网络协议分析工具wireshark

1、wireshark简介

由于这个周末还算比较空闲，所以准备单列一个博客写一下wireshark的使用。下午悠闲地打开电脑，万万没想到...

百度了一下可能是版本的问题，卸载重装之后可以打开wireshark了

卸载时用apt-get remove wireshark并不能完全卸载
使用apt-get remove --purge wireshark才能删除配置文件

进去之后由于Kali默认是root账号，会引发Lua加载错误，如下:

解决方法：

点击捕获选项可以选择要对监听的网卡和数据包捕获进行配置

开始捕获数据包

在“视图”->“对话着色”选项中可以修改着色规则

这里的示意图是旧版的wireshark窗口的介绍，但功能布局与现在使用的版本基本一致，这里借来引用

WireShark 主要分为这几个界面：

捕捉过滤器是用来配置应该捕获什么样的数据包，在启动数据包捕捉之前就应该配置好。打开主界面“捕获”—>“捕获过滤器”可以对捕获过滤器进行设置

Protocol（协议） Direction（方向） Host(s) Logical Operations（逻辑运算）

Protocol（协议）:
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction（方向）:
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字
Host(s):
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用"host"关键字。
Logical Operations（逻辑运算）:
可能的值：not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。

使用示例：

tcp dst port 3128
显示目的TCP端口为3128的封包。
ip src host 10.1.1.1
显示来源IP地址为10.1.1.1的封包。
host 10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。
src portrange 2000-2500
显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
not imcp
显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
src host 10.7.2.12 and not dst net 10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8
显示来源IP地址为10.4.1.12或10.6.0.0/16，且目的端口号在200-1000，目的地址是10.0.0.0/8的TCP封包。