Wireshark网络抓包分析——工具

转自https://www.cnblogs.com/strick/p/6344486.html

一、基本信息统计工具
1)捕获文件属性(Summary)

  1. File:了解抓包文件的各种属性,例如抓包文件的名称、路径、文件所含数据包的规模等信息

  2. Time:获悉抓包的开始、结束和持续时间

  3. Capture:抓包文件由哪块网卡生成、OS版本、Wireshark版本等信息

  4. Display:剩下的是汇总统计信息,数据包的总数、数量以及占比情况、网速等

在这里插入图片描述

2)协议分级(Protocol Hierarchy)

  1. Protocol:数据包所归属的协议名称

  2. % Packets:抓包文件中所含数据包个数在每一种协议类型中的占比情况

  3. Packets:每一种协议类型数据包的个数

  4. % Bytes:抓包文件中所含数据包字节数在每一种协议类型中的占比情况

  5. Bytes:每一种协议类型数据包的字节数

  6. MBit/s:某种协议类型的数据包在抓包时段内的传输速率

  7. End Packets:隶属于该协议类型的数据包的纯粹数量,例如TCP,纯粹指的是TCP头部之后没有高层协议头部(HTTP头等)

  8. End Bytes:隶属于该协议类型的数据包的纯粹字节数

  9. End Bits/s:隶属于该协议类型的数据包在抓包时段内的纯粹传输速率

在这里插入图片描述

3)对话(Conversation)

一次对话是指发生于一对特定端点(主机、服务器或网络设备)之间的所有流量。

TCP或UDP对话包括了4个特征(源、目IP地址和源、目端口号)全都匹配的数据包。

  1. Ethernet标签:不同MAC地址的主机之间的交流

  2. IPv4标签:不同IPv4地址的主机之间的沟通

  3. TCP或UDP:不同IPv4地址的主机之间建立的各种TCP或UDP,可以发现某台主机是否打开过多连接,是否与稀奇古怪的端口号建立了连接。

在这里插入图片描述

4)端点(Endpoints)

此工具用来观察第二、三、四层端点(Ethernet端点、IP端点、TCP/UDP端点)有关的统计信息。

粗看与对话窗口类似,但对话窗口中会有Address A与Address B两个,而端点中只有一个。

在这里插入图片描述

5)HTTP统计信息

  1. 分组计数器(Packet Counter):展示HTTP数据包的总数,请求数据包和响应数据包的数量。

在这里插入图片描述

  1. 请求(Requests):主机请求访问Web站点的分布情况,以及所访问的Web站点的具体资源。
    在这里插入图片描述

  2. 负载分配(Load Distribution):HTTP数据包(请求和响应)访问过哪些站点。

在这里插入图片描述

6)IP属性统计信息

  1. All Addresses:所有的地址
    在这里插入图片描述

  2. Destinations and Ports:目的地址和端口号
    在这里插入图片描述

  3. IP Protocol Types:IP协议类型
    在这里插入图片描述

  4. Source and Destination Addresses:源和目的地址
    在这里插入图片描述

二、高级信息统计工具——IO图表(IO Graphs)
1)IO图表(IO Graphs)

  1. 样式:Line(线)、Impulse(脉冲)、Fbar(粗线)、Dot(点)

  2. X轴配置:

间隔(Tick Interval)取值范围0.001秒~10分钟

一天时钟(View as time of day)勾选后会按一天当中的具体时刻来显示

  1. Y轴配置:

速率单位(Unit):Pickets、Bytes、Bits、Advanced(包括SUM、MAX等)

平滑速率(Smooth):每个计时单位内的平均传输速率

在这里插入图片描述

2)IO图表高级配置(Y轴Unit参数Advanced选项)

单位时间:通过选择X轴参数配置区域内的Tick Interval下拉菜单项来指定

  1. SUM(*):每个单位时间内实际传输的IP数据包总字节数

  2. COUNT FRAMES(*):每个单位时间内发生匹配该条件的数量,例如重传数(tcp.analysis.retransmission)

  3. COUNT FIELDS(*):每个单位时间内所传数据包中该字段出现的次数

  4. MAX(*):每个单位时间内所传数据包相关参数的最高值,例如距离上一个捕获的包的时间间隔(frame.time_delta)

  5. MIN(*):每个单位时间内所传数据包相关参数的最低值

  6. AVG(*):每个单位时间内所传数据包相关参数的平均值

  7. LOAD(*):生成与响应时间有关的图形

三、高级信息统计工具——TCP流图形(TCP StreamGraph)
1)时间序列(Stevens)

在单位时间内,受监控的TCP流在某个方向所传数据的字节流。

一条连绵不断的斜线就表示正常的文件传输,而斜线时断时续,表示文件传输存在问题;

斜线的角度越大,表示文件的传输速率很高,反之,文件传输缓慢。

在这里插入图片描述

2)时间序列(tcptrace)

监控TCP连接的诸多详细信息。

分析与此TCP有关的种种问题,包括TCP确认、TCP重传、以及TCP窗口大小等信息。
在这里插入图片描述

上面一条表示TCP接收窗口,当两条曲线之间空间较大的时候,表示接收主机尚有缓存;当近乎重叠的时候,TCP窗口已满(window-full)不能继续传输数据

下面一条表示在单位时间内,受监控的TCP流在某个方向所传数据的字节流(也就是Stevens)

图中每个小竖条(放大后就能看到)表示TCP数据包起始和终止序列号都与纵坐标上的数字相对应。

3)吞吐量(Throughput)

不但能了解TCP连接的吞吐量,而且还能判断TCP连接是否稳定。

统计单位时间内在某一指定方向上传输的数据包的字节数(左边的Y轴);

以此统计出来的吞吐量只是某个方向上传输的应用程序数据(不含IP头与TCP头)的吞吐量,单位为字节/秒(右边的Y轴)。

左边的Y轴就是包中的Len值,对应的是深蓝色的点;右边的Y轴对应的是咖啡色的斜线。
在这里插入图片描述

4)往返时间(Round Trip Time)

了解某条TCP连接中特定方向上的所有TCP报文段的往返时间(RTT)

X轴为序列号字段值,Y轴为时间值。
在这里插入图片描述

5)窗口尺寸(Window Scaling)

通过统计发送方的接收窗口大小,以此了解特定TCP连接的性能。

当窗口变小时,相关应用程序的吞吐量会相应降低,窗口的大小完全受控于建立连接的两个端点(服务器和客户端),大小的变化与网络性能无关。
在这里插入图片描述

四、专家信息(Expert Info)工具
窗口由Errors、Warnings、Notes、Chats等构成。
在这里插入图片描述

1)Errors

数据包中有严重错误。

校验和错误:Ethernet及IP校验和错误。

伪造的数据包:一般涉及具体的应用层协议。
在这里插入图片描述

2)Warnings

数据包中有一般性问题。

与TCP窗口有关的事件TCP window full或TCP zero window,一般是连接设备忙不过来所致。

与TCP报文段丢失或失序有关的事件,丢失是因为未抓全某个TCP数据流的所有TCP报文段;失序是因其感知到了TCP报文段未按发出的顺序到达接收主机。
在这里插入图片描述

3)Notes

数据包中有可能会引发故障的异常现象,例如TCP重传、重复确认、快速重传等现象。
在这里插入图片描述

4)Chats

数据包都符合常规流量的特征,包括SYN、FIN、RST以及各种状态码的HTTP事件。
在这里插入图片描述

展开阅读全文

没有更多推荐了,返回首页