Wireshark抓包工具在Windows操作系统上的基本使用

一、安装

1、打开 Wireshark官网 ，如图：

2、单击 Download Wireshark Now跳转到下载项，如图：

3、选择对应版本，此处我选择的是 Windows x64 版本，下载完成后的文件名为 Wireshark-4.2.2-x64.exe，点击Next，使用默认值安装。

二、使用

1、安装完成后，打开Wireshark，如图：

2、选择要捕获的接口，此处我要捕获的是本机ip地址对应的网卡

查询ip对应网卡的方法是 cmd命令行输入 ipconfig，可以看出ip对应网卡为以太网 2，如图：

3、双击 以太网 2开始捕获

4、切换网卡

单击左上角 停止捕获分组 按钮，停止捕获后，单击 捕获 菜单中的选项菜单，弹出窗口，选择需要捕获的接口，点击开始，就切换到要捕获的网卡了。如图：

5、界面介绍

(1) 过滤器工具栏：设置过滤条件进行数据包列表过滤。

抓包过滤器语法

类型Type（host、net、port）
方向Dir（src、dst）
协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）
逻辑运算符（&& 与、|| 或、！非）

抓包过滤器实例

1、协议过滤（ 直接在抓包过滤框中直接输入协议名即可 ）

	tcp：只显示TCP协议的数据包列表
	http：只查看HTTP协议的数据包列表
	icmp：只显示ICMP协议的数据包列表
	
2、IP过滤

	ip.src == 192.168.0.148   显示源地址为192.168.0.148的数据包列表
	ip.dst == 192.168.0.148   显示目标地址为192.168.0.148的数据包列表
	ip.addr == 192.168.0.148  显示源IP地址或目标IP地址为192.168.0.148的数据包列表
	
3、端口过滤

	tcp.port == 80     显示源主机或者目的主机端口为80的数据包列表
	tcp.srcport == 80  只显示TCP协议的源主机端口为80的数据包列表
	tcp.dstport == 80  只显示TCP协议的目的主机端口为80的数据包列表

4、逻辑运算符&& 与、|| 或、！非

	ip.addr == 192.168.1.104 and icmp   获取IP地址为192.168.1.104的ICMP数据包
		
	！broadcast 不抓取广播数据包
	
5、Http模式过滤

	http.request.method == "GET"  只显示HTTP GET方法的
	

(2) 数据包列表：显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。不同协议的数据包使用了不同的颜色区分显示。

数据包列表中不同的协议使用了不同的颜色区分。具体规则可在 视图 ——> 着色规则 弹框中查看

如图：

(3) 数据包详细信息：在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为：

Frame : 物理层的数据帧概况
Ethernet II : 数据链路层以太网帧头部信息
Internet Protocol Version 4 : 互联网层IP包头部信息
Transmission Control Protocol : 传输层T的数据段头部信息，此处是TCP
Hypertext Transfer Protocol : 应用层的信息，此处是HTTP协议
JavaScript Object Notation : 该数据包包含或正在传输JSON格式的数据 （非必须）

(4) 数据包字节区：显示了数据包的原始内容，以十六进制的形式展示，这个区域通常包括三个部分：

• 最左边的部分是十六进制的序号，以字节为单位。
• 中间部分是十六进制的数据内容，通常每行显示16个字节。
• 最右边部分是ASCII码数据内容，显示了可读的字符数据。

6、清空数据包列表