wireshark安装使用与tcpdump的抓包分析

最新推荐文章于 2024-03-21 17:18:14 发布
最新推荐文章于 2024-03-21 17:18:14 发布
阅读量2.4k 收藏 3
点赞数 2
分类专栏： 杂项
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/minxihou/article/details/80243484
版权

前言

哎，还是得说点废话了，为啥我大半年没有出现实在不是我不愿意写而是真的没有时间写。天天加班累成狗。写这一篇博客的前景是因为在做测试的过程当中遇到了要使用wireshark和tcpdump工具的场景，而且正好以前用的很多东西有点手生，给自己留一篇笔记，方便以后查阅。

环境介绍

系统环境：
这里所使用的

# uname -r
3.10.0-123.el7.x86_64
# cat /etc/redhat-release
CentOS Linux release 7.0.1406 (Core)
# uname -a
Linux xlcarity.example.org 3.10.0-123.el7.x86_64 #1 SMP Mon Jun 30 12:09:22 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux

repo源：
这里使用的都是centos系统自带的repo源，安装wireshark主要使用到的repo源有两个，一个是base源一个是epel源。如果你的实验环境网络条件不好的话，建议使用阿里的repo源。这里给出一个出自于2017年阿里的base源和epel源文件。有爱自取，因为有点偏题了。

epel源的文件

[epel]
name=Extra Packages for Enterprise Linux 7 - $basearch
baseurl=http://mirrors.aliyun.com/epel/7/$basearch
        http://mirrors.aliyuncs.com/epel/7/$basearch
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
failovermethod=priority
enabled=1
gpgcheck=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7

[epel-debuginfo]
name=Extra Packages for Enterprise Linux 7 - $basearch - Debug
baseurl=http://mirrors.aliyun.com/epel/7/$basearch/debug
        http://mirrors.aliyuncs.com/epel/7/$basearch/debug
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-debug-7&arch=$basearch
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0

[epel-source]
name=Extra Packages for Enterprise Linux 7 - $basearch - Source
baseurl=http://mirrors.aliyun.com/epel/7/SRPMS
        http://mirrors.aliyuncs.com/epel/7/SRPMS
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-source-7&arch=$basearch
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0

base源文件：

[base]
name=CentOS-$releasever - Base - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/os/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/os/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7

#released updates
[updates]
name=CentOS-$releasever - Updates - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/updates/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/updates/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/extras/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/extras/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/centosplus/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/centosplus/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7

#contrib - packages by Centos Users
[contrib]
name=CentOS-$releasever - Contrib - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/contrib/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/contrib/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=contrib
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7

安装wireshark

首先配置好yum源之后使用yum search命令看看是否能够查看到wireshark的安装包。这里我们要使用的安装包主要有两个，一个是wireshark.x86_64，另外一个是wireshark-gnome.x86_64。

# yum search all wireshark
已加载插件：fastestmirror, langpacks
Loading mirror speeds from cached hostfile
 * base: mirrors.aliyun.com
 * epel: mirrors.aliyun.com
 * extras: mirrors.shu.edu.cn
 * updates: mirrors.aliyun.com
======================================================= 匹配：wireshark =======================================================
wireshark-devel.i686 : Development headers and libraries for wireshark
wireshark-devel.x86_64 : Development headers and libraries for wireshark
wireshark-gnome.x86_64 : Gnome desktop integration for wireshark
wireshark.i686 : Network traffic analyzer
wireshark.x86_64 : Network traffic analyzer
derrick.x86_64 : A Simple Network Stream Recorder
samba-pidl.noarch : Perl IDL compiler

#yum install wireshark
![这里写图片描述](https://img-blog.csdn.net/20180507183040274?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L21pbnhpaG91/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70)

#yum install wireshark-gnome.x86_64 
![这里写图片描述](https://img-blog.csdn.net/20180507183231540?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L21pbnhpaG91/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70)

wireshark使用

完成了上述安装步骤之后在命令行输入wireshark命令则会弹出图形化窗口。

这里写图片描述

wireshark会自动检测到本地主机上的网络接口，选择你想监听的端口然后点击start，wireshark就会开始捕捉这个接口上的收发包。这里我们练习演示选择一个带172.16.20.0/24的网段的网口进行监听。选择好网卡口之后就可以点击start进行端口侦听。
这里写图片描述

