【转】tcpdump 抓包mysql网络分析+使用wireshark分析

Wireshark详细使用教程_kuokay的博客-CSDN博客_wireshark使用教程入门

工具栏

①——使用最后一次的捕捉设置立即开始捕捉

②——停止当前捕捉

③——停止当前捕捉并立即重新开始

④——打开捕获窗口

过滤器
当进行数据包捕获时，只有那些满足给定的包含/排除表达式的数据包会被捕获。

常见的过滤条件有：

过滤源ip、目的ip——如查找目的地址为192.168.101.8的包，ip.dst192.168.101.8；查找源地址为ip.src1.1.1.1。

端口过滤——如过滤80端口，在Filter中输入，tcp.port80，这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport80只过滤目的端口为80的，tcp.srcport==80只过滤源端口为80的包。

协议过滤——比较简单，直接在Filter框中直接输入协议名即可，如过滤HTTP的协议

http模式过滤——如过滤get包，http.request.method==“GET”,过滤post包，http.request.method==“POST”

连接符and——过滤两种条件时，使用and连接，如过滤ip为192.168.101.8并且为http协议的，ip.src==192.168.101.8 and http。

Packet List面板

列表中的每行显示捕捉文件的一个包。如果您选择其中一行，该包得更多情况会显示在"Packet Detail/包详情"，"Packet Byte/包字节"面板。

Packet List面板中默认包含了几列，如No、Time、Source和Destination等。

No. 包的编号，编号不会发生改变，即使进行了过滤也同样如此
Time 包的时间戳。包时间戳的格式可以自行设置，见第 6.10 节 “时间显示格式及参考时间”
Source 显示包的源地址。
Destination 显示包的目标地址。
Protocal 显示包的协议类型的简写
Info 包内容的附加信息
Packet Details面板

该面板显示包列表面板选中包的协议及协议字段，协议及字段以树状方式组织。可以展开或折叠进行查看。

Packet Bytes面板

通常在16进制转储形式中，左侧显示包数据偏移量，中间栏以16进制表示，右侧显示为对应的ASCII字符。

状态栏

通常状态栏的左侧会显示相关上下文信息，右侧会显示当前包数目。

Wireshark过滤器设置
初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

捕获过滤器
捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。
1

如何使用？可以在抓取数据包前设置如下。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：

显示过滤器
显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛，抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。同样上述场景，在捕获时未设置捕获规则直接通过网卡进行抓取所有数据包，如下

执行ping www.huawei.com获取的数据包列表如下

观察上述获取的数据包列表，含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。

上述介绍了抓包过滤器和显示过滤器的基本使用方法。在组网不复杂或者流量不大情况下，使用显示器过滤器进行抓包后处理就可以满足我们使用。下面介绍一下两者间的语法以及它们的区别。

wireshark过滤器表达式的规则

1、抓包过滤器语法和实例

抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）

（1）协议过滤

比较简单，直接在抓包过滤框中直接输入协议名即可。

TCP，只显示TCP协议的数据包列表

HTTP，只查看HTTP协议的数据包列表

ICMP，只显示ICMP协议的数据包列表

（2）IP过滤

host 192.168.1.104

src host 192.168.1.104

dst host 192.168.1.104

（3）端口过滤

port 80

src port 80

dst port 80

（4）逻辑运算符&& 与、|| 或、！非

src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

！broadcast 不抓取广播数据包

2、显示过滤器语法和实例

（1）比较操作符

比较操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。

（2）协议过滤

比较简单，直接在Filter框中直接输入协议名即可。注意：协议名称需要输入小写。

tcp，只显示TCP协议的数据包列表

http，只查看HTTP协议的数据包列表

icmp，只显示ICMP协议的数据包列表

（3） ip过滤

ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表

ip.dst==192.168.1.104, 显示目标地址为192.168.1.104的数据包列表

ip.addr == 192.168.1.104 显示源IP地址或目标IP地址为192.168.1.104的数据包列

（4）端口过滤

tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。

tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。

tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。

5） Http模式过滤

http.request.method==“GET”, 只显示HTTP GET方法的。

（6）逻辑运算符为 and/or/not

过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp

（7）按照数据包内容过滤。假设我要以IMCP层中的内容进行过滤，可以单击选中界面中的码流，在下方进行选中数据。如下

右键单击选中后出现如下界面

选中Select后在过滤器中显示如下

后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。包含的关键词是contains 后面跟上内容。

Wireshark分析三次握手
wireshark能获取HTTP，也能获取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的内容，总结，如果是处理HTTP,HTTPS 还是用Fiddler, 其他协议比如TCP,UDP 就用wireshark.

封包详细信息与对应的OSI模型

TCP三次握手过程图

第一次握手：

​ 建立连接时，客户端发送SYN包（Seq=x）到服务器，并进入SYN_SENT状态，等待服务器确认。

第二次握手：

​ 服务器收到SYN包，必须确认客户的SYN（ACK=x+1），同时自己也发送一个SYN包（Seq=Y），即SYN+ACK包，此时服务器进入SYN_RECV状态。

第三次握手：

​ 客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

TCP包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

TCP标志的意义

SYN：Synchronize，用于初始化和建立连接，它同时也用于同步设备之间的序列号（Seq）

ACK：Acknolowege，向另一方确认它已收到SYN

Seq：Sequence number，序列号，用于表示曾经发送过数据的字节数+1

Len：用于表示收到的字节大小，0表示本次没有收到数据

FIN：用于结束连接

注意：

即使Seq不为0，并不表示曾经一定发送过数据，是否发送过数据需要依据Len指令的值有没有大于0的来判断。

3次握手和4次挥手过程中一般是不会传送数据的，所以这个过程中Len指令都是0

三次握手分析：
1.打开wireshark, 输入捕获过滤器为：tcp，显示过滤器为：tcp.port == 80，选择我连接网络的网卡为：WLAN

2.点击右上角开始捕获分组，进入捕获界面

3.打开浏览器输入 http://www.aigony.com ，接下来即可看到捕获信息

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

第一次握手数据包

客户端向服务器发送连接请求包，标志位SYN（同步序号）置为1，序号Seq为X=0，如下图

第二次握手的数据包

服务器收到客户端发过来的报文，由SYN=1知道客户端要求建立连接。服务器发回确认包, 标志位SYN和ACK都置为1。 将确认序号(Acknowledgement Number)设置为客户端的Seq+1，即X+1= 0+1=1, 如下图

第三次握手的数据包

客户端收到服务器发来的包后检查确认序号(Acknowledgement Number)是否正确，即第一次发送的序号加1（X+1=1）。以及标志位ACK是否为1。若正确，客户端再次发送确认包(ACK)，SYN标志位为0，ACK标志位为1。 确认序号(Acknowledgement Number)为Y+= 0+1= 1，发送序号Seq为X+1=1。服务器收到后确认序号值与ACK=1则连接建立成功，可以传送数据了。 如下

就这样通过TCP三次握手，建立了HTTP连接 。
————————————————
版权声明：本文为CSDN博主「kuokay」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_45066628/article/details/124851029