Wireshark 分析捕获的数据记录

使用 Wireshark 选取你要抓包的网络接口，并设置你的过滤器之后，当有数据通信后即可抓到对应的数据包，这里将分析其每一帧数据包的结构。

• 每一帧数据都有类似的结构组成，我这里使用抓到一个对应的ping 包进行分析。

• 这一帧包包含以下四种信息.

  • Frame: 物理层的数据帧情况。
  • Ethernet II , Src: 数据链路层以太网帧头部信息。
  • Internet Protocol Version 4, Src: 互联网层IP包头信息。
  • Internet Control Message Protocol: 互联网控制信息协议。ping 小包所使用的协议。
  • 前三层基本上都是一样的，第四层开始就可以出现TCP, UDP 协议，第五层就可能有HTTP 应用层协议等等。
    

• 第一层 : Frame: 物理层的数据帧概况

    Frame 715: 98 bytes on wire (784 bits), 98 bytes captured (784 bits) on interface 0
        //第715帧，有98个字节在线上，共784位，实际捕获到784字节在0接口
        Interface id: 0 (\Device\NPF_{B67BEA54-B193-42D8-9DA9-11312F90107A})    //接口ID：0
        Encapsulation type: Ethernet (1)                                    //封装类型
        Arrival Time: Mar 22, 2017 13:30:44.053763000 中国标准时间          //到达时间
        Time shift for this packet: 0.000000000 seconds          //包偏移时间，不懂。。.
        Epoch Time: 1490160644.053763000 seconds             //有可能是1990 到现在的时间
        Time delta from previous captured frame: 0.000349000 seconds//两帧之间的时间间隔
        Time delta from previous displayed frame: 0.000000000 seconds//捕获到显示的间隔时间
        Time since reference or first frame: 274.038861000 seconds //此包和第一帧的时间间隔
        Frame Number: 715                                                   //帧号
        Frame Length: 98 bytes (784 bits)                                   //帧长度
        Capture Length: 98 bytes (784 bits)                                 //捕获的帧长度
        Frame is marked: False                                              //帧显著标志
        Frame is ignored: False                                             //帧忽略标志
        Protocols in frame: eth:ethertype:ip:icmp:data            //帧内封装的协议层次结构
        Coloring Rule Name: ICMP                                   //着色标记的协议
        Coloring Rule String: icmp || icmpv6                      //着色规则显示的字符串

• 第二层： Ethernet II , Src: 数据链路层以太网帧头部信息。

    Ethernet II, Src: TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b), Dst: AplexTec_0d:4e (40:d8:55:16:ad:4e)
           //     源MAC地址：TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b)  
            //目标MAC地址：AplexTec_0d:4e (40:d8:55:16:ad:4e)
    Destination: AplexTec_0d:4e (40:d8:55:16:ad:4e)   //目的MAC地址
    Source: TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b)     //源MAC地址   

• 第三层： Internet Protocol Version 4, Src: 以太网协议层

    Internet Protocol Version 4, Src: 192.168.0.199, Dst: 192.168.0.192
    // IPv4 协议                    源IP：192.168.0.199， 目的IP：192.168.0.192
            0100 .... = Version: 4     // 版本4
            .... 0101 = Header Length: 20 bytes (5)    // 头长度20字节
        Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)  //差分服务区域
            0000 00.. = Differentiated Services Codepoint: Default (0) // 差分服务字段
            .... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0) 
                                                                //明确的阻塞指示
            Total Length: 84                                        // 总长度
            Identification: 0x0000 (0)                              // 鉴别
        Flags: 0x02 (Don't Fragment)                                // 标志
            0... .... = Reserved bit: Not set                       // 保留位
            .1.. .... = Don't fragment: Set                         // 不要分离碎片   
            ..0. .... = More fragments: Not set                     // 分离
        Fragment offset: 0  // 分的偏移量
        Time to live: 64    // 生存期
        Protocol: ICMP (1)  // 协议名称
        Header checksum: 0xb7d1 [validation disabled]   // 头部校验和
        Header checksum status: Unverified             // 头部校验和检验状态：
        Source: 192.168.0.199        // 源IP
        Destination: 192.168.0.192    // 目的地IP
        Source GeoIP: Unknown     // 源的 基于IP 查询地理位置   Geo IP: Geolocation IP
        Destination GeoIP: Unknown

• 第四层： UDP, TCP, ICMP， 等等协议层

    // 这里面描述了这些协议独有的东西：
    //  ping 小包一般所使用的就是这种协议进行传输数据
    Internet Control Message Protocol   // 因特网控制信息协议
        Type: 8 (Echo (ping) request)   //  类型，ping 请求
        Code: 0
        Checksum: 0x6eb9 [correct]       // 和校验
        Checksum Status: Good            // 和检验状态
        Identifier (BE): 59906 (0xea02)  // 标识符
        Identifier (LE): 746 (0x02ea)    // 标识符
        Sequence number (BE): 5 (0x0005)    // BE 序列号
        Sequence number (LE): 1280 (0x0500)  //LE 序列号
        Data (56 bytes)                // 数据
          // ... ...