这里我们截取一个包的详细信息进行查看。封包每一行的详细信息从上到下分别为：
Fram：物理层数据帧
Ethernet II：数据链路层以太网帧头信息，这里主要可以查看到源mac地址和目的mac地址
Internet Protocol Version 4：网络层IP包头信息
User Datagram Protocol：UDP协议包信息
Service Location Protocol：SLP服务定位协议信息

这里写图片描述

针对不同的包，封包协议的信息不尽相同，熟悉七层网络协议就知道wireshark抓取的包中详细信息每一行都会对应到七层网络协议中的每一层。例如抓取一个IPMI通讯协议包它的包结构就如下：
对比一下上图中抓取的包就能明显看到多了很多IPMI协议的信息封装在包中。
Remote Management Control Protocol：简称RMCP协议，远程管理控制协议，远程模式下IPMI基于RMCP协议实现，RMCP属于UDP协议。
IPMI v2.0+ session Wrapper：基于IPMI v2.0协议的建立的会话
Data：该包中传输的数据
这里写图片描述

tcpdump抓包与分析

在面对云计算运用相当成熟的阶段，wireshark工具明显的显示出了自己的不足。在面对虚机网络设备和虚拟二三层网络时，只针对物理设备抓包的wireshark显示出了自己的短板。因为tcpdump要讲和能讲的东西太多了，秉着用什么学什么记什么的原则。这里主要讲述下我常用tcpdump的一些命令。

至于tcp的详细参数可以查看man手册和在线链接：
http://www.tcpdump.org/tcpdump_man.html

========
过滤主机
--------
- 抓取所有经过 eth1，目的或源地址是 192.168.1.1 的网络数据
# tcpdump -i eth1 host 192.168.1.1
- 源地址
# tcpdump -i eth1 src host 192.168.1.1
- 目的地址
# tcpdump -i eth1 dst host 192.168.1.1
过滤端口
--------
- 抓取所有经过 eth1，目的或源端口是 25 的网络数据
# tcpdump -i eth1 port 25
- 源端口
# tcpdump -i eth1 src port 25
- 目的端口
# tcpdump -i eth1 dst port 25网络过滤
--------
# tcpdump -i eth1 net 192.168
# tcpdump -i eth1 src net 192.168
# tcpdump -i eth1 dst net 192.168
协议过滤
--------
# tcpdump -i eth1 arp
# tcpdump -i eth1 ip
# tcpdump -i eth1 tcp
# tcpdump -i eth1 udp
# tcpdump -i eth1 icmp

保存报文，例如保存到tmp目录里，文件名为packet.pcap
-------
#tcpdump –w /tmp/packet.pcap

当然上述这些只是命令的正常使用操作，让我觉得它强大的地方在于对虚拟网络抓包和问题定位分析。这里可以配合虚拟路由空间来定位某个tap设备是否有正常的接受我想要的包。举个栗子：


虚拟路由ID：38260b49-a848-45b3-89e3-06e5b57e1bf6
虚机网卡的tap设备号：qr-8f925cf2-13

在计算节点上执行该命令，用于查看该虚拟机能否接收到源主机IP为192.168.2.3的包
ip netns exec vrouter-38260b49-a848-45b3-89e3-06e5b57e1bf6 tcpdump -nn -i qr-8f925cf2-13 src host 192.168.2.3

tcpdump与wireshark配合使用

tcpdump虽说可以抓取包，但是有一个不方便的地方就是读取包真的很费劲，这个时候就可以把tcpdump抓取的包保存到一个文件中，通过wireshark打开文件来查看抓取的报文。

示例：
被抓取机器的IP为：172.16.20.30
使用tcpdump抓取包的机器IP为：172.16.20.202

使用命令如下：

#tcpdump -i eno16780032 src host 172.16.20.30 -w /tmp/packet.pcap

这里写图片描述

回车后开始抓包，停止抓包则按control+C，如下图可以看到成功抓到了1549个报文，并将报文保存在tmp目录里，文件名为packet.pcap.
这里写图片描述
之后通过wireshark 打开报文，命令如下，这样就捕获了源ip是172.16.20.30发送过来的报文.
这里写图片描述

