Wireshark 的基本使用

布满荆棘的人生 2022-05-19 13:42 366阅读 0赞

### 文章目录 ###

*   *   *   *   *  安装 Wireshark
                 *  Wireshark 可以做什么？
                 *  Wireshark 的操作步骤
                 *   *  一个典型的命令
                     *  选择监听的网卡
                     *  Start Or Start a capture with detailed options
                     *  设置 Capture Filter,设置捕获条件
                     *  点击 Start 开始捕获
                     *  设置 Filter 并点击确认
                     *  跟踪某一条访问
                     *  保存新文件和打开已保存文件
                     *  标记和含义
                 *  留个悬念-网络分层
                 *  常用的过滤命令
                 *  参考链接

> Wireshark 是一款功能强大的抓包工具，可以让我们了解网络传输的细节，比如用于了解经典的`三次握手`、`四次握手`，化抽象为具体。本文将介绍 Wireshark的简单使用。

##### 安装 Wireshark #####

> 官网下载地址 [ https://www.wireshark.org/\#download][https_www.wireshark.org_download]

##### Wireshark 可以做什么？ #####

> Wireshark 可以截取指定 host、协议 的信息流，并且可以按照协议类型、IP、端口、不同编码格式对信息流进行查看，而且可以追踪某一个信息流。可以讲获取的信息流保存以便于以后再次查看。

##### Wireshark 的操作步骤 #####

*  打开 Wireshark

> 选择 Wireshark Legacy

###### 一个典型的命令 ######

ip.dst == 192.168.1.1 and tcp.port==80 and tcp.seq==0

![这里写图片描述][70]

###### 选择监听的网卡 ######

> 这个要看你计算机的联网方式，比如是通过有线网卡或者无线网卡，这里我使用无线网卡。如果你想监听多个网卡，则点击`Interface List`

![这里写图片描述][70 1]

###### Start Or Start a capture with detailed options ######

> 在选择好要监听的网卡之后，我们有两种方式开始捕获网络上的信息流，如上图所示，一种是 `Start`,一种是`Capture Options`。前者会直接开始捕获信息流，你可以先点进去体验一下，在不启用任何过滤措施的情况下，信息显得有些乱。后者可以对捕获的信息有一个基本设置，点击确定之后，进入的页面和前者一样，然后可以对捕获的结果做进一步的过滤。  
> 点击 Capture Options

![这里写图片描述][70 2]

###### 设置 Capture Filter,设置捕获条件 ######

> 你可以直接在后面输入过滤命令，如果格式正确输入框将会变成绿色，你也可以使用后面的按钮`Compile selected BPFs`,会得到一些有效信息，这个按钮不是必须的。  
> 如果你还不熟悉命令，可以点击 `Capture Filter`按钮，从中选择一个作为模板。比如下图，捕获过滤条件是 `ip地址 192.0.2.1 的信息流（192.0.2.1 发出的或者接收到的信息流）`

![这里写图片描述][70 3]

###### 点击 Start 开始捕获 ######

> 点击 Start 将进入到下面的页面  
> 1 是刷新的作用，他左边的红色按钮可以终止捕获；  
> 2是对捕获结果进行二次过滤；  
> 3是捕获到的具体的一条信息流，或者你也可以叫做报文，尽管这个名称并不适合于所有协议。

![这里写图片描述][70 4]

###### 设置 Filter 并点击确认 ######

> 比如我想知道来自ip 192.168.1.106 的访问，或者目标地址为 192.168.1.106 的访问，则需要在2添加过滤命令。  
> ip.src192.168.1.106 会对捕获结果进行再次过滤，将发起请求ip地址为 192.168.1.106 的信息流留下  
> ip.dst192.168.1.106 会对捕获结果进行再次过滤，将请求访问目标ip地址为 192.168.1.106 的信息流留下  
> 会有自动提示哦，写完命令如果正确输入框会变为绿色，然后按一下标注为2 的按钮更新一下

![这里写图片描述][70 5]

*  Mac 版的写 ip.dst == 有提示点击 ->![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2Jlc3RjeHg_size_16_color_FFFFFF_t_70]

###### 跟踪某一条访问 ######

> 网络访问有时候存在重试的情况，这对于我们分析信息流来说是一种干扰，所以我们可以选择跟踪一个连续的信息流，而不是多个。右键 点击 Foller 协议名字（如TCP） Stream

![这里写图片描述][70 6]

