【转】Wireshark网络抓包(一)——数据包、着色规则和提示

柔情只为你懂 2023-01-16 14:30 122阅读 0赞

# 转自：[https://www.cnblogs.com/strick/p/6261463.html][https_www.cnblogs.com_strick_p_6261463.html] #

# 一、数据包详细信息 #

**Packet Details面板**内容如下，主要用于分析封包的详细信息。

![7cd0c24302f2181f132cbdd5833af988.png][]

帧：物理层、链路层

包：网络层

段：传输层、应用层

![85a4c296b70b04bceec82427ae83ea52.png][]

**1）Frame**

物理层数据帧概况

![ce902325ce49e6e90c6f8f9cf9314344.png][]![f07142f5ad7358dc05e72c63463811ef.png][]

**2）Ethernet II**

数据链路层以太网帧头部信息

![320d2ff6e1c1b83011f6db98cfff68b0.png][]

**3）Internet Protocol Version 4**

互联网层IP包头部信息

![7dfe2ad80961bf8abc3cb66f9c9b0776.png][]

IP包头：

![9447075d4666fa15cd18e4682c6fc441.png][]

**4）Transmission Control Protocol**

传输层数据段头部信息，此处是TCP协议

![48feaf48a7f4b1888c088a835ed4d66f.png][]

TCP包头：

![787d24abf6b5e23dbc25289fffe0b284.png][]

**5）Hypertext Transfer Protocol**

应用层信息，此处是HTTP协议

# 二、着色规则 #

Wireshark默认有一组着色规则，可以在Packet Details面板中展开包的帧部分，查看着色规则。

![3f3ed0d3de0483ea70e45979ba544963.png][]

在View | Coloring Rules中，打开着色规则窗口，可以自己创建、删除、选中、去除。

![b0065db348621d7b5b69ddfda14295d2.png][]

# 三、Wireshark提示 #

**1）Packet size limited during capture**

说明被标记的那个包没有抓全。一般是由抓包方式引起，有些操作系统中默认只抓每个帧的前96个字节。

4号包全长171字节，但只有96字节被抓到。

![f5f14b85a029a25ec1db77d71ed8457e.png][]

**2）TCP Previous segment not captured**

如果Wireshark发现后一个包的Seq大于Seq+Len，就知道中间缺失了一段。

如果缺失的那段在整个网络包中找不到（排除了乱序），就会提示。

6号包的Seq是1449大于5号包的Seq+Len=1+1=1，说明中间有个1448字节的包没被抓到，就是“Seq=1,Len=1448”。

![5f3e157a9ea792ae8c633f69bf6d1ec5.png][]

**3）TCP ACKed unseen segment**

当Wireshark发现被Ack的那个包没被抓到，就会提示。

32号包的Seq+Len=6889+1448=8337，说明下一个包Seq=8337。

而我们看到的是35号包的Seq=11233，意味着8337~11232这段数据没抓到。

![6bd1a17a3b325eb40f708f69fd999da8.png][]

**4）TCP Out-of-Order**

当Wireshark发现后一个包的Seq号小于前一个包的Seq+Len时，就会认为乱序，发出提示。

3362号包的Seq小于3360包的Seq，所以就是乱序。

![4623e2e13cc6b5b0a2502500e776cabd.png][]

**5）TCP Dup ACK**

当乱序或丢包发生时，接收方会收到一些Seq号比期望值大的包。没收到一个这种包就会Ack一次期望的Seq值，提现发送方。

7号包期望的下一个Seq=30763，但8号包Seq=32223，说明Seq=30763包丢失，9号包发了Ack=30763，表示“我要的是Seq=30763”。

10号、12号、14号也都是大于30763的，因此没收到一个就回复一次Ack。

![c80a9542f12868e77f3dff0e37b11370.png][]

**6）TCP Fast Retransmission**

当发送方收到3个或以上的【TCP Dup ACK】，就意识到之前发的包可能丢了，于是快速重传它。

![64ea4af4a982db6114d14a4b53c597fe.png][]

**7）TCP Retransmission**

如果一个包真的丢了，又没有后续包可以在接收方触发【Dup Ack】就不会快速重传。

这种情况下发送方只好等到超时了再重传。

1053号包发出后，一直没有等到相应的Ack，只能在100多毫秒之后重传了。

![c7fed648821270769f475a681f27711b.png][]

**8）TCP zerowindow**

包种的“win”代表接收窗口的大小，当Wireshark在一个包中发现“win=0”时，就会发提示。

![77106f1e689359f97155fc7a9334dedb.png][]

**9）TCP window Full**

此提示表示这个包的发送方已经把对方所声明的接收窗口耗尽了。

当Wireshark计算出Middle East已经有65535字节未被确认，就会发出此提示。

![b706cbe4db27e24a4350c6fdd8c751f5.png][]