minxihou
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Android中使用tcpdump、wireshark进行抓包并分析技术介绍
09-03
主要介绍了Android中使用tcpdump、wireshark进行抓包并分析技术介绍,本文讲解了下载并安装tcpdump、pc上安装wireshark等内容,需要的朋友可以参考下
wireshark2.4.2 vs2015 源码编译及C语言插件开发总结
missile2010的博客
10-20 2164
wireshark Windows源码编译及C语言插件开发总结 一、Windows源码编译环境配置（vs2015，32bit） 1、wireshark源码下载地址https://www.wireshark.org/； 2、下载qt-opensource-linux-x64-5.5.1.run安装Qt5.9.1; 下载安装cygwin。 3、创建插件开发目录wireshark2.4.
Wireshark 抓包工具与长ping工具pinginfoview使用，安装包
最新发布
qq_38295600的博客
03-21 1555
打开软件，选择以太网。
wireshark协议解析器原理与插件编写
dengdi8115的博客
04-23 424
参考：http://www.wireshark.org/docs/wsdg_html_chunked/ChapterDissection.html背景为wireshark 1.8.4版本 9 packet解析 9.1 工作原理 每个解析器解码自己的协议部分, 然后把封装协议的解码传递给后续协议。 因此它可能总是从一个Frame解析器开始, Frame解析器解析捕获文件...
WireShark 自定义协议Lua插件编程备忘
一只爱做笔记的码农
08-03 490
项目上需要用到UDP传输私有协议栈数据 需要抓包分析数据的正确性 与其一包包看原始数据，不如自己编一个插件直接解析 我主要是参考了这个大佬的教程 你的阳光 虽然写于11年前，但是依然很有参考价值 但是其中有些语法现在的Wireshark不支持了，改了！！ 我这里附上自己编的插件的Lua源码供参考，涉及公司的部分已经去掉了 do -----------------------...
Wirershark解析自定义协议数据插件
技术杂货铺
06-19 1075
将自己的lua文件拖到wireshark安装目录，然后在init.lua文件最后一行添加:dofile(DATA_DIR…“ml30sp_heart.lua”)，重新打开wireshark软件就可以解析自定义格式数据，以便直观的观察调试数据。
wireshark-1.10.14-25.el7.x86_64.rpm
12-23
官方离线安装包，测试可用。使用rpm -ivh [rpm完整包名] 进行安装
Wireshark解析器（Dissector）插件-Lua
heusunduo88的博客
03-30 1631
Wireshark解析器（Dissector）插件-Lua
Linux CentOS安装抓包解包工具Wireshark图形化界面
08-24 3775
Wireshark 是一个开源的网络协议分析工具，它能够捕获和分析网络数据包，提供深入的网络故障排除、网络性能优化和安全审计等功能。它支持跨多个操作系统，包括 Windows、macOS 和 Linux。
Wireshark用户指南-目录
sinat_30634285的博客
03-29 2886
Wireshark用户指南 版本3.3.0 目录 前言 1.前言 2.谁应该阅读本文档？ 3.致谢 4.关于本文件 5.从哪里获得此文档的最新副本？ 6.提供有关此文档的反馈 7.印刷约定 7.1。告诫 7.2。Shell提示和源代码示例 1.简介 1.1。什么是Wireshark？ 1.1.1。一些预期目的 1.1.2。特征 1.1.3。从许...
TFTP服务器 NFS服务器 smb 、wireshark
dengaoxin0873的博客
10-15 144
在嵌入式开发过程中有宿主机和目标机的角色之分 宿主机是执行编译、链接嵌入式软件的计算机；目标机是运行嵌入式软件的硬件平台 宿主机一般通过网络、USB、JTAG等方式将软件下载到目标机。 网络下载：tftp服务器。 Tftp服务器作为工作于宿主机上的软件，主要提供对目标机的主要映像文件的下载工作。 Tftp服务器-安装 使用RPM包安装tftp-server1、如果利...
wireshark源码
03-08
wireshark源码 安装步骤和方法，供大家参考。 安装编译工具： 　　$sudo apt-get install build-essential 　　为了成功编译Wireshark，您需要安装GTK+的开发文件和GLib库(libraries)。 　　$sudo apt-get install libgtk2.0-dev libglib2.0-dev 　　安装Checkinstall以便管理您系统中直接由源代码编译安装的软件。 　　$sudo apt-get install checkinstall 下载后的文件名：wireshark-1.2.2.tar.bz2 cd到文件目录解压：$tar -xvf wireshark-1.2.2.tar.bz2 $cd wireshark-1.2.2 编译安装命令如下： $./configure $make $sudo make install 其中make编译时间会比较长，这样下来就基本安装了。 