Wireshark抓包捕获文件

Wireshark抓包捕获文件

Wireshark是一款强大的抓包分析工具，能够捕获网络中的各种包并进行分析。因此，用wireshark来抓包捕获网络中的文件是可行的。

在大多数情况下，文件在网络中传输是没有加密的。文件中的原始二进制数据会被原封不动地分成很多数据包进行发送，接收端会根据数据包中的编号自动将这些数据包还原成完整的文件。在wireshark中同样能够完成这个过程，接下来我们来看如何用wireshark捕获文件。

这里以捕获在线播放的音乐为例。在播放音乐之前先打开wireshark，并双击当前你正在使用的网络开始抓包（如下图）

抓包开始后此时可以在浏览器随便打开一个音乐网站，点击播放一首音乐，待音乐加载完成后可以点击左上角停止按钮停止抓包。

在刚才音乐加载的过程中，音乐网站把音频文件的数据通过网络数据包发到了我们电脑，并且这些数据包都会被wireshark捕获到。因此我们接下来能够还原出完整的音频文件。

在wireshark抓包界面上显示了很多的包，如何找到刚才的音频文件的那些数据包呢？有个简单的方法，就是直接找出里面length最大（一般是1514bytes）的那些包，因为一般情况下每个网络包包含的信息比较少，一般只有几十bytes到几百bytes，在传输文件时的数据包一般都是length最大的。当然也可以用ping命令看一下音乐网站的ip地址来过滤出那些包。

如下图红色箭头，我们随便挑出一个length为1514的包（而且该包附近的那些包也都是length1514，且为同一个ip地址发过来的，因此可以确定这个包就是音频文件的其中一个包了）

到这里我们只挑出了一个包，wireshark为我们提供了一个很方便的功能能够来自动追踪跟这个包相关的其他包。右键点击该包，选择追踪流->TCP流（如下图）

追踪后我们的界面看到的就是音乐网站和我们电脑之间网络通讯来往的包，红色部分为我们电脑向音乐网站发送的包，蓝色部分为音乐网站发送回电脑的包，从中可以还可以看出许多信息，包括文件的格式。音频文件是由音乐网站发过来的，因此我们只需要用到音乐网站发过来的那些包（如下图进行筛选）

筛选后再将数据显示和保存为原始二进制数据，并点击save as将这些二进制数据保存为mp3文件。到此就成功啦，播放一下看看是不是跟网站的一样！

这次实验只是以音频文件为例，对于视频或其他类型的文件当然也是可以的！