WireShark 简介和抓包原理及过程

WireShark 简介和抓包原理及过程

1. WireShark简介

Wireshark 是一个网络封包分析软件，可以捕获和分析数据包，它可以运行当下主流的操作系统上：Windows，Linux，macOS。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最 为详细的网络封包资料。Wireshark 使用 WinPCAP 作为接口，直接与网卡进行数据报文交换。 出于安全考虑，wireshark只能查看封包，不能修改封包里的数据，也不能发送封包。

2. WireShark的应用

网络管理员使用 Wireshark 来检测网络问题，网络安全工程师使用 Wireshark 来检查资讯安全相关 问题，开发者使用 Wireshark 来为新的通讯协议除错，普通使用者使用 Wireshark 来学习网络协议的相 关知识。当然，有的人也会“居心叵测”的用它来寻找一些敏感信息。

3. WireShark 快速分析数据包技巧

（1） 确定 Wireshark 的物理位置。如果没有一个正确的位置，启动 Wireshark 后会花费很长的时 间捕获一些与自己无关的数据。
（2） 选择捕获接口。一般都是选择连接到 Internet 网络的接口，这样才可以捕获到与网络相关的 数据。否则，捕获到的其它数据对自己也没有任何帮助。
（3） 使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获数据。这样用户在分析数据 时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。
（4） 使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包 再更细致，此时使用显示过滤器进行过滤。
（5） 使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。