下面是我这篇文章的关键，也是用ubuntu安装的过程中极有可能遇到的问题，且都是在进行./configure编译过程中出现，两个问题如下： 问题1： configure: error: I couldn't find yacc (or bison or ...); make sure it's installed and in your path 解决办法： sudo apt-get install flex bison yacc(Yet Another Compiler Compiler)，是Unix/Linux上一个用来生成编译器的编译器（编译器代码生成器）。 问题2： configure: error: Header file pcap.h not found; if you installed libpcap from source, did you also do "make install-incl", and if you installed a binary package of libpcap, is there also a developer's package of libpcap, and did you also install that package? 问题原因是ubuntu下缺少pcap.h等文件。 解决方法： 编译安装libpcap. 在www.tcpdump.org页面中可下载源码：libpcap-1.0.0.tar.gz cd到文件目录： view plaincopy to clipboardprint? $tar -xvf libpcap-1.0.0.tar.gz $cd libpcap-1.0.0.tar.gz $./configure $make $sudo make install $tar -xvf libpcap-1.0.0.tar.gz $cd libpcap-1.0.0.tar.gz $./configure $make $sudo make install
Linux基础学习之利用tcpdump抓包实例代码
09-15
tcpdump是Linux下面的一个开源的抓包工具，和Windows下面的wireshark抓包工具一样， 支持抓取指定网口、指定...下面这篇文章主要给大家介绍了关于Linux基础学习之利用tcpdump抓包的相关资料，需要的朋友可以参考下。
tcpdump数据抓包及分析
10-09
tcpdump抓包，Wireshark图形化分析数据包
Android下使用TCPDUMP实现数据抓包教程
09-03
主要介绍了Android下使用TCPDUMP实现数据抓包教程,本文讲解使用抓包工具tcpdump抓取数据,然后使用Wireshark来分析数据,需要的朋友可以参考下
解决win10系统 L2TP连接尝试失败:ERROR因为安全层在初始化与远程计算机的协商时遇到了一个处理错误
热门推荐
minxihou的博客
07-30 24万+
错误描述：当连接VPN是回传错误为“ L2TP连接尝试失败，因为安全层在初始化与远程计算机的协商时遇到了一个处理错误” 操作系统：win10家庭版 VPN设置： 常规选项：配置了需要连接目标server的IP地址。 安全选项：VPN类型如下图所示 网络选项：在ipv4属性中配置如下: 高级选项IP设置中取消了“在远程网络上使用默认网关”然后链接时报错。因为不了解VPN服务器的配置
centos7.2中启动polkit服务启动失败
minxihou的博客
10-16 5万+
错误描述在centos7.2系统中重启服务的时候报错： Error getting authority:Eroor initializing authority:Error calling StartServiceByName for org.freedesktop.PolicyKit1:Timeout was readhed(g-io-error-quark, 24)Failed to rest
ESXi对接iscsi存储操作指南
minxihou的博客
08-16 2万+
文章介绍：本文档适用于由iSCSI共享存储对接VMware ESXi，但是因为测试原因我这里实际上ISCSi是由ceph集群提供的。（看到这里我相信懂行的老油条们都知道我准备干嘛了，其实原先的目的是为了测试下ceph共享ISCSi的存储性能）。这里要求共享iSCSI存储的ceph存储节点public网能与ESXi节点相互通，且直连网络可达。本文档描述范围为在已构建了ceph集群，并且已搭建好了vce
ubuntu环境下重启mysql服务报错“No directory, logging in with HOME=-”
minxihou的博客
04-25 1万+
前提：使用mysql的环境 3.13.0-24-genericmysql的版本：5.6.33错误描述： 首先用mysqld_safe启动报错如下：root@zabbix-forFunction:~# mysqld_safe 170425 01:56:52 mysqld_safe Can't log to error log and syslog at the same time. Remov
tcpdump抓包分析丢包率
08-18
- *1* [tcpdump抓包分析](https://download.csdn.net/download/hookeychoi/9893506)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值