抓包工具Wireshark

网络分析系列之八_使用Wireshark抓包

一、介绍

三个主界面

1.Packet List(数据包列表):最上面的面板用表格显示了当前捕获文件中的所有数据包，其中包括了数据包序号、数据包被捕获的相对时间、数据包的源地址和目标地址、数据包的协议以及在数据包中找到的概况信息等列。
                                       显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。

2.Packet Details(数据包细节):中间的面板分层次地显示了一个数据包中的内容，并且可以通过展开或是收缩来显示这个数据包中所捕获到的全部内容。                        

  （1）Frame:   物理层的数据帧概况

  （2）Ethernet II: 数据链路层以太网帧头部信息

  （3）Internet Protocol Version 4: 互联网层IP包头部信息

  （4）Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

  （5）Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

3.Packet Bytes(数据包字节):最下面的面板可能是最令人困惑的，因为它显示了一个数据包未经处理的原始样子，也就是其在网络上传输时的样子。这些原始数据看上去一点都不容易理解。

Wireshark过滤器设置

   初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

（1）抓包过滤器

    捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：

 

 

（2）显示过滤器

  显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛，抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。

 

 

 

参考 文档 https://www.cr173.com/soft/5937.html

 

二、过滤语法：

1.过滤源ip、目的ip。

在wireshark的过滤规则框Filter中输入过滤条件。如查找目的地址为192.168.101.8的包，ip.dst==192.168.101.8；查找源地址为ip.src==1.1.1.1；

2.端口过滤

如过滤80端口，在Filter中输入，tcp.port==80，这条规则是把源端口和目的端口为80的都过滤出来。

使用tcp.dstport==80只过滤目的端口为80的，tcp.srcport==80只过滤源端口为80的包；

3.协议过滤

协议过滤比较简单，直接在Filter框中直接输入协议名即可，如过滤HTTP的协议；

4.http模式过滤。

如过滤get包，http.request.method=="GET",过滤post包，http.request.method=="POST"；

5.连接符and的使用。

过滤两种条件时，使用and连接，如过滤ip为192.168.101.8并且为http协议的，ip.src==192.168.101.8 and http。