wireshark简单认识使用

    wireshark：Beyond Compare是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换，是目前全世界最广泛的网络封包分析软件。

工具/原料

• wireshark

方法/步骤

1. 首先认识一下wireshark界面各个功能如下图。Packet List面板主要显示抓取的数据包；Packet Details面板展示数据包的详细信息，分层次显示一个数据包中的内容；Packet Bytes面板以十六进制和ASCII码的形式显示数据包的内容，及数据包最原始的样子。我们在分析数据包的过程中主要关注Packet List以及Packet Details。

   

2. 抓取了访问网站是的数据包这里面主要展示了以下五种协议的信息：

   Frame：物理层数据帧的情况。

   Ethernet II：数据链路层以太网帧头部的信息。

   Internet Protocol Version 4：网络层IP包的头部信息。

   Transmission Control Protocol：传输层的数据段头部信息，这里显示的是

   TCP协议。

   Hypertext Transfer Protocol：应用层信息，这里显示的是HTTP协议。

   

3. 筛选器的简单用法，根据刚才抓取的数据包，筛选器主要是在处理大量的数据时使用，我们筛选http数据包这是关于筛选器的最简单的一种用法。筛选器也支持与 （and）、或（or）、非（not）等逻辑运算符，可以加强筛选的效率。

   

4. 在筛选的过程中我们也可以使用逻辑运算符，例如!tcp查找除了tcp以外的数据包。

   

5. 除了逻辑运算符还可以使用比较操作符，比如等于（==）、不等于 （!=）、大于（>）、小于（<）、大于等于（>=）以及小于等于（<=）等。比如我们现在只想查看长度小于等于150字节的数据包。

   

6. 对网络协议理解比较深我们也可以通过匹配协议来筛选，比如我们想捕获带有(PSH,ACK)标志的TCP数据 包。那么就可以检测TCP协议中偏移为13的标志位的情况。尽管这个标志位只有1 个字节，但是这个字节中的每一个比特位都是一个标志。

   

7. 经过对wireshark操作界面、基本用法的认识，在主机电脑上面运行http登录界面，使用用户名密码登录，http属于明文传输所以在wireshark中可以抓到用户名与密码；在ARP欺骗转发过程中我们可以通过wireshark来分析抓到的数据包。

   

   END

注意事项

• 我们在分析数据包的过程需要对数据包结构非常了解，才能事半功倍。