###### 保存新文件和打开已保存文件 ######

> 关闭窗口会提示你保存  
> 至于打开新文件，停止当前捕获，然后左上角 File->open 你保存的文件即可

###### 标记和含义 ######

"eth"   Ethernet addresses
      "fc"    Fibre Channel addresses
      "fddi"  FDDI addresses
      "ip"    IPv4 addresses
      "ipv6"  IPv6 addresses
      "ipx"   IPX addresses
      "tcp"   TCP/IP socket pairs   Both IPv4 and IPv6 are supported
      "tr"    Token Ring addresses
      "udp"   UDP/IP socket pairs   Both IPv4 and IPv6 are supported

##### 留个悬念-网络分层 #####

> 下图对应 网络协议分层，含义是>>>  
> 参考 [https://blog.csdn.net/hguisu/article/details/12521597][https_blog.csdn.net_hguisu_article_details_12521597]  
> [https://blog.csdn.net/sd4567855/article/details/81152050][https_blog.csdn.net_sd4567855_article_details_81152050]

![这里写图片描述][70 7]

##### 常用的过滤命令 #####

*  ip.addr==127.0.0.1 ，客户端IPv4 的地址为 127.0.0.1
 *  ip.dst==127.0.0.1,服务端的IPv4 地址为 127.0.0.1
 *  and 或者 && ,并且，比如 ip.addr127.0.0.1 and ip.dst127.0.0.1,表示客户端和服务端的IPv4 地址都是 127.0.0.1
 *  tcp.seq==0，表示，TCP协议的seq值为0
 *  tcp.ack==1，表示 TCP 协议的ack值为1
 *  or 或者 ||,或者，比如 ip.addr127.0.0.1 || ip.addr192.168.1.10
 *  (),括号，可以使用括号，比如 (ip.addr127.0.0.1 and ip.dst == 192.168.1.10) || (ip.addr 192.168.1.10 and ip.dst == 127.0.0.1)
 *  tls,表示tls协议，用于捕获https的不二选择
 *  tcp,限定为 tcp 协议
 *  [dns.qry.name][] == [img.alicdn.com][] ,[域名为img.alicdn.com][img.alicdn.com 1]
 *  ip.host == [img.alicdn.com][],域名为 [img.alicdn.com][]

##### 参考链接 #####

\[1\].[http://blog.jobbole.com/70907/][http_blog.jobbole.com_70907]  
\[2\].[https://blog.csdn.net/howeverpf/article/details/40743705][https_blog.csdn.net_howeverpf_article_details_40743705]  
\[3\].[https://blog.csdn.net/hzhsan/article/details/43453251][https_blog.csdn.net_hzhsan_article_details_43453251]  
\[4\].[https://jingyan.baidu.com/article/b87fe19e7603b75218356825.html][https_jingyan.baidu.com_article_b87fe19e7603b75218356825.html]

[https_www.wireshark.org_download]: https://www.wireshark.org/#download
[70]: /images/20220519/f3ede6d8f33a44a482539ba999c04d6d.png
[70 1]: /images/20220519/132a19a7b23c48aeab8180a0d45760b2.png
[70 2]: /images/20220519/f4b884869fa04d11bef47865a4b24618.png
[70 3]: /images/20220519/b93eee1e40864e2e9e9f6e9074ff261d.png
[70 4]: /images/20220519/a3021eb7b3454666ac91955032cc3b33.png
[70 5]: /images/20220519/02b87ef0f381426b8b88b9b733f10baa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2Jlc3RjeHg_size_16_color_FFFFFF_t_70]: /images/20220519/14b118e6f8a641538a7b58237342619b.png
[70 6]: /images/20220519/e5fcfa3a15cb4bb6a1fbc73075b7e593.png
[https_blog.csdn.net_hguisu_article_details_12521597]: https://blog.csdn.net/hguisu/article/details/12521597
[https_blog.csdn.net_sd4567855_article_details_81152050]: https://blog.csdn.net/sd4567855/article/details/81152050
[70 7]: /images/20220519/0934892c4bf5430b8b37eff3597194a4.png
[dns.qry.name]: http://dns.qry.name
[img.alicdn.com]: http://img.alicdn.com
[img.alicdn.com 1]: http://xn--img-c88d89xw6f.alicdn.com
[http_blog.jobbole.com_70907]: http://blog.jobbole.com/70907/
[https_blog.csdn.net_howeverpf_article_details_40743705]: https://blog.csdn.net/howeverpf/article/details/40743705
[https_blog.csdn.net_hzhsan_article_details_43453251]: https://blog.csdn.net/hzhsan/article/details/43453251
[https_jingyan.baidu.com_article_b87fe19e7603b75218356825.html]: https://jingyan.baidu.com/article/b87fe19e7603b75218356825.html