Wireshark 数据包解读实例

Wireshark可以将从网络捕获到的二进制数据按照不同的协议包结构规范，翻译解释为人们可以读懂的英文信息，并显示在主界面的中部窗格中。为了帮助 大家在网络安全与管理的数据分析中，迅速理解Wireshark显示的捕获数据帧内的英文信息，特做如下中文的翻译解释

Wireshark可以将从网络捕获到的二进制数据按照不同的协议包结构规范，翻译解释为人们可以读懂的英文信息，并显示在主界面的中部窗格中。为了帮助 大家在网络安全与管理的数据分析中，迅速理解Wireshark显示的捕获数据帧内的英文信息，特做如下中文的翻译解释。本页内容请参看教材中 Wireshark的界面图1.19，图1.25，图3.16，图7.11等，以及以太帧结构图3.2，IP包结构图4.15等的介绍。 Wireshark显示的下面这些数据信息的顺序与各数据包内各字段的顺序相同，其他帧的内容展开与此类似。

 

帧号 时间    源地址          目的地址      高层协议 包内信息概况
No. Time    Source         Destination      Protocol    Info
1 0.000000 202.203.44.225   202.203.208.32 TCP     2764 > http [SYN] Seq=0 Len=0 MSS=1460                       源端口>目的端口[请求建立TCP链接]
                            以下为物理层的数据帧概况

Frame 1 (62 bytes on wire, 62 bytes captured) 1号帧，线路62字节，实际捕获62字节
Arrival Time: Jan 21, 2008 15:17:33.910261000     捕获日期和时间
[Time delta from previous packet:0.00000 seconds]此包与前一包的时间间隔
[Time since reference or first frame: 0.00 seconds]此包与第1帧的间隔时间
Frame Number: 1                                    帧序号
Packet Length: 62 bytes                            帧长度
Capture Length: 62 bytes                           捕获长度
[Frame is marked: False]                           此帧是否做了标记：否
[Protocols in frame: eth:ip:tcp]                   帧内封装的协议层次结构
[Coloring Rule Name: HTTP]            用不同颜色染色标记的协议名称：HTTP
[Coloring Rule String: http || tcp.port == 80]     染色显示规则的字符串：

                    以下为数据链路层以太网帧头部信息

Ethernet II, Src: AcerTech_5b:d4:61 (00:00:e2:5b:d4:61), Dst: Jetcell_e5:1d:0a (00:d0:2b:e5:1d:0a)
以太网协议版本II，源地址：厂名_序号（网卡地址），目的：厂名_序号（网卡地址）
Destination: Jetcell_e5:1d:0a (00:d0:2b:e5:1d:0a) 目的：厂名_序号（网卡地址）
    Source: AcerTech_5b:d4:61 (00:00:e2:5b:d4:61) 源：厂名_序号（网卡地址）
   Type: IP (0x0800) 帧内封装的上层协议类型为IP（十六进制码0800）看教材70页图3.2

                          以下为互联网层IP包头部信息

Internet Protocol, Src: 202.203.44.225 (202.203.44.225), Dst: 202.203.208.32 (202.203.208.32)                           互联网协议，源IP地址，目的IP地址
Version: 4 互联网协议IPv4（此部分参看教材119页图4.15的IPv4数据报字段结构）
Header length: 20 bytes                             IP包头部长度
Differentiated Services Field:0x00(DSCP 0x00:Default;ECN:0x00)差分服务字段
Total Length: 48                                         IP包的总长度

Identification:0x8360 (33632)                            标志字段

Flags:       标记字段（在路由传输时，是否允许将此IP包分段，教材125页）

Fragment offset: 0   分段偏移量（将一个IP包分段后传输时，本段的标识）
Time to live: 128                                          生存期TTL
Protocol: TCP (0x06)                         此包内封装的上层协议为TCP
Header checksum: 0xe4ce [correct]                 头部数据的校验和
Source: 202.203.44.225 (202.203.44.225)                   源IP地址
Destination: 202.203.208.32 (202.203.208.32)               目的IP地址

                        以下为传输层TCP数据段头部信息

Transmission Control Protocol, Src Port: 2764 (2764), Dst Port: http (80), Seq: 0, Len: 0                                             传输控制协议TCP的内容
Source port: 2764 (2764）源端口名称（端口号）（此部分参看教材149页图5.7）
Destination port: http (80)                 目的端口名http（端口号80）
Sequence number: 0    (relative sequence number)    序列号（相对序列号）
Header length: 28 bytes                                        头部长度
Flags: 0x02 (SYN)        TCP标记字段（本字段是SYN，是请求建立TCP连接）
Window size: 65535                                流量控制的窗口大小
Checksum: 0xf73b [correct]                         TCP数据段的校验和
Options: (8 bytes)                                            可选项