络体系结构在抓包分析TCP建立链接之前首先了解下计算机的网络通信的模型,我相信学习过计 ...
TCP/IP详解卷1 - wireshark抓包分析
TCP/IP详解卷1 - 系列文 TCP/IP详解卷1 - 思维导图(1) TCP/IP详解卷1 - wireshark抓包分析引言在初学TCP/IP协议时,会觉得协议是一种很抽象的东西,通过wi ...
用wireshark抓包分析TCP协议的三次握手连接、四次握手断开
用wireshark抓包分析TCP协议的三次握手连接.四次握手断开一.TCP三次握手图解二.TCP得四次挥手过程三.用Fiddler抓包,分析验证一个HTTPS网站的TCP连接过程一.TCP三 ...
用Wireshark抓包分析协议计算机网络
此篇博客记录使用Wireshark抓包分析协议. 目录一.DNS 二.分析TCP握手过程三.TLS报文四.HTTP协议五.SMTP 六.ARP 七.RTP 八.RTMP 一.DNS DNS是域 ...
Wireshark抓包分析微信功能----tcp/ip选修课期末大作业
分析相关功能所抓取的数据包和完整大作业报告(word版)均已上传至Wireshark抓包分析微信功能----tcp/ip选修课期末大作业-网络监控文档类资源-CSDN文库适合Wireshark入门的 ...
wireshark抓包分析数据怎么看 wireshark使用教程
大家都知道Wireshark是非常流行且知名的网络抓包数据分析工具,可以截取各种网络数据包,并显示数据包详细信息,常用于开发测试过程各种问题定位.网络故障排查等情况.但是很多网友不清楚如何使用Wire ...

Wireshark抓包分析基础

Wireshark抓包分析

（仅作为个人笔记，如有雷同，请联系删除。。）

Wireshark抓包分析基础相关推荐

最新文章

热门文章