Wireshark基础及使用

介绍

     网络封包分析软件。
     Wireshark使用WinPCAP作为接口， 直接与网卡进行数据报文交换。

安装

     官网下载安装。

可能遇到的问题

     wireshark 打开后，找不到网卡接口。
     问题原因： wireshark 中自带的winpcap 不支持win10。
     可以下载一个win10 支持的 winpcap 。
     关闭wireshark后安装，重新打开wireshark 即可。

简单使用

1、选择网卡接口类型

2、启动抓包
     捕获菜单: 开始 (快捷键 CTRL +E)
3、停止抓包
     捕获菜单: 开始 (快捷键 CTRL +E，启动抓包后有效)
4、过滤栏

     在过滤栏中输入过滤信息，点击Apply，方便信息的筛选。
也可以在分析菜单栏中选择Display Filters来创建新的过滤条件。
5、分组列表
     每一行代表一个网络报文。

     每一列代表的含义，从左至右一次为：

• 编号
• 接收时间(相对抓取的时间)
• 源IP 地址
• 目的IP 地址
• 使用的协议
• 长度
• 报文相关信息

6、色彩标识
     可在视图菜单中的着色规则中查看
一般情况：

• 绿色: TCP 报文
• 深蓝色：DNS 报文
• 浅蓝色： UDP报文
• 黑色：有问题的TCP报文，例如：乱序报文
• 黑色背景红色字体：重传报文

7、追踪流
     选中一个报文之后，就可以深入挖掘它的内容了
右键，追踪流，可以看到服务器和目标端之间的全部会话。
客户端报文用红色标识， 服务器的报文则为蓝色。

实例

抓取浏览器访问中国知网的数据包
1、获取中国知网的IP地址，用来过滤
      可以使用在线的IP地址查询工具

2、在wireshark的过滤栏中添加过滤条件: ip.addr == 115.31.65.10 或者 ip.addr eq 115.31.65.10
3、开始抓取并进行分析