WireShark 使用教程

WireShark 使用教程

提示：在网络分析中常常会用到协议的分析或者流量监测的时候会使用抓包工具进行检测；

软件安装过程不在赘述，请自行百度；

参考文章：https://blog.csdn.net/zzwwhhpp/article/details/113077747

1. 界面介绍

首页

可以选择对不同的网卡进行检测，选择网卡进行抓包；

说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏视图 -> 着色规则。如下所示

2. 数据介绍

数据部分主要包含数据的列表、数据的详细等功能的解释

2.1 数据列表

Packet List Pane(数据包列表)， 显示捕获到的数据包，每个数据包包含编号，时间截，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。

2.2 数据详细

Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为

• Frame: 物理层的数据帧概况

• Ethernet II: 数据链路层以太网帧头部信息

• Internet Protocol Version 4: 互联网层IP包头部信息

• Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP

• Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

TCP 包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

3. 过滤器

最开始使用 WireShark 的时候，将会得到大量的冗余数据包列表，以至于很难找到自己需要抓取的数据包部分。WireShark 工具中自带了两种类型的过滤器，会帮助我们迅速找到我们需要的信息；

3.1 抓包过滤器

在菜单栏中选择捕获 -> 捕获过滤器

直接添加响应的规则即可；这个会只抓取符合规则的信息；

3.2 显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件，进行数据包的过滤。通常是在抓取数据包的时候设置较为宽泛的条件或者没有设置会抓取较多的数据，使用显示过滤器便于分析。

3.2.1 抓包过滤器语法和实例

抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）

• 协议过滤，比较简单，直接在抓包过滤框中直接输入协议名即可【注意：过滤的时候协议名必须要小写】。

  • tcp，只显示TCP协议的数据包列表

  • http，只查看HTTP协议的数据包列表

  • icmp，只显示ICMP协议的数据包列表

  

• IP 过滤

  • host 192.168.1.104
  • src host 192.168.1.104
  • dst host 192.168.1.104

• 端口过滤

  • port 80
  • src port 80
  • dst port 80

• 逻辑运算符&& 与、|| 或、！非

  • src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

  • host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

  • ！broadcast 不抓取广播数据包

3.2.2 显示过滤器语法和实例

• 比较操作符

  比较操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。

  

• 协议过滤

  比较简单，直接输入协议的名称即可。注意：协议名称需要小写；

  tcp，只显示TCP协议的数据包列表

  http，只查看HTTP协议的数据包列表

  icmp，只显示ICMP协议的数据包列表

  

• 端口过滤

  tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。

  tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。

  tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。

  

• 逻辑运算符为 and/or/not

  过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.177.129的 ssh 数据包表达式为ip.addr == 192.168.177.129 and ssh

  

• http 过滤

  http.request.method=="GET", 只显示HTTP GET方法的。

  

• 按照数据包内容过滤。

  假设我要以IMCP层中的内容进行过滤，可以单击选中界面中的码流，在下方进行选中数据。如下

  

  右键单击选中后出现如下界面

  

  选中Select后在过滤器中显示如下

  

  后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。包含的关键词是contains 后面跟上内容。

  

继续努力，终成大器！