wireshark软件介绍与抓包原理

软件概述：Wireshark是目前全球使用最广泛的开源抓包软件(前身为Ethereal)，由Gerald Combs编写并于1998年以GPL开源许可证发布

软件功能：

• 分析网络底层协议
• 解决网络故障问题
• 找寻网络安全问题

相关网址：可学习

Wireshark · Go Deep

Chappell University | Wireshark Training

Home

抓包原理：

哪种网络情况能够抓到包？

本机环境：直接抓包本机网卡进出流量

集线器环境：流量泛洪，同一冲突域

交换机环境：

• 端口镜像：将一端口的流量复制一份转发到另一接口
• ARP欺骗：利用攻击手段将自己伪装成目的主机达到获取流量进行抓包
• MAC泛洪：利用攻击手段，发送大量mac地址给交换机，交换机的mac地址表被装满了之后就会把之前的mac地址表项丢弃（根据设备，有些设备是不再学习新的mac那么也就是等待真实mac时间老化，之后交换机就会将数据进行广播发送）

抓包的底层架构是怎样的？

GTK1/2：图像处理工具，处理用户的输入输出显示

Core：核心引擎，通过函数调用将其他模块连接在一起，起到联动调度的作用

Wiretap：格式支持，从抓包文件中读取数据包，支持多种文件格式

Capture：抓包引擎，利用libpcap/WinPcap从底层抓取网络数据包，libpcap/WinPcap提供了通用的抓包接口，能从不同类型的网络接口（ATM、以太网等等）抓取流量

Win-/libpcap：Wireshark抓包时依赖的库文件