24学习网络流量分析工具 Wireshark 的基本用法，包括数据捕获、分析

Wireshark是一款常用的网络流量分析工具，可用于捕获、分析和监控网络流量。以下是Wireshark的基本用法教程。

Wireshark 

1. 下载并安装Wireshark 在官网下载并安装Wireshark：Wireshark · Download

2. 打开Wireshark并选择网络接口 打开Wireshark后，选择要监控的网络接口，如Ethernet或Wi-Fi接口。

3. 开始捕获数据包 点击开始捕获按钮，Wireshark会开始捕获网络流量。

4. 分析数据包 Wireshark将捕获到的数据包显示在界面上，可用于分析网络流量。用户可根据需要选择特定的数据包进行详细分析。

5. 过滤数据包 Wireshark还提供了过滤功能，可过滤出特定的数据包进行分析。用户可根据协议、IP地址、端口号等条件进行过滤。

6. 导出数据包 用户可将捕获到的数据包导出为pcap文件，以便后续分析和处理。

以下是一个简单的Wireshark捕获网络流量的示例代码：

import pyshark

# 选择要捕获的网络接口
cap = pyshark.LiveCapture(interface='eth0')

# 开始捕获数据包
cap.sniff()

# 分析数据包
for pkt in cap:
    print(pkt)

注意：在使用Wireshark进行网络流量分析时，需要特别注意保护隐私和安全。避免捕获包含敏感信息的数据包，如用户名、密码等。

1. 过滤数据包

Wireshark中有很多种过滤数据包的方式，可以根据协议、源IP、目的IP、端口等进行过滤，下面介绍一些常用的过滤方式：

• 过滤HTTP协议数据包：在过滤栏输入 http 或者 tcp.port == 80，Wireshark会自动过滤出HTTP协议的数据包；
• 过滤TCP连接：在过滤栏输入 tcp，Wireshark会自动过滤出TCP连接相关的数据包；
• 过滤源IP和目的IP：在过滤栏输入 ip.src == x.x.x.x and ip.dst == y.y.y.y，Wireshark会自动过滤出源IP为x.x.x.x，目的IP为y.y.y.y的数据包；
• 过滤特定端口：在过滤栏输入 tcp.port == 8080，Wireshark会自动过滤出目的端口为8080的TCP数据包。

除了以上常见的过滤方式，还有很多其他过滤方式，可以根据需要自行查询相关文档。

1. 分析数据包

   

在捕获到数据包后，我们需要对数据包进行分析。Wireshark提供了多种分析数据包的方式，包括图表、协议分层、统计信息等。下面介绍一些常用的分析方式：

• 协议分层：Wireshark会将每个数据包按照协议分层显示，方便我们分析每个协议的信息；
• 图表：Wireshark可以根据数据包的统计信息生成图表，包括流量分布、响应时间、吞吐量等；
• 统计信息：Wireshark可以提供多种统计信息，包括流量分布、响应时间、协议使用率等，帮助我们快速了解网络情况。

1. 实例代码

以下是一个简单的Python脚本，用于捕获网络接口的数据包并保存为pcap文件：

import pyshark

# 打开网络接口
capture = pyshark.LiveCapture(interface='eth0')

# 开始捕获数据包
capture.sniff(timeout=10)

# 将捕获的数据包保存为pcap文件
capture.export_pcap('capture.pcap')

使用Wireshark打开capture.pcap文件，可以查看捕获到的数据包信息。

当进行 Wireshark 数据分析时，你可能需要使用一些过滤器来查找感兴趣的数据包。下面是一些常用的 Wireshark 过滤器：

1. 按协议过滤：

通过输入协议名称过滤，比如过滤 HTTP 协议的数据包，可以使用以下过滤器：

Copy code

http

1. 按 IP 地址过滤：

通过输入源或目的 IP 地址过滤，比如过滤源 IP 地址为 192.168.1.1 的数据包，可以使用以下过滤器：

Copy code

ip.src == 192.168.1.1

1. 按端口过滤：

通过输入源或目的端口过滤，比如过滤目的端口为 80 的数据包，可以使用以下过滤器：

Copy code

tcp.dstport == 80

1. 按关键词过滤：

通过输入关键词过滤，比如过滤包含关键词 "password" 的数据包，可以使用以下过滤器：

sqlCopy code

frame contains "password"

1. 按协议字段过滤：

通过输入协议字段过滤，比如过滤 ICMP 类型为 8 的数据包，可以使用以下过滤器：

goCopy code

icmp.type == 8

1. 按数据包大小过滤：

通过输入数据包大小过滤，比如过滤数据包大小大于 1000 字节的数据包，可以使用以下过滤器：

goCopy code

frame.len > 1000

以上是一些常用的 Wireshark 过滤器，你可以根据需要进行调整。同时，Wireshark 还有很多其他的功能，比如可以对数据包进行统计、图表分析等，可以根据实际需求进行学习和使用。