WireShark安装使用
一：下载
官网下载地址：https://www.wireshark.org/
根据提示NEXT安装完成，点击桌面的快捷方式
打开主界面如下：
三：开始抓包
以上主界面点击电脑使用的网卡，本机用的是以太网，双击以太网则自动开始抓包
点击“红色方块”停止按钮：可停止抓包
四：基础操作
4.1：保存
点击菜单栏的“保存”按钮，可保存捕获的信息
4.2：调整界面大小
放大/缩小/还原正常大小
4.3：应用为列/隐藏列
隐藏列：数据包列表找到列名，右键取消勾选
4.4：模块介绍
1：数据包列表：每一行是一个数据包
2：数据包详情：数据包的详细数据
3：数据包字节：数据包对应的字节流，二进制
4.5：设置时间
4.6：高亮展示数据包
数据包列表中，重要的信息右键标记即可高亮，再次标记则取消标记
4.7：导出特定分组
不仅可全部保存所有捕获信息，也可单独保存想要的特定数据包信息
如下图展示保存标记的数据包:
文件-导出特定分组-勾选「Marked packets only」，只导出标记的数据包。
文件-导出特定分组-勾选「Selected packets only」，只导出选中的数据包。
4.8：过滤器
Wireshark提供了两个过滤器：抓包过滤器 和 显示过滤器。两个过滤器的过滤思路不同。
- 抓包过滤器：重点在动作，需要的包我才抓，不需要的我就不抓。
- 显示过滤器：重点在数据的展示，包已经抓了，只是不显示出来。
4.8.1：抓包过滤器
抓包过滤器在抓包前使用，它的过滤有一个基本的语法格式：BPF语法格式。
BPF（全称 Berkeley Packet Filter），中文叫伯克利封包过滤器，它有四个核心元素：类型、方向、协议 和 逻辑运算符。
- 类型Type：主机（host）、网段（net）、端口（port）
- 方向Dir：源地址（src）、目标地址（dst）
- 协议Proto：各种网络协议，比如：tcp、udp、http
- 逻辑运算符：与（ && ）、或（ || ）、非（ ！）
四个元素可以自由组合，如：
- src host 180.184.172.218：抓取源IP为 180.184.172.218 的数据包
- tcp || udp：抓取 TCP 或者 UDP 协议的数据包
举例：
点击菜单栏：捕获-选项
ip host 180.184.172.218
Src host 180.184.172.218
抓包过滤器的输入框，会自动检测语法，绿色代表语法正确，红色代表语法错误。
抓包结果如下：
4.8.2：显示过滤器
显示过滤器在抓包后或者抓包的过程中使用。
默认情况下，Wireshark 会捕获指定接口上的所有数据，并全部显示，这样会导致在分析这些数据包时，很难找到想要分析的那部分数据包。这时可以借助显示过滤器快速查找数据包。 显示过滤器是基于协议、应用程序、字段名或特有值的过滤器，可以帮助用户在众多的数据包中快速地查找数据包，可以大大减少查找数据包时所需的时间。
1）语法结构
显示过滤器的语法包含5个核心元素：IP、端口、协议、比较运算符和逻辑运算符。
- IP地址：ip.addr、ip.src、ip.dst
- 端口：tcp.port、tcp.srcport、tcp.dstport
- 协议：tcp、udp、http
- 比较运算符：> < == >= <= !=
- 逻辑运算符：and、or、not、xor（有且仅有一个条件被满足）
5个核心元素可以自由组合，比如：
- ip.addr == 180.184.172.218显示IP地址为 180.184.172.218 的数据包
- tcp.port == 80 ：显示端口为 80 的数据包
2）使用方式
在过滤栏输入过滤语句，修改后立即生效;使用显示过滤器，需要在 Wireshark 的数据包界面中输入显示过滤器并执行，如图所示:
http.request.method=="GET"
4.9：数据包详细信息
在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为
（1）Frame: 物理层的数据帧概况
（2）Ethernet II: 数据链路层以太网帧头部信息
（3）Internet Protocol Version 4: 互联网层IP包头部信息
（4）Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
（5）Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
