wireshark

深藏阁楼爱情的钟 2023-07-18 04:47 43阅读 0赞

### 基础知识 ###

![结构图][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70]

#### 运行在TCP协议上的应用程序协议： ####

**HTTP**（Hypertext Transfer Protocol，超文本传输协议），主要用于普通浏览。  
**HTTPS**（Hypertext Transfer Protocol over Secure Socket Layer, or HTTP over SSL，安全超文本传输协议）,HTTP协议的安全版本。  
**FTP**（File Transfer Protocol，文件传输协议），由名知义，用于文件传输。  
**POP3**（Post Office Protocol, version 3，邮局协议），收邮件用。  
**SMTP**（Simple Mail Transfer Protocol，简单邮件传输协议），用来发送电子邮件。  
**SSH**（Secure Shell，用于替代安全性差的TELNET），用于加密安全登陆用。

#### 运行在UDP协议上的应用程序协议： ####

**BOOTP**（Boot Protocol，启动协议），应用于无盘设备。  
**NTP**（Network Time Protocol，网络时间协议），用于网络同步。  
**DHCP**（Dynamic Host Configuration Protocol，动态主机配置协议），动态配置IP地址。

#### 其他： ####

**DNS**（Domain Name Service，域名服务），用于完成地址查找，邮件转发等工作（运行在TCP和UDP协议上）。  
**ECHO**（Echo Protocol，回绕协议），用于查错及测量应答时间（运行在TCP和UDP协议上）。  
**SNMP**（Simple Network Management Protocol，简单网络管理协议），用于网络信息的收集和网络管理。  
**ARP**（Address Resolution Protocol，地址解析协议），用于动态解析以太网硬件的地址。

#### ARP ####

ARP协议的主要工作就是建立、查询、更新、删除ARP表项。

ARP协议引入了ARP缓存表的概念，每台主机或路由器在维护着一个`ARP缓存表（ARP table）`，这个表包含`IP地址到MAC地址的映射关系`，表中记录了`<IP地址，MAC地址>`对。

ARP之简单请求应答  
![ARP应答][ARP]  
ARP之广播请求单播回应  
![ARP广播][ARP 1]

<table> 
 <thead> 
  <tr> 
   <th>Details of ARP data</th> 
   <th>ARP数据的详细信息</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Hardware type</td> 
   <td>硬件类型，标识链路层协议</td> 
  </tr> 
  <tr> 
   <td>Protocol type</td> 
   <td>协议类型，标识网络层协议</td> 
  </tr> 
  <tr> 
   <td>Hardware size</td> 
   <td>硬件地址大小，标识MAC地址长度，这里是6个字节（48bit）</td> 
  </tr> 
  <tr> 
   <td>Protocol size</td> 
   <td>协议地址大小，标识IP地址长度，这里是4个字节（32bit）</td> 
  </tr> 
  <tr> 
   <td>Opcode</td> 
   <td>操作代码，标识ARP数据包类型，1表示请求，2表示回应</td> 
  </tr> 
  <tr> 
   <td>Sender MAC address</td> 
   <td>发送者MAC</td> 
  </tr> 
  <tr> 
   <td>Sender IP address</td> 
   <td>发送者IP</td> 
  </tr> 
  <tr> 
   <td>Target MAC address</td> 
   <td>目标MAC，此处全0表示在请求</td> 
  </tr> 
  <tr> 
   <td>Target IP address</td> 
   <td>目标IP</td> 
  </tr> 
 </tbody> 
</table>

![ARP数据][ARP 2]

--------------------

有了基础知识后，可以查看使用手册了  
[wireshark使用教程][wireshark]

### wireshark ###

#### 抓包原理 ####

1.  **本机环境** 直接抓包本机网卡进出流量  
    ![本机环境][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 1]
2.  **集线器环境** 从集线器上抓到其他电脑发送过来的包 所属物理层 无法查看 IP/MAC  
    流量泛洪、同一冲突  
    ![集线器环境][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 2]
3.  **交换机环境**
    
    1.  **端口镜像**  
        将PC2和PC3上的流量拷贝一份到PC1上  
        ![端口镜像][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 3]
    2.  **ARP欺骗**

![ARP欺骗][ARP 3]  
3. **MAC泛洪**  
![MAC泛洪][MAC]

#### 底层原理 ####

![底层架构][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 4]

1.  Win-/libpcap  
    Wireshark抓包时依赖的库文件
2.  Capture  
    抓包引擎，利用libpcap/WinPcap从底层抓取网络数据包，libpcap/WinPcap提供了通用的抓包接口，能从不同类型的网络接口抓包。
3.  Wiretap  
    格式支持，从抓包文件中读取数据包，支持多种文件格式
4.  Core  
    核心引擎，通过函数调用将其他模块连接在一起，起到联动调度的作用。
5.  GTK1/2  
    图像处理工具，处理用户的输入输出显示

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70]: /images/20230528/d6830ab1f70b4a539ecfeaa09c79b545.png
[ARP]: /images/20230528/ea8316bb678042ceba5c858fbb6cf172.png
[ARP 1]: /images/20230528/b2bbae4d88274c8d884fa48a040a943b.png
[ARP 2]: /images/20230528/35f89d1e252a4f1b91e7be3270e5453d.png
[wireshark]: https://www.cnblogs.com/ccpang/p/12295606.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 1]: /images/20230528/8ab71b49331943eaa63d3f0d6ef50f0f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 2]: /images/20230528/2ce7974ef6a24911bfe57422318171f3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 3]: /images/20230528/d7e3e0bd05874688812192caa077cc9f.png
[ARP 3]: /images/20230528/89a4fcd8e1e44898bf620b87b1803343.png
[MAC]: /images/20230528/23bb96f225044b7c8c9f2169a8d46967.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM4Njg5Mzk1_size_16_color_FFFFFF_t_70 4]: /images/20230528/3eb5d7478a4744fdacba8bdaee781b06.png