Wireshark简述

Wireshark是一个网络封包分析软件，用于撷取网络封包，并尽可能显示出最为详细的网络封包资料。

Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

用途广泛：

网络管理员使用之用来检查网络问题；

测试工程师使用之来分析软件的网络行为；

开发者使用之来为新的通信协议除错；

普通用户使用之来学习网络协议相关知识。

Wireshark使用默认设置时，会得到大量冗余信息，过滤器可帮忙解决此问题：

捕捉过滤器(Capture Filters)：用于过滤捕获的封包，以免捕获太多的记录，需在开始捕捉前设置。

语法：Protocol  Direction  Host  Value  LogicalOperation  OtherExpression

Protocol(协议)：可能的值有ether、fddi、ip、arp、rarp、decnet、lat、sca、moprc、mopdl、tcp、udp，若没特别指出默认使用所有支持的协议。

Direction(方向)：可能的值有src、dst、src and dst、src or dst，若没指明来源或目的地默认使用“src or dst”作为关键字。

Host：可能的值有net、port、host、portrange，若没指明默认使用“host”关键字。

Logical Operation(逻辑运算)：可能的值not、and、or，not优先级最高，and和or优先级相同，运算时从左向右进行。

例：tcp dst port 3128 —— 显示目的TCP端口为3128的封包

ip src host 10.1.1.1 —— 显示来源IP地址为10.1.1.1的封包

host 10.1.2.3 —— 显示目的或来源IP地址为10.1.2.3的封包

src portrange 2000-2500 —— 显示来源为UDP或TCP且端口号在2000至2500范围内的封包

not imcp —— 显示除icmp以外的所有封包

src host 10.7.2.12 and not dst net 10.200.0.0/16 —— 显示来源IP地址为10.7.2.12但目的地不是10.200.0.0/16的封包

显示过滤器(Display Filters)：用于在捕获的记录中找到所需的记录，可在得到捕捉结果后随意修改。

语法：Protocol.String1.String2  ComparisonOperator  Value  LogicalOperation  OtherExpression

Protocol(协议)：可使用大量位于OSI模型第二至七层的协议。

String1，String2：协议的子类。

ComparisonOperator(比较运算符)：==、!=、>、<、>=、<=

LogicalOperation(逻辑运算符)：and、or、xor、not

例：snmp || dns || icmp —— 显示SNMP或DNS或ICMP封包

ip.addr == 10.1.1.1 —— 显示来源或目的IP地址为10.1.1.1的封包

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6 —— 显示来源不是10.1.2.3并且目的不是10.4.5.6的封包

tcp.dst.port == 25 —— 显示目的TCP端口号为25的封包

tcp.flags —— 显示包含TCP标志的封包

Wireshark封包详细信息：

Frame：物理层的数据帧概况

Ethernet II：数据链路层以太网帧头部信息

Internet Protocol Versin 4：互联网层IP包头部信息

Transmission Control Protocol：传输层的数据段头部信息

Hypertext Transfer Protocol：应用层的信息