【TCP window Full】表示发送方暂时没办法再**发送数据**；

【TCP zerowindow】表示发送方暂时没办法再**接收数据**。

**10）TCP segment of a reassembled PDU**

Wireshark可以把属于同一个应用层的PDU的TCP包虚拟地集中起来。

TCP层收到上层大块报文后分解成段后发出去，主机响应一个查询或者命令时如果要回应很多数据（信息）而这些数据超出了TCP的最大MSS时，

主机会通过发送多个数据包来传送这些数据（注意：这些包并未被分片）。

![1654986550c4bce3af74a712efa59b57.png][]

**11）Time-to-live exceeded（Fragment reassembly time exceeded）**

表示这个包的发送方之前收到了一些分片，但由于某些原因迟迟无法组装起来。

![f57359093d07297b800c8c3a7ac7b135.png][]

参考资料：

[Wireshark网络分析的艺术][Wireshark]

[Wireshark数据包分析实战详解][Wireshark 1]

[一站式学习Wireshark][Wireshark 2]

[wireshark怎么抓包、wireshark抓包详细图文教程][wireshark_wireshark]

[Wireshark入门教程及破解][Wireshark 3]

[Wireshark抓包iOS入门教程][Wireshark_iOS]

[https_www.cnblogs.com_strick_p_6261463.html]: https://www.cnblogs.com/strick/p/6261463.html
[7cd0c24302f2181f132cbdd5833af988.png]: /images/20221022/39c46a25ab204029a47d6150e6298328.png
[85a4c296b70b04bceec82427ae83ea52.png]: /images/20221022/78fc80ede68d4f7cad47fe30b8166a1b.png
[ce902325ce49e6e90c6f8f9cf9314344.png]: https://img-blog.csdnimg.cn/img_convert/ce902325ce49e6e90c6f8f9cf9314344.png
[f07142f5ad7358dc05e72c63463811ef.png]: /images/20221022/d0cdef892cc848f7ba4187c6a043a637.png
[320d2ff6e1c1b83011f6db98cfff68b0.png]: /images/20221022/0662f20c09084fbc958be32a80505003.png
[7dfe2ad80961bf8abc3cb66f9c9b0776.png]: /images/20221022/2cd771d527f6401b9cd812ac3887615a.png
[9447075d4666fa15cd18e4682c6fc441.png]: /images/20221022/c533d36383064431b2ebf27222010147.png
[48feaf48a7f4b1888c088a835ed4d66f.png]: /images/20221022/f1779f4a9c82435e9047cb7a811da8b4.png
[787d24abf6b5e23dbc25289fffe0b284.png]: /images/20221022/2b346a7ce79043f3b692559a39fff20e.png
[3f3ed0d3de0483ea70e45979ba544963.png]: /images/20221022/69b41a4fa15a4c779c01ea9677614400.png
[b0065db348621d7b5b69ddfda14295d2.png]: /images/20221022/4da4130d59334b52926363c55fa223d7.png
[f5f14b85a029a25ec1db77d71ed8457e.png]: /images/20221022/aee4633cd3d34c8dbe96320eb0f16d9f.png
[5f3e157a9ea792ae8c633f69bf6d1ec5.png]: /images/20221022/02336edad29741a58f62b94f96f13df8.png
[6bd1a17a3b325eb40f708f69fd999da8.png]: /images/20221022/6961fe1b6d1b404e97016ff8405cb036.png
[4623e2e13cc6b5b0a2502500e776cabd.png]: /images/20221022/b1fd8bc2be8e4113a46fe92c2f064e07.png
[c80a9542f12868e77f3dff0e37b11370.png]: /images/20221022/b642fea26aeb4f1da617baa3b906c3b5.png
[64ea4af4a982db6114d14a4b53c597fe.png]: /images/20221022/2908c3d937a84a6986e9d6e8b504361d.png
[c7fed648821270769f475a681f27711b.png]: /images/20221022/aef725881ca840a0a97d8bfe07be2ee3.png
[77106f1e689359f97155fc7a9334dedb.png]: /images/20221022/0d4fe7f180264aa0a599af01d39fcdc2.png
[b706cbe4db27e24a4350c6fdd8c751f5.png]: /images/20221022/eb4f6fa0503c4eba8699673b84bac115.png
[1654986550c4bce3af74a712efa59b57.png]: /images/20221022/178b0c73353a4e43b8af6d9df4fed2af.png
[f57359093d07297b800c8c3a7ac7b135.png]: /images/20221022/e8744a6441b14519a5038e65d3e46019.png
[Wireshark]: http://download.csdn.net/download/loneleaf1/9730490
[Wireshark 1]: http://download.csdn.net/download/loneleaf1/9730491
[Wireshark 2]: https://www.kancloud.cn/digest/wireshark/62476
[wireshark_wireshark]: http://www.cnblogs.com/the-tops/p/5651306.html
[Wireshark 3]: https://wenku.baidu.com/view/18c1063acf84b9d529ea7a4e.html
[Wireshark_iOS]: http://mrpeak.cn/blog/wireshark/