wireshark抓包学习

ip 过滤
ip.src_host
ip.dst_host
ip.addr

mac 过滤
eth.src
eth.dst
eth.addr

端口过滤
tcp.port
tcp.srcport
tcp.dstport

协议类型过滤
arp
dhcp

规则组合
and
or

文件导出
导出特定分组

all packets 为把抓到的所有包都保存而 select packet 为保存我们鼠标点击选中的包也就是上一张图深色高亮的包

如果我们想要自定义的保存多个数据包就要进行标记方法如下图
点击红线标出的地方这个数据包就会被标记了

这样在导出数据包的时候选择macked packet only 会将所有我们标记的包保存

追踪流
可以看到与数据包相关的完整流如下图

wireshark 包详解**
1.tcp
这一块如果没看懂可以看看tcp三次握手和四次挥手单纯从图片入手确实有点难解释
这里我抓取了一个完整的tcp次握手协议如下图

就拿第一个数据包来分析吧也就是 192.168.72.1 向 192.168.72.150发的包
如下图在这个数据包里面画横线的地方从上到下分别是物理层数据链路层传输层和 tcp协议

物理层数据链路层传输层这三层协议就先不说了我们来看看 tcp 协议的内容图片如下
这个tcp数据包发送了 syn=1 与 seq=799197034

为了方便理解我把第二个包（192.168.72.150 向 192.168.72.1 发的包）也截了出来
可以看到第二个包里面的ack的绝对数值 799197035 就是第一个包的seq的值799197034 + 1 得来的

http抓包分析

现在来看看完整的http 的请求过程如下图
第一部分是3次握手协议第二部分是传输数据包第三部分就是四次挥手协议

下面来仔细看看，第二部分的http协议的包

首先是192.168.72.1 向192.168.72.150 发起的 http get的请求
然后就是 192.168.72.150 对 192.168.72.1的响应可以看到左边的两个小箭头就是分别对应的请求与响应
那么这两个http中间的这些包又是什么呢如下图