Wireshark網(wǎng)絡(luò)數(shù)據(jù)包分析軟件簡(jiǎn)介

Wieshark簡(jiǎn)介

wireshark是一個(gè)免費(fèi)開(kāi)源的網(wǎng)絡(luò)數(shù)據(jù)包分析軟件，功能十分強(qiáng)大。可以截取各種網(wǎng)絡(luò)數(shù)據(jù)包，顯示網(wǎng)絡(luò)數(shù)據(jù)包的詳細(xì)信息。

wireshark頁(yè)面介紹

1.開(kāi)始頁(yè)面

2.wireshark是捕獲機(jī)器上的一塊網(wǎng)卡的網(wǎng)絡(luò)包，當(dāng)你有多塊網(wǎng)卡時(shí)，選擇其中的一個(gè)。

當(dāng)你只有一塊網(wǎng)卡時(shí)，選擇網(wǎng)卡eth0。（默認(rèn)選擇網(wǎng)卡后自動(dòng)抓包）

wireshark窗口介紹

wireshark主要分為5個(gè)界面

1.Display Filter(顯示過(guò)濾器) ，用于過(guò)濾

2.Packet list Pane(數(shù)據(jù)包列表)，顯示捕捉到的數(shù)據(jù)包，有效IP和目標(biāo)IP，端口號(hào)

3.Packet Details Pane(數(shù)據(jù)包詳細(xì)信息) ，顯示數(shù)據(jù)包中的字段

4.Dissector Pane(16進(jìn)制數(shù)據(jù))

5.Miscekkanous(地址欄)

wireshark過(guò)濾器

掌握過(guò)濾技能是非常重要的，初學(xué)者使用wireshark進(jìn)行抓包時(shí)，由于抓到的數(shù)據(jù)包的種類繁多，很難找到自己需要的部分。

過(guò)濾器會(huì)幫助我們迅速找到我們需要的信息。

過(guò)濾器有兩種。

一種是顯示過(guò)濾器，，用來(lái)在我們捕獲的數(shù)據(jù)包中找到我們需要的信息。（圖二）

另一種是捕獲過(guò)濾器，用來(lái)過(guò)濾捕獲的數(shù)據(jù)包。在開(kāi)始頁(yè)面Capture中 （圖一）

過(guò)濾表達(dá)式的規(guī)則

1.協(xié)議過(guò)濾

比如tcp，只顯示捕獲TCP協(xié)議

2.IP過(guò)濾

比如 ip.src ==10.1.1.1 只顯示源地址為10.1.1.1的數(shù)據(jù)包

ip.dst== 10.1.1.1 只顯示目的地址為10.1.1.1的數(shù)據(jù)包

3.端口過(guò)濾

tcp.port == 80 只顯示目的地址80端口的TCP數(shù)據(jù)包

tcp.srcport == 80 只顯示源地址80端口的TCP數(shù)據(jù)包

4.http模式過(guò)濾

http.request.method == "GET" ,只顯示HTTP GET方法。

5.邏輯運(yùn)算符為 AND/OR（不分大小寫）

ip.dst ==10.1.1.1 and port == 80 只顯示目標(biāo)IP為10.1.1.1且端口為80的數(shù)據(jù)包

數(shù)據(jù)包列表

數(shù)據(jù)包列表的面板中顯示，編號(hào)，時(shí)間，源地址，目標(biāo)地址，協(xié)議，長(zhǎng)度，以及數(shù)據(jù)包信息。從圖中你可以看到不同的協(xié)議不同顏色，并且協(xié)議連接不成功和成功顏色也不一樣。

數(shù)據(jù)包詳細(xì)信息

在這個(gè)面板中，我們可以查看協(xié)議中的任意一個(gè)字段。

各行信息分別為

Frame： 物理層的數(shù)據(jù)幀概況

Ethernet II： 數(shù)據(jù)鏈路層以及以太網(wǎng)頭部信息

Internet Protocol Version 4： 互聯(lián)網(wǎng)Ip包頭部信息

Transmission Control Protocol ：傳輸層T的數(shù)據(jù)段頭部信息，此處是TCP

Hypertext Transfer Protocol 應(yīng)用層信息，此處是HTTP協(xié)議

數(shù)據(jù)包具體內(nèi)容（本次用的例子TCP協(xié)議）

4.分析三次TCP握手過(guò)程

首先用wireshark進(jìn)行抓包，下圖是我用wireshark抓到的TCP三次握手的數(shù)據(jù)包。

（雙擊抓到的包就可以看到詳細(xì)信息或者在頁(yè)面第二個(gè)方框中也可以看到詳細(xì)信息）

第一次握手?jǐn)?shù)據(jù)包

客戶端發(fā)送一個(gè)TCP數(shù)據(jù)包，標(biāo)志位為SYN，序列號(hào)為0，代表客戶端請(qǐng)求建立連接。如下圖

第二次握手?jǐn)?shù)據(jù)包

服務(wù)器發(fā)揮確認(rèn)包，標(biāo)志位為SYN，ACK，將確認(rèn)序號(hào)（Acknowledgement Number）設(shè)置為客戶的ISN+1，如下圖

第三次握手的數(shù)據(jù)包

客戶端再次發(fā)送確認(rèn)包（ACK），SYN標(biāo)志位為0，ACK標(biāo)志位1，并且把服務(wù)器發(fā)來(lái)ACK的序號(hào)字段+1，放在確認(rèn)字段中發(fā)送給對(duì)方，并且在數(shù)據(jù)段中的ISN+1，如下圖

這樣就完成了TCP三次握手，建立了連接！

審核編輯：劉清